Fastify 5.12.0: llega Reply.prototype.mediaType
La línea estable sigue viva mientras la 6 cocina. Nuevo Reply.prototype.mediaType, se dejan de devolver los raw response headers, y el parseo de content-type ahora devuelve undefined para media types inválidos en vez de improvisar. Cambio chico pero correcto: un content-type inválido no debería adivinarse.
Hono 4.13.2: secure-headers al día con W3C y ETag arreglado en streams
Release de mantenimiento con varios fixes que importan en producción. secure-headers suma las directivas de Permissions-Policy que faltaban del W3C y ahora emite paréntesis vacíos () en lugar de none para las deshabilitadas. Dos fixes de ETag: hashing incremental incorrecto en respuestas chunked y digest inestable entre chunks de stream — si servís streams con ETag, esto te estaba mintiendo. El client ahora serializa múltiples cookies bien y manda bodies JSON falsy. Bonus perf: cors pre-junta los headers estáticos en la inicialización.
Apollo Router 2.16.2
Patch del router de federación, publicado tras dos release candidates (rc.0 el 12 y rc.1 el 13). Si tenés supergraph en producción, la cadencia de patches de Apollo sigue siendo semanal — vale la pena tener el bump automatizado en vez de acumular seis versiones de deuda.
Kysely 0.29.5
Patch del query builder type-safe. Semana tranquila para los ORMs: Prisma, Drizzle, TypeORM y tRPC no publicaron releases en la ventana. Kysely fue el único que se movió.
BullMQ 6.1.0: las migraciones de schema en Postgres ahora son explícitas
Cambio de diseño que celebro: el backend de Postgres ya no corre migraciones de schema por su cuenta al arrancar — ahora son explícitas. Migraciones automáticas en el boot de un worker es de esas cosas que funcionan hasta que tenés doce réplicas arrancando en paralelo contra la misma base. Que sea un paso deliberado del deploy es lo correcto. La 6.1.1 y la 6.1.2 siguieron el 14 y el 16.
Random Access Parquet: Spotify hace point queries sobre el data lake sin replicar nada
Un data lake está optimizado para escaneos analíticos, no para buscar una fila. La salida habitual es replicar el dataset a una base operacional — y bancarse el pipeline, el costo y la deriva. Spotify eligió otra: Random Access Parquet (RAP), una capa de índice externo sobre archivos Parquet que mapea claves de lookup (por ejemplo un user ID) directamente a un archivo y una posición de fila. En vez de escanear miles de archivos, la query resuelve la clave contra el índice y hace una ranged read dirigida contra el object storage. A medida que entra data nueva en tablas Iceberg, un index builder genera fragmentos de índice append-only sin tocar los Parquet inmutables. El mismo dataset sigue sirviendo analytics, ML y online serving. Lindo recordatorio: cuando el patrón de acceso no encaja con la forma del storage, indexar casi siempre le gana a copiar.
Cloudflare DDoS H1 2026: 935 ataques de más de 1 Tbps y DNS floods disparados
Los números son para sentarse a pensar la arquitectura. Cloudflare mitigó 935 ataques network-layer por encima de 1 Tbps en el primer semestre, con un salto de +519% intertrimestral — 805 de ellos solo en Q2. Los ataques basados en DNS ya son el 34,3% de toda la actividad network-layer, y los DNS Floods pasaron del 25,7% al 40,0% entre trimestres. El centro de gravedad se corrió de botnet floods a reflection y amplification: los CLDAP Floods subieron +580% y son el vector #3. Abril fue el pico: 6,46 billones de requests y 165 PB.
Netflix reemplaza su scheduler de batch propio por Kueue
Netflix migró la mayoría de sus workloads batch a Kueue, el sistema Kubernetes-native de job queueing, jubilando su Compute Managed Batch (CMB) construido sobre Titus. Ya corren millones de workloads batch en producción con Kueue, y la migración sigue en curso. Lo más valioso de la historia no es Kueue: es la estrategia. Usaron paridad de API con el sistema existente para desriesgar el proyecto y migrar de forma gradual. Ese es el patrón que hace que un reemplazo de infraestructura no termine en un big bang.
Helm 4.2.4 y 3.21.4: fixes de provenance y bumps de seguridad en dependencias
Patch en las dos ramas (4.2.4 el 13, 3.21.4 el 14). Destacan el chequeo del error de retorno en Digest y encodeRelease del lado de provenance, el fix del retry faltante en conflictos con server-side apply, y dos bumps por avisos de seguridad de Go: grpc a 1.82.1 (GO-2026-6061) y otel a v1.44.0 (GO-2026-5158). También se arregla el panic en llamadas repetidas a IsReachable.
