TypeScript 6.0.3 — último patch en JS antes del rewrite en Go
Microsoft publicó TypeScript 6.0.3 el 16 de abril: update transicional antes de TypeScript 7, que será la reimplementación completa del compiler y del language service en Go (Project Corsa). El 6.x sigue siendo la última línea construida sobre el codebase JavaScript — 6.0 introdujo deprecaciones, cambios de defaults y el flag --stableTypeOrdering para matchear el comportamiento de TS 7. El 6.0.3 es principalmente estabilidad. Si todavía estás en 5.x, este es buen momento para planear el salto: aprovechá 6.x para limpiar warnings antes de que TS 7 estable cambie el juego.
Next.js 16.2.4 LTS — backport de fixes y parches de seguridad
Vercel liberó Next.js 16.2.4 el 15 de abril. Es una release LTS de bug-fixes sin features pending del canary. Lo importante para producción: fuerza maxPostponedStateSize (CVE-2026-27979), parchea http-proxy (CVE-2026-29057), arregla hangs en streaming fetch, aplica la transform de server actions dentro de node_modules, y bloquea websockets sensibles de privacidad en dev. También suma Google Fonts funcionando en Windows ARM64 y cache LRU en disco para imágenes. Si corrés 16.2.x en prod, actualizá sin pensarlo.
Drizzle ORM v1.0.0-beta.22 — commutativity checks correctos y fixes multi-driver
Drizzle v1.0.0-beta.22 llegó el 16 de abril con foco en corrección antes del GA. El cambio más interesante: commutativity checks actualizados en PostgreSQL y MySQL para que create_index sobre tablas distintas no se reporte como no-conmutativo (menos falsos positivos en análisis de historial de migraciones). Fixes: generación de migraciones en Windows, precisión de real() en MSSQL, D1 migration failures, constraints únicos en Postgres, e índices filtrados en MSSQL. mssql y @types/mssql pasan a peer deps opcionales. Si estás probando la v1 beta, esta iteración vale la pena.
AWS Weekly — Secrets Manager con PQC y Transform llega a VS Code y Kiro
El roundup semanal de AWS publicado el 20 de abril trae tres cosas relevantes para backend. Primera: Secrets Manager soporta intercambio de claves post-cuánticas híbrido con ML-KEM, activado automáticamente en Secrets Manager Agent 2.0+, Lambda Extension v19+ y CSI Driver 2.0+. Segunda: AWS Transform (la factory de migration agentic) ahora corre desde Kiro y una extensión de VS Code — upgrades de versión Java/Python/Node.js y migraciones de AWS SDK sin salir del IDE. Tercera: Claude Opus 4.7 GA en Amazon Bedrock, optimizado para agentes long-running. La parte PQC la podés agregar en tu backlog de cumplimiento 2026.
Kubernetes 1.36 en el horno — HPA scale-to-zero GA y DRA estable
A días del release planeado de Kubernetes 1.36 (22 de abril), el preview de la semana 16 compila lo que importa: HPA scale-to-zero habilitado por default tras 7 años en desarrollo (adiós a mantener una réplica fantasma para workloads intermitentes), Dynamic Resource Allocation (DRA) GA — clave para workloads AI/ML con GPUs compartidas —, user namespaces y OCI volumes estables, y SELinux mount-label para acelerar startup en nodos con SELinux. Removals: el plugin gitRepo (riesgo de seguridad) y el modo IPVS de kube-proxy. Si corrés EKS/GKE/AKS, prepará los tests en staging.
Axios CVE-2026-40175 — crítico en el paper, no explotable en Node real
Aikido publicó un análisis el 14 de abril desarmando el CVE-2026-40175 de Axios, clasificado crítico por permitir headers inseguros a nivel de librería. La conclusión técnica: en runtime Node real no es explotable porque el propio runtime bloquea los valores de header peligrosos antes de que lleguen a la wire. Axios «solo» falla en no enforcing la misma restricción a nivel de librería. Lección para el senior: no todo CVE crítico es urgente para tu stack. Leé el análisis de impacto antes de patch-panic — pero tampoco lo ignores si servís requests en entornos no-Node (Workers, Deno compat, browsers). Ojo, el CVSS sin contexto engaña.
CVE-2026-40931 — bypass del parche de compressing vía symlinks en git clone
GitLab publicó el 17 de abril un advisory sobre [email protected]: bypass completo del parche de CVE-2026-24884 mediante symlink poisoning entregado por git. El ataque requiere cero interacción más allá del workflow normal del desarrollador (git clone + node app.js) y permite escape de directorio al extraer. La cadena: un repo malicioso incluye un symlink que apunta fuera del working directory, el parche anterior validaba paths pero no resolvía los symlinks antes de escribir. Si tu pipeline de CI o workflow de dev hace unpack de archivos desde repos de terceros con compressing, actualizá a la fixed version y revisá logs.
