workerd v1.20260826.1: build diario del runtime de Cloudflare Workers
Nueva iteración diaria del runtime open source que corre debajo de Workers. Si fijás la versión de workerd en CI para que los tests de edge sean deterministas, este es el tag de hoy.
Oxc 0.147.0: minifier más agresivo y correcciones de codegen
El minifier ahora pliega switch cuyo padre no es un block statement, y se corrigen varios casos donde fusionar if dentro de for rompía en sloppy mode con function declarations. También hay mejoras de performance en los builds con sourcemap.
Effect 4.0.0-rc.112: el tren de release candidates sigue
Nuevo RC del ecosistema Effect, con toda la familia @effect/sql-sqlite-* y @effect/vitest alineada a la misma versión. Si estás evaluando Effect 4 para tu capa de dominio, seguí los RCs pero no fijes todavía una API en producción.
NestJS 11.2.2 y 11.2.3: dos parches seguidos para arreglos de bootstrap
11.2.2 arregla dos regresiones que rompían el arranque de la app: ObserveInstrument con @nestjs/[email protected] y un crash con proxy providers de nestjs-cls (ProxyProviderNotResolvedException en CLS_REQ). 11.2.3 llegó horas después con el fix de durable providers circulares. Si estás en 11.2.0 o 11.2.1, saltá directo a 11.2.3.
Prisma 7.10.0: un paquete de compatibilidad para correr Prisma 7 al lado de Prisma 8
Llega @prisma/prisma7, que te deja instalar prisma@8 y conservar el CLI y la config de la 7 en el mismo proyecto: npx prisma7 migrate dev convive con npx prisma. Prisma 7 ahora prefiere archivos de configuración versionados (prisma7.config.ts) para no chocar con prisma.config.*. También asegura el server local de Prisma Studio y arregla los adapters de PostgreSQL, MariaDB, Neon y SQLite. Esto es un golazo para migrar de a poco.
Prisma 8.0.0-rc.7: dos RCs en el mismo día antes del estable
Prisma publicó rc.6 y rc.7 el mismo día que el 7.10.0. La cadencia sugiere que el estable de la 8 está cerca; si vas a migrar, hacelo con el paquete de compatibilidad, no de un salto.
TanStack Router/Start: release train del 25 de agosto con Solid Start 2.0.0-rc.2
La línea Solid del ecosistema (@tanstack/solid-start, solid-router, sus paquetes de server y client) sube a 2.0.0-rc.2 dentro del release train diario. La paridad entre adaptadores de framework sigue cerrándose.
RDS for PostgreSQL sube a 18.6, 17.11, 16.15, 15.19 y 14.24
Barrido de minors en las cinco líneas soportadas. Los minors de PostgreSQL traen fixes de seguridad y corrupción: programá la ventana de mantenimiento, no la dejes correr sola en la ventana automática.
Aurora PostgreSQL suma 18.4, 17.10, 16.14, 15.18 y 14.23
Mismo barrido del lado de Aurora, un día antes que RDS. Ojo con la diferencia de numeración: Aurora va un minor por detrás de RDS en varias líneas, así que no asumas paridad al planear un blue/green.
RDS for MySQL habilita la minor 8.4.11
La línea 8.4 LTS de MySQL recibe su nueva minor en RDS. Update de rutina, pero es el camino de menor fricción para salir de 8.0 antes de que llegue el EOL.
BullMQ 6.2.1 y 6.2.2: stalled jobs con keys correctas y rate limit que deja de mentir
6.2.1 corrige los valores de key en move_stalled_jobs_to_wait — un bug silencioso que te desordena la recuperación de jobs colgados. 6.2.2 evita que el procesamiento de deferred failures consuma cuota del rate limiter (en los bindings de Python, Elixir, Rust y .NET).
Lambda soporta políticas IAM basadas en recurso completas
Hasta ahora la resource policy de Lambda era un subconjunto limitado. Con soporte completo podés expresar condiciones y denies reales sobre la función, en lugar de empujar toda la autorización al rol que invoca. Menos IAM enredado, más least privilege de verdad.