Argo CD parchea tres ramas a la vez: 3.5.1, 3.4.7 y 3.3.14
Release coordinado en las tres ramas soportadas el mismo día — el patrón típico cuando hay algo que vale la pena backportear. Todas las imágenes siguen firmadas con cosign y con provenance SLSA nivel 3 para imágenes y binarios de CLI. Si tenés GitOps en producción y no estás verificando esas firmas en el pipeline, ahí tenés una tarea pendiente.
Canva revoca cientos de millones de sesiones sin tocar una base de datos
Esta es la pieza de arquitectura de la semana, y hay que leerla entera. El problema: sesiones en cookies encriptadas escalan hermoso, pero revocar exige un lookup por request. Canva lo resolvió guardando la data de revocación en S3 como registros inmutables y compactos, distribuidos a los gateways como índices en memoria. La ventana de revocación de 12 horas se parte en objetos S3 de 30 minutos que el gateway baja bajo demanda. Cada revocación son 16 bytes binarios (principal + timestamp), en arrays ordenados que permiten búsqueda directa en memoria: 87,5% menos footprint de cache. El worker procesa más de 2.000 revocaciones por segundo, y un chunk con un millón de revocaciones pesa apenas ~16 MB. Menos infraestructura de base de datos, deploys más rápidos. La lección de fondo: cuando el patrón de acceso es append-only y con ventana temporal, S3 más un índice en memoria le gana a una base de datos.
Netflix: backpressure a Kafka en vez de tirar registros
Netflix rediseñó el pipeline de Service Topology, su mapa de dependencias en tiempo real, y las decisiones son oro puro para cualquiera que construya streaming. Tres etapas que separan resolución de intermediarios, enrichment y persistencia. Server-sent events en vez de gRPC para transferencias internas de alto volumen. Y la decisión clave: cuando el graph storage no da abasto, la presión viaja aguas arriba hasta pausar el consumer de Kafka, dejando los registros ahí hasta que vuelva la capacidad. El resultado es frescura demorada bajo carga, no data perdida ni un mapa incompleto — que es exactamente lo que querés durante un incidente. Para reconstruir el pasado no guardan snapshots completos ni replayean el event log: mantienen snapshots del agregador por ventana temporal más historial de mutaciones a nivel de propiedad.
Buildpacks mueven el punto de control del hardening fuera del Dockerfile
El viejo debate Dockerfile vs. buildpacks se volvió un debate de seguridad, y el argumento es bueno. Con un Dockerfile, la elección de la base image y la cadencia de parcheo quedan en manos de cada equipo de aplicación; con Cloud Native Buildpacks esas decisiones se mueven a platform engineering, que decide qué tan rápido se remedia un CVE crítico en una flota de cientos de servicios. El mecanismo es el comando rebase: detecta una runtime base image más nueva y reescribe el manifest y la config OCI, cambiando los digests de la capa de OS. Es esencialmente editar un JSON — milisegundos, sin rebuild, sin acceso al source, sin cola de CI. El proyecto se graduó en la CNCF el 17 de julio de 2026. El costo: perdés el control paso a paso del Dockerfile escrito a mano, incómodo si necesitás paquetes de OS custom o ecosistemas que los buildpacks no cubren.
pnpm 11.22.0: instalaciones globales atómicas y menos re-resolución del lockfile
Release cargado, y varias cosas apuntan a supply chain. Nuevo pnpm cache path para que CI cachee el directorio de metadata — incluido el log de verificación del lockfile, lo que permite saltear el re-chequeo de un lockfile sin cambios contra las políticas de supply-chain. Un pnpm-workspace.yaml de proyecto ya no puede decidir dónde pnpm guarda credenciales, su propia instalación, ni el registry desde el que se descarga — configDir, npmrcAuthFile, userconfig y compañía se ignoran ahí. Eso cierra un vector de escalada vía repo hostil. Las instalaciones globales ahora conmutan atómicamente: los shims apuntan a un link estable por paquete, así que un comando nunca falta del PATH durante un install y un install fallido deja la versión previa en pie. Además pnpm add deja de re-resolver el grafo cuando el lockfile ya tiene una versión que satisface, y pnpm deploy vuelve a inyectar dependencias de workspace. El mismo día salió la 12.0.0-rc.6.
Turborepo 2.10.10: parchea js-yaml, recorre el repo una sola vez al prunear
Sube js-yaml a 4.3.1 por GHSA-5p4m-2wfm-xmqj (CVSS 7.5): consumo cuadrático de CPU al resolver !!omap, afectando 3.x y 4.x. Si tenés js-yaml en el árbol de dependencias — y casi seguro que sí — chequeá tu versión: el fix está en 4.3.1 y 3.15.1. Del lado de features: turbo prune ahora recorre el repositorio una sola vez, soporte de archivos nub.lock, descubrimiento de tasks de pytest, y fix de patrones de .gitignore anidados en el hashing manual. Dato de color: el repo ya está en TypeScript 7.0.2.