Tendencias Destacadas
El runtime JavaScript se terminó de dividir en tres caminos sólidos — Node sigue siendo el default enterprise, Bun pisa fuerte en DX y memoria (1.3.13 baja 17x el install memory), y Deno mete tsgo experimental. La elección ya no es religiosa: es una decisión de perfil de workload.
Cloudflare Agents Week consolidó la idea de que los isolates V8 son el primitivo correcto para ejecutar código no confiable generado por agentes — arrancan en ms, aíslan sin container, y escalan horizontalmente sin warmup. AWS y GCP tienen que responder pronto o van a perder el mercado de sandboxes de IA.
Los CVEs de npm siguen siendo el talón de Aquiles del ecosistema (CVE-2026-40175 en Axios, CVE-2026-40931 en compressing esta semana), pero el análisis real del blast radius empieza a ganar terreno frente al patch-panic por CVSS. Leer el contexto antes de bloquear la pipeline es la skill senior que faltaba.
TypeScript 6.0.3 — final JS-based patch before the Go rewrite
Microsoft published TypeScript 6.0.3 on April 16: a transitional update before TypeScript 7, the full reimplementation of the compiler and language service in Go (Project Corsa). The 6.x line remains the last built on the JavaScript codebase — 6.0 introduced deprecations, default-value changes, and the --stableTypeOrdering flag to match TS 7 behaviour. 6.0.3 is mostly stability. If you're still on 5.x, plan the jump: use 6.x to clear warnings before TS 7 stable changes the game.
Next.js 16.2.4 LTS — bug-fix backport with security patches
Vercel shipped Next.js 16.2.4 on April 15. It's an LTS bug-fix release with no pending canary features. Production highlights: enforces maxPostponedStateSize (CVE-2026-27979), patches http-proxy (CVE-2026-29057), fixes streaming fetch hangs, applies the server actions transform inside node_modules, and blocks privacy-sensitive dev websockets. Also: Google Fonts working on Windows ARM64, image LRU disk cache. If you're on 16.2.x in prod, upgrade without thinking.
Drizzle ORM v1.0.0-beta.22 — proper commutativity checks and cross-driver fixes
Drizzle v1.0.0-beta.22 dropped on April 16 with correctness focus ahead of GA. Headline change: commutativity checks updated on PostgreSQL and MySQL so create_index on different tables no longer reports as non-commutative (fewer false positives in migration history analysis). Fixes: Windows migration generation, MSSQL real() precision, Cloudflare D1 migration failures, Postgres unique constraints, MSSQL filtered indexes. mssql and @types/mssql become optional peer deps.
AWS Weekly — Secrets Manager gets PQC, Transform lands in VS Code and Kiro
The AWS Weekly Roundup on April 20 has three backend-relevant items. First: Secrets Manager now supports hybrid post-quantum key exchange with ML-KEM, automatically enabled in Secrets Manager Agent 2.0+, Lambda Extension v19+, and CSI Driver 2.0+. Second: AWS Transform (the agentic migration factory) now runs from Kiro and a VS Code extension — Java/Python/Node.js version upgrades and AWS SDK migrations without leaving the IDE. Third: Claude Opus 4.7 GA in Amazon Bedrock, optimised for long-running agents.
Kubernetes 1.36 in the oven — HPA scale-to-zero GA and DRA stable
Days from the planned Kubernetes 1.36 release (April 22), the week-16 preview sums it up: HPA scale-to-zero enabled by default after 7 years in development (no more phantom replica for intermittent workloads), Dynamic Resource Allocation (DRA) GA — key for AI/ML workloads with shared GPUs —, user namespaces and OCI volumes stable, and SELinux mount-label support for faster startup on SELinux nodes. Removals: the gitRepo plugin (security risk) and IPVS mode in kube-proxy. If you run EKS/GKE/AKS, line up staging tests.
Axios CVE-2026-40175 — critical on paper, not exploitable on real Node
Aikido published an April 14 analysis dismantling Axios CVE-2026-40175, flagged critical for allowing unsafe header values at library level. The technical takeaway: on a real Node runtime it is not exploitable because the runtime itself blocks dangerous header values before they hit the wire. Axios «only» fails to enforce the same constraint at library level. Senior lesson: not every critical CVE is urgent for your stack. Read the impact analysis before patch-panicking — but don't ignore it if you serve requests in non-Node environments (Workers, Deno compat, browsers).