Lambda MicroVMs ahora soporta AWS PrivateLink
Conectividad privada a MicroVMs directamente desde tu VPC, sin salir a internet pública. Para arquitecturas reguladas donde el tráfico no puede tocar el borde, esto destraba el uso de MicroVMs.
EKS acepta múltiples proveedores OIDC externos por cluster
Antes era un IdP externo por cluster, lo que obligaba a federar todo por un único proveedor o a partir clusters por organización. Ahora podés convivir varios IdPs — útil en fusiones, multi-tenant y migraciones de identidad sin big bang.
ECS detecta y repara instancias con conectividad de agente degradada
El clásico nodo zombi: la instancia sigue viva, el agente perdió el enlace con el control plane y tus tasks quedan en el limbo. ECS ahora lo detecta y remedia solo. Un runbook manual menos.
Istio 1.31.0-rc.2
Segundo release candidate de la 1.31. Si mantenés un mesh, es la ventana para correr tus tests de conformance antes del estable, no después.
Microsoft mueve el governance de IA de la política al enforcement en runtime
El framework cubre nueve dominios (política, datos, modelos, agentes) con cuatro funciones: definición de política, enforcement de controles, observabilidad y generación de pruebas. La tesis arquitectónica es la que importa: la telemetría operativa tiene que validar el cumplimiento, no un documento. Aplicá el mismo criterio a cualquier control de tu sistema — si no lo podés observar en producción, no existe.
Vulnerabilidades en BMC exponen miles de servidores a compromiso a nivel hardware
El Baseboard Management Controller vive por debajo del SO: si cae, tu hardening del host es decoración. Si corrés bare metal o colocation, el BMC es parte de tu superficie de ataque y casi nunca está en el inventario de parcheo. Revisalo.
Java News Roundup: primer release candidate de JDK 27, Jakarta EE, Helidon y Tika 4.0
JDK 27 llega a RC1. No es TypeScript, pero si tu backend es políglota o consumís servicios JVM, la cadencia de LTS te condiciona los plazos de migración. Vale tenerlo en el radar.
Nuxt 4.5: SSR streaming experimental, Vite 8 y un builder Rspack sobre Rsbuild
El release más grande en tiempo: streaming SSR experimental que hace flush inmediato del shell HTML y renderiza el body progresivamente (mejor TTFB), salto a Vite 8, builder Rspack 2 vía Rsbuild, sistema estable de códigos de error y el composable useLayout. Ojo: unhead y unctx suben de major, así que tenés que refrescar el lockfile al actualizar.
Next.js 16.3.3 y 15.5.24: los releases que cierran los dos críticos
Ambas líneas soportadas reciben parche el mismo día. Si estás en cualquier versión desde la 10 en adelante y usás la Image Optimization API, no hay debate: actualizá hoy.
pnpm 12.0.0-rc.11: el CLI en Rust sigue afinándose
Otro RC de la línea 12, la que reescribe el CLI en Rust. Probalo en una rama de CI antes de que salga estable — el cambio de motor no es cosmético.
Turborepo 2.10.12: menos stats de package config y dry-run JSON en streaming
Dos mejoras de performance concretas: se saltean los stat de package configuration que no se usan, y la salida JSON del dry-run pasa a streaming. En monorepos grandes eso se nota en cada invocación de CI.
Astro 7.2.7 y la integración de Cloudflare 14.2.5
Tres patches en dos días (7.2.5, 7.2.6, 7.2.7) más @astrojs/[email protected] y el language server. Cadencia sana de bugfixes; si estás en 7.2.4 saltá directo al final de la fila.
Whistle: path traversal (CVSS 8.7)
El proxy de debugging HTTP más usado en entornos Node expone lectura de archivos fuera de su raíz. Whistle suele correr en máquinas de desarrollo con credenciales a mano: no lo dejes escuchando en 0.0.0.0.
urllib: los redirects cross-origin conservan headers con credenciales
Si el destino redirige a otro origen, tu Authorization viaja con él. Es la trampa clásica de todo cliente HTTP: cualquier endpoint que consumas y que controle su propio redirect puede quedarse con tu token. Revisá también tus wrappers internos de fetch.
mediasoup: la cookie de estado SCTP no está autenticada criptográficamente
Viola la RFC 9260 y permite establecer asociaciones sin autorización. Si tenés WebRTC con data channels en producción sobre mediasoup, esto es puerta de entrada, no un detalle de conformidad.