Next.js 16.3.1: cache, headers() en vivo y bugs de prefetch
Patch grande, con foco en el server. Se restaura la vista en vivo de headers() sobre el request entrante, se permiten exports literales en archivos 'use cache', y hay dos fixes finos de invalidación: solo se descartan las entradas de cache anteriores a una revalidación por tag (reusando las completadas), y se retienen menos versiones stale usando TTL con fallback a mtime. También se codifica el nombre del cache item que arma unstable_cache, y se arreglan loops de prefetch repetido en el routing optimista. Del lado Turbopack: HMR para dynamic imports evaluados desde layouts.
better-auth 1.6.29: el SSO ya no da acceso por un dominio meramente reclamado
Fix de autorización que vale leer con atención. En @better-auth/sso, la asignación automática de organización por dominio de email ahora exige dominio verificado del provider Y email verificado del usuario — antes, un social sign-in podía otorgar acceso porque el provider SSO simplemente reclamaba el dominio. Ese es el tipo de bug que no rompe nada y te regala un tenant. Además, la verificación de dominio toma un snapshot de los dominios del provider al inicio del request y devuelve 409 con SSO_PROVIDER_CHANGED si el provider cambia durante la verificación DNS.
CVE-2026-55102: hashi-vault-js filtra tokens y secretos en los errores
El token de Vault y los valores de los secretos quedan expuestos en las excepciones que lanza la librería. Si esos errores viajan a tu logger, a Sentry o a una respuesta HTTP de error, tus secretos ya están en un sistema de terceros. Buen recordatorio para revisar qué serializa tu error handler global antes de mandarlo a cualquier lado.
CVE-2026-35219: SSRF en Budibase saltea la blacklist de IPs
Severidad alta. Los automation steps de Webhook, Zapier, N8N, Slack y Discord permiten saltear la blacklist de IPs y alcanzar destinos internos. El patrón se repite en toda herramienta low-code con steps salientes: la lista negra por IP es una defensa frágil cuando el usuario controla la URL. Si exponés integraciones outbound configurables, la mitigación real es un proxy egress con allowlist, no una blacklist.
CVE-2026-73080: SSRF sin autenticar en SeaweedFS con lectura de la respuesta
Severidad crítica, CVSS 9.3. El endpoint VolumeServer.FetchAndWriteNeedle permite SSRF sin autenticación y con read-back de la respuesta — o sea, no es SSRF ciego: el atacante ve lo que devuelve el destino interno. Si corrés SeaweedFS como object storage detrás de tus servicios, revisá la exposición del volume server ya mismo.
Tendencias Destacadas
Semana muerta en runtimes: Node.js, Deno, Bun y TypeScript no publicaron ni una release entre el 10 y el 17 de agosto. Lo último fue Node 26.7.0 el 5 de agosto y TypeScript 7.0 el 8 de julio. Por eso no hay sección de runtimes hoy — no vamos a inventar noticias.
El hardening se corre del código de aplicación a la plataforma. Buildpacks moviendo el parcheo de CVEs de cada Dockerfile a platform engineering, pnpm cerrando la puerta a que un repo hostil redirija credenciales, Helm bumpeando dependencias por avisos de Go, Turborepo parcheando js-yaml. La pregunta ya no es si tu código es seguro, sino quién decide la cadencia de parcheo de tu flota.
Tres CVEs de esta semana son SSRF o exfiltración por canales laterales: Budibase saltea blacklists de IP, SeaweedFS expone SSRF sin auth con read-back, y hashi-vault-js filtra secretos en los mensajes de error. Ninguno es un desbordamiento exótico — son fallas de diseño en los bordes. Revisá qué serializa tu error handler y cómo controlás el egress.
Los tres casos de arquitectura de la semana (Canva, Netflix x2, Spotify) comparten una idea: en vez de escalar la base de datos, cambiaron la forma del acceso. Índice externo sobre el data lake, S3 más índice en memoria para revocación, backpressure a Kafka en vez de drop. Antes de agregar réplicas, preguntate si el patrón de acceso realmente necesita esa base de datos.
Fastify 5.12.0: Reply.prototype.mediaType arrives
The stable line keeps moving while 6 cooks. New Reply.prototype.mediaType, raw response headers are no longer returned, and content-type parsing now returns undefined for invalid media types instead of improvising. Small but correct: an invalid content-type should not be guessed at.
Hono 4.13.2: secure-headers caught up with W3C, ETag fixed for streams
Maintenance release with several fixes that matter in production. secure-headers adds the missing W3C Permissions-Policy directives and now emits standard empty parentheses () instead of none for disabled ones. Two ETag fixes: incorrect incremental hashing on chunked responses, and an unstable digest across stream chunks — if you serve streams with ETag, this was lying to you. The client now serializes multiple cookies correctly and sends falsy JSON bodies. Perf bonus: cors pre-joins static header options at initialization.
Apollo Router 2.16.2
Patch for the federation router, shipped after two release candidates (rc.0 on the 12th, rc.1 on the 13th). If you run a supergraph in production, Apollo's patch cadence remains weekly — worth automating the bump rather than accumulating six versions of debt.
Kysely 0.29.5
Patch for the type-safe query builder. Quiet week for ORMs: Prisma, Drizzle, TypeORM and tRPC shipped no releases in the window. Kysely was the only one that moved.
BullMQ 6.1.0: Postgres schema migrations are now explicit
A design change worth celebrating: the Postgres backend no longer runs schema migrations on its own at startup — they are now explicit. Automatic migrations on worker boot is one of those things that works right up until you have twelve replicas starting in parallel against the same database. Making it a deliberate deploy step is the correct call. 6.1.1 and 6.1.2 followed on the 14th and 16th.
Random Access Parquet: Spotify runs point queries on the data lake without replicating anything
A data lake is optimized for analytical scans, not for fetching a single row. The usual escape hatch is replicating the dataset into an operational database — and eating the pipeline, the cost and the drift. Spotify picked another: Random Access Parquet (RAP), an external index layer over Parquet files that maps lookup keys (a user ID, say) directly to a file and row location. Instead of scanning thousands of files, a query resolves the key through the index and issues a targeted ranged read against object storage. As new data lands in Iceberg tables, an index builder generates append-only index fragments without modifying the immutable Parquet files. The same dataset keeps serving analytics, ML and online serving. A neat reminder: when the access pattern does not match the shape of your storage, indexing almost always beats copying.
Cloudflare DDoS H1 2026: 935 attacks above 1 Tbps and DNS floods surging
Numbers worth pausing on when you plan your architecture. Cloudflare mitigated 935 network-layer attacks above 1 Tbps in the first half, a +519% quarter-over-quarter jump — 805 of them in Q2 alone. DNS-based attacks are now 34.3% of all network-layer activity, with DNS Floods climbing from 25.7% to 40.0% quarter-over-quarter. The center of gravity shifted from botnet floods to reflection and amplification: CLDAP Floods surged +580% to become the #3 vector. April peaked at 6.46 trillion requests and 165 PB.
Netflix replaces its in-house batch scheduler with Kueue
Netflix migrated most of its batch workloads to Kueue, the Kubernetes-native job queueing system, retiring its Compute Managed Batch (CMB) built on Titus. It is already running millions of batch workloads in production on Kueue, with the migration still underway. The most valuable part of the story is not Kueue — it is the strategy: they used API parity with the existing system to derisk the project and migrate gradually. That is the pattern that keeps an infrastructure replacement from turning into a big bang.
Helm 4.2.4 and 3.21.4: provenance fixes and security dependency bumps
Patch on both branches (4.2.4 on the 13th, 3.21.4 on the 14th). Highlights: the return-error check in Digest and encodeRelease on the provenance side, the fix for the missing retry on server-side apply conflicts, and two bumps driven by Go security advisories — grpc to 1.82.1 (GO-2026-6061) and otel to v1.44.0 (GO-2026-5158). The panic on repeated IsReachable calls is also fixed.
Argo CD patches three branches at once: 3.5.1, 3.4.7 and 3.3.14
Coordinated release across all three supported branches on the same day — the usual pattern when something is worth backporting. All images remain signed with cosign, with SLSA Level 3 provenance for container images and CLI binaries. If you run GitOps in production and are not verifying those signatures in your pipeline, there is your pending task.
Canva revokes hundreds of millions of sessions without touching a database
This is the architecture piece of the week, and it deserves a full read. The problem: sessions in encrypted cookies scale beautifully, but revocation demands a lookup per request. Canva solved it by storing revocation data in S3 as compact, immutable records, distributed to application gateways as in-memory indexes. The 12-hour revocation window is split into 30-minute S3 objects that gateways download on demand. Each revocation is 16 binary bytes (principal + timestamp), held in sorted arrays that allow direct in-memory search — a 87.5% reduction in cache footprint. The worker processes more than 2,000 revocations per second, and a chunk holding a million revocations is only ~16 MB. Less database infrastructure, faster deploys. The underlying lesson: when the access pattern is append-only with a time window, S3 plus an in-memory index beats a database.