Plate: los metadatos del proveedor de media embebida saltean la sanitización de URL
Un embed puede terminar ejecutando JavaScript dentro de un iframe pese al saneamiento. Moraleja de arquitectura: sanitizar la URL no alcanza si después construís el iframe con metadata que viene del mismo input no confiable.
Tendencias Destacadas
Día de parches críticos en el frontend server-side: Next.js con dos RCE sin autenticar y Hono con tres fallos, ambos el mismo día. Si tenés Node en el borde, hoy tocaba actualizar, no leer.
La cadena de dependencias vuelve a morder: el RCE de Next.js no está en Next.js, está en libheif por debajo de sharp. Tu SBOM importa más que tu changelog.
DuckDB 2.0 y Prisma 7.10 apuntan al mismo problema desde lados opuestos: cómo evolucionar sin romper a quien ya está en producción. Uno con ABI versionada, el otro con un paquete de convivencia entre majors.
Nuxt 4.5 con Vite 8 y builder Rspack, pnpm 12 en Rust, Turborepo optimizando stats: el toolchain de JavaScript se sigue mudando a binarios nativos y a builders intercambiables.
workerd v1.20260826.1: daily build of the Cloudflare Workers runtime
Another daily iteration of the open-source runtime behind Workers. If you pin workerd in CI to keep edge tests deterministic, this is today s tag.
Oxc 0.147.0: a more aggressive minifier and codegen fixes
The minifier now folds switch statements whose parent is not a block statement, and several cases where merging if into for broke in sloppy mode with function declarations are fixed. Sourcemap builds also get performance work.
Effect 4.0.0-rc.112: the release-candidate train keeps rolling
Another RC across the Effect ecosystem, with the whole @effect/sql-sqlite-* family and @effect/vitest aligned on the same version. Track the RCs if you are evaluating Effect 4, but do not pin an API in production yet.
NestJS 11.2.2 and 11.2.3: two back-to-back patches for bootstrap breakage
11.2.2 fixes two regressions that broke app startup: ObserveInstrument with @nestjs/[email protected], and a crash with nestjs-cls proxy providers (ProxyProviderNotResolvedException on CLS_REQ). 11.2.3 landed hours later with a circular durable providers fix. On 11.2.0 or 11.2.1, jump straight to 11.2.3.
Prisma 7.10.0: a compatibility package to run Prisma 7 alongside Prisma 8
@prisma/prisma7 lets you install prisma@8 while keeping the Prisma 7 CLI and config in the same project: npx prisma7 migrate dev lives beside npx prisma. Prisma 7 now prefers version-specific config files (prisma7.config.ts) so they do not clash with prisma.config.*. It also secures Prisma Studio s local server and fixes the PostgreSQL, MariaDB, Neon and SQLite adapters.
Prisma 8.0.0-rc.7: two RCs in a single day ahead of stable
Prisma shipped rc.6 and rc.7 on the same day as 7.10.0. The cadence suggests stable 8 is close; if you plan to migrate, do it through the compatibility package rather than in one jump.
TanStack Router/Start: August 25 release train with Solid Start 2.0.0-rc.2
The Solid line of the ecosystem (@tanstack/solid-start, solid-router, plus their server and client packages) moves to 2.0.0-rc.2 inside the daily release train. Parity across framework adapters keeps closing.
RDS for PostgreSQL adds minor versions 18.6, 17.11, 16.15, 15.19 and 14.24
A sweep of minors across all five supported lines. PostgreSQL minors carry security and data-corruption fixes: schedule the maintenance window rather than letting the automatic one decide for you.
Aurora PostgreSQL now supports 18.4, 17.10, 16.14, 15.18 and 14.23
The same sweep on the Aurora side, a day before RDS. Mind the numbering gap: Aurora trails RDS by one minor on several lines, so do not assume parity when planning a blue/green.
RDS for MySQL now supports minor version 8.4.11
MySQL s 8.4 LTS line gets its new minor on RDS. Routine update, but it is the lowest-friction path off 8.0 before EOL lands.