Netflix: backpressure to Kafka instead of dropping records
Netflix redesigned the pipeline behind Service Topology, its real-time dependency map, and the decisions are gold for anyone building streaming systems. Three stages separating intermediary resolution, enrichment and persistence. Server-sent events instead of gRPC for high-volume internal transfers. And the key call: when graph storage cannot keep up, pressure travels upstream until the Kafka consumer pauses, leaving records in Kafka until capacity returns. The result is delayed freshness under load rather than dropped data or an incomplete map — exactly what you want during an incident. To reconstruct the past they keep neither full graph snapshots nor a replayed event log: they hold time-windowed aggregator snapshots plus property-level mutation history.
Buildpacks move the container hardening control point away from the Dockerfile
The old Dockerfile vs. buildpacks debate has become a security argument, and it is a good one. With a Dockerfile, base image selection and patch cadence sit with each application team; with Cloud Native Buildpacks those decisions move to platform engineering, which decides how fast a critical CVE gets remediated across a fleet of hundreds of services. The mechanism is the rebase command: it detects a newer runtime base image and rewrites the OCI manifest and configuration, swapping the OS layer digests. It is essentially a JSON edit — milliseconds, no rebuild, no source access, no CI queue. The project graduated within the CNCF on 17 July 2026. The cost: you give up the step-by-step control of a hand-written Dockerfile, awkward for workloads needing custom OS packages or ecosystems buildpacks do not cover.
pnpm 11.22.0: atomic global installs and less lockfile re-resolution
Loaded release, and several items point at supply chain. New pnpm cache path so CI can cache the metadata directory — including the lockfile verification log, letting a job skip re-checking an unchanged lockfile against configured supply-chain policies. A project's pnpm-workspace.yaml can no longer choose where pnpm keeps credentials, its own installation, or the registry it downloads from — configDir, npmrcAuthFile, userconfig and friends are ignored there. That closes an escalation vector via a hostile repo. Global installs now switch over atomically: shims point at a stable per-package link, so a command can never be missing from PATH mid-install and a failed install leaves the previous version in place. Also, pnpm add stops re-resolving the graph when the lockfile already holds a satisfying version, and pnpm deploy injects workspace dependencies again. 12.0.0-rc.6 shipped the same day.
Turborepo 2.10.10: patches js-yaml, walks the repo once when pruning
Bumps js-yaml to 4.3.1 for GHSA-5p4m-2wfm-xmqj (CVSS 7.5): quadratic CPU consumption in !!omap resolution, affecting both 3.x and 4.x. If js-yaml is in your dependency tree — and it almost certainly is — check your version: fixes are in 4.3.1 and 3.15.1. On features: turbo prune now walks the repository once, nub.lock files are supported, pytest task discovery lands, and nested .gitignore patterns are applied in manual hashing. Side note: the repo is already on TypeScript 7.0.2.
Next.js 16.3.1: caching, live headers() and prefetch bugs
Big patch, server-focused. The live headers() view of the incoming request is restored, literal exports are allowed in 'use cache' files, and there are two sharp invalidation fixes: only cache entries that predate a tag revalidation are discarded (completed ones are reused), and fewer stale versions are retained via a TTL with an mtime fallback. The cache item name built by unstable_cache is now encoded, and repeated prefetch loops in optimistic routing are fixed. On the Turbopack side: HMR for dynamic imports evaluated from layouts.
better-auth 1.6.29: SSO no longer grants access on a merely claimed domain
An authorization fix worth reading closely. In @better-auth/sso, automatic email-domain organization assignment now requires both a verified provider domain and a verified user email — previously, a social sign-in could grant access because the SSO provider merely claimed the domain. That is the kind of bug that breaks nothing and hands over a tenant. Domain verification also snapshots the provider's domains at request start and returns 409 with SSO_PROVIDER_CHANGED if the provider changes mid DNS verification.
CVE-2026-55102: hashi-vault-js leaks tokens and secrets in thrown errors
The Vault token and secret values are exposed in the exceptions the library throws. If those errors reach your logger, Sentry, or an HTTP error response, your secrets are already in a third-party system. A good prompt to audit what your global error handler serializes before it ships anywhere.
CVE-2026-35219: SSRF in Budibase bypasses the IP blacklist
High severity. The Webhook, Zapier, N8N, Slack and Discord automation steps allow bypassing the IP blacklist and reaching internal destinations. The pattern recurs in every low-code tool with outbound steps: an IP blacklist is a fragile defense when the user controls the URL. If you expose configurable outbound integrations, the real mitigation is an egress proxy with an allowlist, not a blacklist.