BullMQ 6.2.1 and 6.2.2: correct keys for stalled jobs and a rate limit that stops lying
6.2.1 fixes the key values in move_stalled_jobs_to_wait — a silent bug that scrambles recovery of hung jobs. 6.2.2 stops deferred-failure processing from eating rate limiter budget (across the Python, Elixir, Rust and .NET bindings).
AWS Lambda functions now support full IAM resource-based policies
Lambda s resource policy was a limited subset until now. Full support lets you express real conditions and explicit denies on the function itself instead of pushing all authorization into the invoking role. Less tangled IAM, more actual least privilege.
AWS Lambda MicroVMs now supports AWS PrivateLink
Private connectivity to Lambda MicroVMs directly from your VPC, with no trip through the public internet. For regulated architectures where traffic cannot touch the edge, this unblocks MicroVM adoption.
Amazon EKS now supports multiple external OIDC identity providers per cluster
Previously one external IdP per cluster, forcing you to federate everything through a single provider or split clusters per organization. Multiple IdPs can now coexist — handy for mergers, multi-tenant setups, and identity migrations without a big bang.
Amazon ECS automatically detects and repairs container instances with impaired agent connectivity
The classic zombie node: the instance is alive, the agent lost its link to the control plane, and your tasks sit in limbo. ECS now detects and remediates this on its own. One less manual runbook.
Istio 1.31.0-rc.2
Second release candidate for 1.31. If you run a mesh, this is the window to run your conformance tests before stable — not after.
Microsoft moves AI governance from policy to runtime enforcement
The framework spans nine domains (policy, data, models, agents) with four functions: policy definition, control enforcement, observability, and proof generation. The architectural thesis is what matters: operational telemetry must validate compliance, not documentation. Apply the same test to any control in your system — if you cannot observe it in production, it does not exist.
BMC vulnerabilities put thousands of servers at risk of hardware-level compromise
The Baseboard Management Controller lives below the OS: if it falls, your host hardening is decoration. If you run bare metal or colocation, the BMC is part of your attack surface and is almost never in the patch inventory. Go check it.
Java News Roundup: first JDK 27 release candidate, Jakarta EE, Helidon and Tika 4.0
JDK 27 reaches RC1. Not TypeScript, but if your backend is polyglot or you consume JVM services, the LTS cadence drives your migration timelines. Worth keeping on the radar.
Nuxt 4.5: experimental SSR streaming, Vite 8 and an Rsbuild-powered Rspack builder
Their biggest release in a while: experimental SSR streaming that flushes the HTML shell immediately and renders the body progressively (better TTFB), a jump to Vite 8, an Rspack 2 builder via Rsbuild, a stable error-code system, and a useLayout composable. Heads up: unhead and unctx get major bumps, so refresh your lockfile on upgrade.
Next.js 16.3.3 and 15.5.24: the releases that close both criticals
Both supported lines get patched the same day. If you are on anything from 10 onward and use the Image Optimization API, there is no debate: upgrade today.
pnpm 12.0.0-rc.11: the Rust CLI keeps tightening up
Another RC on the 12 line, the one rewriting the CLI in Rust. Try it on a CI branch before stable lands — the engine swap is not cosmetic.
Turborepo 2.10.12: fewer package-config stats and streamed dry-run JSON
Two concrete performance wins: unused package-configuration stat calls are skipped, and dry-run JSON output is now streamed. In large monorepos that shows up on every CI invocation.
Astro 7.2.7 and the Cloudflare integration 14.2.5
Three patches in two days (7.2.5, 7.2.6, 7.2.7) plus @astrojs/[email protected] and the language server. A healthy bugfix cadence; if you are on 7.2.4, jump straight to the end of the queue.
Whistle vulnerable to path traversal (CVSS 8.7)
The HTTP debugging proxy widely used in Node environments exposes file reads outside its root. Whistle usually runs on developer machines with credentials nearby: do not leave it listening on 0.0.0.0.
urllib: cross-origin redirects preserve credential-bearing headers
If the target redirects to another origin, your Authorization header goes along. It is the classic HTTP-client trap: any endpoint you consume that controls its own redirect can walk off with your token. Audit your internal fetch wrappers too.
mediasoup: SCTP state cookie lacks cryptographic authentication
It violates RFC 9260 and allows unauthorized association establishment. If you run WebRTC data channels in production on mediasoup, this is an entry point, not a conformance footnote.