CVE-2026-73080: unauthenticated SSRF in SeaweedFS with response read-back
Critical severity. The VolumeServer.FetchAndWriteNeedle endpoint allows SSRF without authentication and with response read-back — this is not blind SSRF: the attacker sees what the internal destination returns. If you run SeaweedFS as object storage behind your services, review the volume server's exposure right now.
Notable Trends
Dead week for runtimes: Node.js, Deno, Bun and TypeScript shipped zero releases between August 10 and 17. The most recent were Node 26.7.0 on August 5 and TypeScript 7.0 on July 8. That is why there is no runtimes section today — we are not going to invent news.
Hardening is shifting from application code to the platform. Buildpacks moving CVE patching from each Dockerfile to platform engineering, pnpm closing the door on a hostile repo redirecting credentials, Helm bumping dependencies over Go advisories, Turborepo patching js-yaml. The question is no longer whether your code is secure, but who decides your fleet's patch cadence.
Three of this week's CVEs are SSRF or side-channel exfiltration: Budibase bypasses IP blacklists, SeaweedFS exposes unauthenticated SSRF with read-back, and hashi-vault-js leaks secrets in error messages. None is an exotic overflow — they are design failures at the edges. Audit what your error handler serializes and how you control egress.
This week's three architecture cases (Canva, Netflix twice, Spotify) share one idea: instead of scaling the database, they changed the shape of the access. An external index over the data lake, S3 plus an in-memory index for revocation, backpressure to Kafka instead of dropping. Before adding replicas, ask whether the access pattern really needs that database.
Fastify 5.12.0 : arrivée de Reply.prototype.mediaType
La ligne stable continue pendant que la 6 mijote. Nouveau Reply.prototype.mediaType, les raw response headers ne sont plus renvoyés, et le parsing du content-type retourne désormais undefined pour les media types invalides au lieu d'improviser.
Hono 4.13.2 : secure-headers à jour avec le W3C, ETag corrigé sur les streams
Release de maintenance avec plusieurs correctifs qui comptent en production. secure-headers ajoute les directives Permissions-Policy manquantes du W3C et émet désormais des parenthèses vides () au lieu de none pour celles désactivées. Deux correctifs ETag : hashing incrémental incorrect sur les réponses chunked et digest instable entre les chunks de stream. Le client sérialise correctement plusieurs cookies et envoie les bodies JSON falsy. Bonus perf : cors pré-assemble les options de headers statiques à l'initialisation.
Apollo Router 2.16.2
Patch du router de fédération, publié après deux release candidates (rc.0 le 12, rc.1 le 13). Si vous avez un supergraph en production, la cadence de patches d'Apollo reste hebdomadaire — mieux vaut automatiser le bump que d'accumuler six versions de dette.
Kysely 0.29.5
Patch du query builder type-safe. Semaine calme pour les ORM : Prisma, Drizzle, TypeORM et tRPC n'ont publié aucune release dans la fenêtre. Kysely est le seul à avoir bougé.
BullMQ 6.1.0 : les migrations de schéma Postgres deviennent explicites
Un choix de conception à saluer : le backend Postgres ne lance plus les migrations de schéma tout seul au démarrage — elles sont désormais explicites. Les migrations automatiques au boot d'un worker fonctionnent jusqu-au jour où douze réplicas démarrent en parallèle sur la même base. En faire une étape délibérée du déploiement est le bon choix. Les 6.1.1 et 6.1.2 ont suivi les 14 et 16.
Random Access Parquet : Spotify fait des point queries sur le data lake sans rien répliquer
Un data lake est optimisé pour les scans analytiques, pas pour récupérer une seule ligne. L'échappatoire habituelle consiste à répliquer le dataset dans une base opérationnelle — et à assumer le pipeline, le coût et la dérive. Spotify a choisi autre chose : Random Access Parquet (RAP), une couche d'index externe au-dessus des fichiers Parquet qui associe les clés de lookup (un user ID, par exemple) directement à un fichier et à une position de ligne. Au lieu de scanner des milliers de fichiers, la requête résout la clé via l'index et émet une ranged read ciblée contre l'object storage. À mesure que de nouvelles données arrivent dans les tables Iceberg, un index builder génère des fragments d'index append-only sans modifier les fichiers Parquet immuables.
Cloudflare DDoS H1 2026 : 935 attaques de plus de 1 Tbps et DNS floods en flèche
Des chiffres qui méritent une pause architecture. Cloudflare a mitigé 935 attaques network-layer au-dessus de 1 Tbps au premier semestre, soit +519% en trimestriel — 805 rien qu-au T2. Les attaques basées sur le DNS représentent désormais 34,3% de toute l'activité network-layer, les DNS Floods passant de 25,7% à 40,0% d'un trimestre à l'autre. Le centre de gravité s'est déplacé des botnet floods vers la reflection et l'amplification : les CLDAP Floods ont bondi de +580% pour devenir le vecteur n°3. Avril a culminé à 6,46 billions de requêtes et 165 Po.
Netflix remplace son scheduler batch maison par Kueue
Netflix a migré la plupart de ses workloads batch vers Kueue, le système de job queueing Kubernetes-native, retirant son Compute Managed Batch (CMB) bâti sur Titus. L'entreprise fait déjà tourner des millions de workloads batch en production sur Kueue, la migration étant encore en cours. Le plus précieux n'est pas Kueue mais la stratégie : ils ont utilisé la parité d'API avec le système existant pour dérisquer le projet et migrer progressivement.
Helm 4.2.4 et 3.21.4 : correctifs de provenance et bumps de sécurité
Patch sur les deux branches (4.2.4 le 13, 3.21.4 le 14). À retenir : la vérification de l'erreur de retour dans Digest et encodeRelease côté provenance, le correctif du retry manquant sur les conflits server-side apply, et deux bumps liés à des avis de sécurité Go — grpc vers 1.82.1 (GO-2026-6061) et otel vers v1.44.0 (GO-2026-5158).
Argo CD patche trois branches d'un coup : 3.5.1, 3.4.7 et 3.3.14
Release coordonnée sur les trois branches supportées le même jour — le schéma habituel quand quelque chose mérite un backport. Toutes les images restent signées avec cosign, avec une provenance SLSA niveau 3 pour les images et les binaires CLI.
Canva révoque des centaines de millions de sessions sans toucher à une base de données
C'est la pièce d'architecture de la semaine, à lire en entier. Le problème : les sessions en cookies chiffrés passent très bien à l'échelle, mais la révocation exige un lookup par requête. Canva a stocké les données de révocation dans S3 sous forme d'enregistrements compacts et immuables, distribués aux gateways comme index en mémoire. La fenêtre de révocation de 12 heures est découpée en objets S3 de 30 minutes téléchargés à la demande. Chaque révocation tient en 16 octets binaires (principal + timestamp), dans des tableaux triés permettant une recherche directe en mémoire : 87,5% d'empreinte cache en moins. Le worker traite plus de 2 000 révocations par seconde, et un chunk d'un million de révocations ne pèse que ~16 Mo.
Netflix : backpressure vers Kafka au lieu de jeter des enregistrements
Netflix a redessiné le pipeline derrière Service Topology, sa carte de dépendances en temps réel, et les décisions sont précieuses pour quiconque construit du streaming. Trois étapes séparant résolution des intermédiaires, enrichissement et persistance. Server-sent events plutôt que gRPC pour les transferts internes à haut volume. Et le choix clé : quand le graph storage ne suit plus, la pression remonte jusqu-à mettre en pause le consumer Kafka, laissant les enregistrements dans Kafka jusqu-au retour de la capacité. Résultat : une fraîcheur retardée sous charge plutôt que des données perdues.
Les buildpacks déplacent le point de contrôle du hardening hors du Dockerfile
Le vieux débat Dockerfile vs. buildpacks est devenu un argument de sécurité, et il est solide. Avec un Dockerfile, le choix de la base image et la cadence de patch reviennent à chaque équipe applicative ; avec les Cloud Native Buildpacks, ces décisions passent au platform engineering, qui décide de la vitesse de remédiation d'un CVE critique sur une flotte de centaines de services. Le mécanisme est la commande rebase : elle détecte une runtime base image plus récente et réécrit le manifest et la configuration OCI en échangeant les digests de la couche OS. C'est essentiellement une édition de JSON — des millisecondes, sans rebuild, sans accès au source, sans file d'attente CI. Le projet a été gradué à la CNCF le 17 juillet 2026.
pnpm 11.22.0 : installations globales atomiques et moins de re-résolution du lockfile
Release chargée, plusieurs points visent la supply chain. Nouveau pnpm cache path pour que la CI cache le répertoire de metadata — y compris le log de vérification du lockfile, permettant de sauter la re-vérification d'un lockfile inchangé face aux politiques configurées. Le pnpm-workspace.yaml d'un projet ne peut plus décider où pnpm garde ses credentials, sa propre installation ou le registry depuis lequel il se télécharge — configDir, npmrcAuthFile, userconfig et consorts y sont ignorés. Cela ferme un vecteur d'escalade via un dépôt hostile. Les installations globales basculent désormais de façon atomique. La 12.0.0-rc.6 est sortie le même jour.