Plate: media embed provider metadata bypasses URL sanitization
An embed can end up executing JavaScript inside an iframe despite sanitization. Architectural lesson: sanitizing the URL is not enough if you then build the iframe from metadata sourced from the same untrusted input.
Notable Trends
A critical-patch day for server-side frontend: Next.js with two unauthenticated RCEs and Hono with three flaws, both on the same day. If you run Node at the edge, today was for upgrading, not reading.
The dependency chain bites again: the Next.js RCE is not in Next.js, it is in libheif underneath sharp. Your SBOM matters more than your changelog.
DuckDB 2.0 and Prisma 7.10 attack the same problem from opposite ends: how to evolve without breaking whoever is already in production. One with a versioned ABI, the other with a package that lets two majors coexist.
Nuxt 4.5 on Vite 8 with an Rspack builder, pnpm 12 in Rust, Turborepo trimming stats: the JavaScript toolchain keeps migrating to native binaries and swappable builders.
workerd v1.20260826.1 : build quotidien du runtime Cloudflare Workers
Nouvelle itération quotidienne du runtime open source derrière Workers. Si vous épinglez workerd en CI, voici le tag du jour.
Oxc 0.147.0 : minifier plus agressif et correctifs de codegen
Le minifier replie désormais les switch dont le parent n est pas un bloc, et plusieurs cas de fusion if vers for en mode sloppy sont corrigés.
Effect 4.0.0-rc.112 : le train de release candidates continue
Nouvelle RC de l écosystème Effect, avec toute la famille @effect/sql-sqlite-* alignée sur la même version.
NestJS 11.2.2 et 11.2.3 : deux correctifs consécutifs au démarrage
11.2.2 corrige deux régressions bloquant le démarrage : ObserveInstrument avec @nestjs/[email protected] et un crash avec les proxy providers de nestjs-cls. 11.2.3 ajoute le correctif des durable providers circulaires.
Prisma 7.10.0 : un paquet de compatibilité pour faire cohabiter Prisma 7 et Prisma 8
@prisma/prisma7 permet d installer prisma@8 tout en conservant le CLI et la config Prisma 7 dans le même projet. Prisma 7 privilégie désormais des fichiers de config versionnés et sécurise le serveur local de Prisma Studio.
Prisma 8.0.0-rc.7 : deux RC le même jour avant la version stable
Prisma a publié rc.6 et rc.7 le même jour que la 7.10.0. La version stable 8 approche ; migrez via le paquet de compatibilité.
TanStack Router/Start : train de versions du 25 août avec Solid Start 2.0.0-rc.2
La ligne Solid de l écosystème passe en 2.0.0-rc.2 dans le train de versions quotidien. La parité entre adaptateurs continue de se resserrer.
RDS for PostgreSQL ajoute les versions mineures 18.6, 17.11, 16.15, 15.19 et 14.24
Mise à jour des versions mineures sur les cinq lignes supportées. Les mineures PostgreSQL apportent des correctifs de sécurité : planifiez la fenêtre de maintenance.
Aurora PostgreSQL prend en charge 18.4, 17.10, 16.14, 15.18 et 14.23
Même vague côté Aurora, un jour avant RDS. Attention à l écart de numérotation lors d un blue/green.
RDS for MySQL prend en charge la version mineure 8.4.11
La ligne 8.4 LTS de MySQL reçoit sa nouvelle mineure sur RDS. Mise à jour de routine avant l EOL de 8.0.
BullMQ 6.2.1 et 6.2.2 : bonnes clés pour les jobs bloqués et rate limit corrigé
6.2.1 corrige les clés de move_stalled_jobs_to_wait. 6.2.2 empêche le traitement des échecs différés de consommer le quota du rate limiter.
Les fonctions AWS Lambda supportent des politiques IAM complètes basées sur les ressources
La resource policy de Lambda était jusqu ici un sous-ensemble limité. Le support complet permet d exprimer de vraies conditions et des refus explicites sur la fonction elle-même.
AWS Lambda MicroVMs supporte désormais AWS PrivateLink
Connectivité privée aux MicroVMs Lambda directement depuis votre VPC, sans passer par l internet public.
Amazon EKS supporte plusieurs fournisseurs OIDC externes par cluster
Auparavant limité à un IdP externe par cluster. Plusieurs IdP peuvent désormais coexister — utile pour les fusions et les migrations d identité.
Amazon ECS détecte et répare les instances dont l agent perd la connectivité
Le nœud zombie classique : l instance est vivante mais l agent a perdu le lien avec le control plane. ECS détecte et corrige désormais tout seul.
Istio 1.31.0-rc.2
Seconde release candidate de la 1.31. C est la fenêtre pour lancer vos tests de conformité avant la stable.
Microsoft fait passer la gouvernance IA de la politique à l application au runtime
Le framework couvre neuf domaines avec quatre fonctions : définition de politique, application des contrôles, observabilité et génération de preuves. La thèse architecturale : la télémétrie opérationnelle doit valider la conformité, pas la documentation.
Des vulnérabilités BMC exposent des milliers de serveurs à une compromission matérielle
Le Baseboard Management Controller se situe sous le système d exploitation : s il tombe, le durcissement de l hôte ne sert à rien. Sur du bare metal, le BMC fait partie de votre surface d attaque.
Java News Roundup : première release candidate de JDK 27, Jakarta EE, Helidon et Tika 4.0
JDK 27 atteint sa RC1. Si votre backend est polyglotte, la cadence LTS conditionne vos délais de migration.
Nuxt 4.5 : streaming SSR expérimental, Vite 8 et un builder Rspack via Rsbuild
Leur plus grosse version depuis longtemps : streaming SSR expérimental, passage à Vite 8, builder Rspack 2 via Rsbuild, système stable de codes d erreur et composable useLayout. Attention : unhead et unctx changent de version majeure.
Next.js 16.3.3 et 15.5.24 : les versions qui corrigent les deux failles critiques
Les deux lignes supportées sont corrigées le même jour. Si vous utilisez l API d optimisation d images, mettez à jour aujourd hui.
pnpm 12.0.0-rc.11 : le CLI en Rust continue de se peaufiner
Nouvelle RC de la ligne 12, celle qui réécrit le CLI en Rust. Testez-la sur une branche CI avant la stable.
Turborepo 2.10.12 : moins de stats de config et JSON de dry-run en streaming
Deux gains de performance : les appels stat inutiles sont évités et la sortie JSON du dry-run est diffusée en streaming.
Astro 7.2.7 et l intégration Cloudflare 14.2.5
Trois patchs en deux jours plus @astrojs/[email protected] et le language server. Si vous êtes en 7.2.4, passez directement à la dernière.
Whistle vulnérable à une traversée de chemin (CVSS 8.7)
Le proxy de débogage HTTP expose la lecture de fichiers hors de sa racine. Ne le laissez pas écouter sur 0.0.0.0.
urllib : les redirections cross-origin conservent les en-têtes d authentification
Si la cible redirige vers une autre origine, votre en-tête Authorization suit. Auditez aussi vos wrappers fetch internes.
mediasoup : le cookie d état SCTP n est pas authentifié cryptographiquement
Cela viole la RFC 9260 et permet d établir des associations sans autorisation. Un point d entrée, pas un détail de conformité.
Plate : les métadonnées du fournisseur d embed contournent la sanitisation d URL
Un embed peut exécuter du JavaScript dans une iframe malgré la sanitisation. Sanitiser l URL ne suffit pas si l iframe est construite depuis les mêmes données non fiables.
Tendances Notables
Journée de correctifs critiques côté serveur : Next.js avec deux RCE non authentifiées et Hono avec trois failles, le même jour.
La chaîne de dépendances frappe encore : la RCE de Next.js vient de libheif sous sharp. Votre SBOM compte plus que votre changelog.
DuckDB 2.0 et Prisma 7.10 abordent le même problème : évoluer sans casser la production. L un via une ABI versionnée, l autre via un paquet de cohabitation entre majeures.
Nuxt 4.5 sur Vite 8, pnpm 12 en Rust, Turborepo qui optimise : la toolchain JavaScript continue sa migration vers des binaires natifs.