Turborepo 2.10.10 : patche js-yaml, parcourt le dépôt une seule fois au pruning
Passe js-yaml à 4.3.1 pour GHSA-5p4m-2wfm-xmqj (CVSS 7.5) : consommation CPU quadratique lors de la résolution de !!omap, affectant 3.x et 4.x. Si js-yaml est dans votre arbre de dépendances — et c'est quasi certain — vérifiez votre version : les correctifs sont en 4.3.1 et 3.15.1. Côté features : turbo prune parcourt désormais le dépôt une seule fois, support des fichiers nub.lock, découverte des tasks pytest. À noter : le dépôt est déjà sur TypeScript 7.0.2.
Next.js 16.3.1 : cache, headers() en direct et bugs de prefetch
Gros patch, orienté serveur. La vue en direct de headers() sur la requête entrante est restaurée, les exports littéraux sont autorisés dans les fichiers 'use cache', et deux correctifs fins d'invalidation : seules les entrées de cache antérieures à une revalidation par tag sont écartées (les complétées sont réutilisées), et moins de versions stale sont retenues via un TTL avec fallback mtime. Côté Turbopack : HMR pour les dynamic imports évalués depuis les layouts.
better-auth 1.6.29 : le SSO n'accorde plus l'accès sur un domaine simplement revendiqué
Un correctif d'autorisation à lire attentivement. Dans @better-auth/sso, l'assignation automatique d'organisation par domaine d'email exige désormais un domaine de provider vérifié ET un email utilisateur vérifié — auparavant, un social sign-in pouvait accorder l'accès parce que le provider SSO se contentait de revendiquer le domaine. La vérification de domaine fige aussi les domaines du provider au début de la requête et retourne 409 avec SSO_PROVIDER_CHANGED si le provider change pendant la vérification DNS.
CVE-2026-55102 : hashi-vault-js fuite tokens et secrets dans les erreurs
Le token Vault et les valeurs des secrets sont exposés dans les exceptions lancées par la bibliothèque. Si ces erreurs atteignent votre logger, Sentry ou une réponse HTTP d'erreur, vos secrets sont déjà dans un système tiers. Bonne occasion d'auditer ce que sérialise votre error handler global.
CVE-2026-35219 : SSRF dans Budibase contourne la blacklist d'IP
Sévérité haute. Les automation steps Webhook, Zapier, N8N, Slack et Discord permettent de contourner la blacklist d'IP et d'atteindre des destinations internes. Le pattern se répète dans tout outil low-code avec des steps sortants : une blacklist d'IP est une défense fragile quand l'utilisateur contrôle l'URL. La vraie mitigation est un proxy egress avec allowlist.
CVE-2026-73080 : SSRF non authentifiée dans SeaweedFS avec lecture de la réponse
Sévérité critique. L'endpoint VolumeServer.FetchAndWriteNeedle permet une SSRF sans authentification et avec lecture de la réponse — ce n'est pas une SSRF aveugle : l'attaquant voit ce que retourne la destination interne. Si vous utilisez SeaweedFS comme object storage, vérifiez immédiatement l'exposition du volume server.
Tendances Notables
Semaine morte côté runtimes : Node.js, Deno, Bun et TypeScript n'ont publié aucune release entre le 10 et le 17 août. Les dernières étaient Node 26.7.0 le 5 août et TypeScript 7.0 le 8 juillet. D'où l'absence de section runtimes aujourd-hui — pas question d'inventer des nouvelles.
Le hardening se déplace du code applicatif vers la plateforme. Les buildpacks déplaçant le patching des CVE de chaque Dockerfile vers le platform engineering, pnpm fermant la porte à un dépôt hostile qui redirige les credentials, Helm bumpant ses dépendances sur avis Go, Turborepo patchant js-yaml. La question n'est plus de savoir si votre code est sûr, mais qui décide de la cadence de patch de votre flotte.
Trois CVE de cette semaine sont des SSRF ou de l'exfiltration par canal latéral : Budibase contourne les blacklists d'IP, SeaweedFS expose une SSRF non authentifiée avec lecture de la réponse, et hashi-vault-js fuite des secrets dans les messages d'erreur. Aucune n'est un overflow exotique — ce sont des défauts de conception aux frontières.
Les trois cas d'architecture de la semaine (Canva, Netflix deux fois, Spotify) partagent une idée : au lieu de scaler la base de données, ils ont changé la forme de l'accès. Un index externe sur le data lake, S3 plus un index en mémoire pour la révocation, du backpressure vers Kafka au lieu de jeter. Avant d'ajouter des réplicas, demandez-vous si le pattern d'accès a vraiment besoin de cette base.