CVE-2026-40931 — compressing patch bypass via symlinks in git clone
GitLab published an April 17 advisory for [email protected]: a full bypass of the CVE-2026-24884 patch via symlink poisoning delivered over git. The attack requires zero interaction beyond the standard developer workflow (git clone + node app.js) and yields directory escape on extraction. Chain: a malicious repo includes a symlink pointing outside the working directory; the earlier patch validated paths but didn't resolve symlinks before writing. If your CI pipeline or dev workflow unpacks archives from third-party repos with compressing, move to the fixed version and audit logs.
Notable Trends
The JavaScript runtime split settled into three solid tracks — Node remains the enterprise default, Bun pushes hard on DX and memory (1.3.13 cuts install memory 17x), and Deno ships experimental tsgo. The choice is no longer tribal: it's a workload-profile decision.
Cloudflare Agents Week cemented the idea that V8 isolates are the right primitive for running untrusted agent-generated code — ms-level startup, no container overhead, horizontal scale with no warmup. AWS and GCP need to respond soon or lose the AI-sandbox market.
npm CVEs remain the ecosystem's Achilles heel (Axios CVE-2026-40175 and compressing CVE-2026-40931 this week), but real blast-radius analysis is finally gaining ground over CVSS-driven patch panic. Reading the context before blocking the pipeline is the senior skill the ecosystem was missing.
TypeScript 6.0.3 — dernier patch JS avant la réécriture en Go
Microsoft a publié TypeScript 6.0.3 le 16 avril: une mise à jour transitoire avant TypeScript 7, la réimplémentation complète du compilateur en Go (Project Corsa). La ligne 6.x reste la dernière construite sur le codebase JavaScript — 6.0 a introduit des dépréciations, des changements de valeurs par défaut et le flag --stableTypeOrdering. 6.0.3 est principalement de la stabilité.
Next.js 16.2.4 LTS — backport de correctifs et patches de sécurité
Vercel a publié Next.js 16.2.4 le 15 avril. C'est une release LTS de correctifs sans features pending du canary. Points chauds pour la prod: enforce maxPostponedStateSize (CVE-2026-27979), patche http-proxy (CVE-2026-29057), corrige les hangs de streaming fetch, applique la transform server actions dans node_modules.
Drizzle ORM v1.0.0-beta.22 — commutativity checks correctes et correctifs multi-driver
Drizzle v1.0.0-beta.22 est arrivé le 16 avril avec un focus correction avant la GA. Changement notable: commutativity checks mises à jour sur PostgreSQL et MySQL pour que create_index sur des tables différentes ne soit plus reporté comme non-commutatif. Corrections: génération de migrations sur Windows, précision real() MSSQL, migrations D1 Cloudflare, contraintes uniques Postgres.
AWS Weekly — Secrets Manager en PQC, Transform arrive sur VS Code et Kiro
L'AWS Weekly Roundup du 20 avril contient trois éléments pertinents pour le backend. Un: Secrets Manager prend en charge l'échange de clés post-quantique hybride ML-KEM, activé automatiquement dans Secrets Manager Agent 2.0+, Lambda Extension v19+ et CSI Driver 2.0+. Deux: AWS Transform disponible depuis Kiro et VS Code. Trois: Claude Opus 4.7 GA dans Amazon Bedrock.
Kubernetes 1.36 en préparation — HPA scale-to-zero GA et DRA stable
À quelques jours du release prévu de Kubernetes 1.36 (22 avril), le preview semaine 16 résume l'essentiel: HPA scale-to-zero activé par défaut après 7 ans de développement, Dynamic Resource Allocation (DRA) GA, user namespaces et OCI volumes stables, et support SELinux mount-label. Removals: plugin gitRepo et mode IPVS de kube-proxy.
Axios CVE-2026-40175 — critique sur papier, non exploitable en Node réel
Aikido a publié une analyse le 14 avril démontant le CVE-2026-40175 d'Axios, classé critique pour autoriser des valeurs de headers non sûres au niveau librairie. Conclusion technique: en runtime Node réel, il n'est pas exploitable — le runtime lui-même bloque les valeurs dangereuses. Axios «se contente» de ne pas enforcer la même contrainte. Leçon senior: tout CVE critique n'est pas urgent pour votre stack.
CVE-2026-40931 — contournement du correctif compressing via symlinks en git clone
GitLab a publié le 17 avril un advisory sur [email protected]: contournement complet du correctif CVE-2026-24884 via symlink poisoning livré par git. L'attaque ne nécessite aucune interaction au-delà du workflow dev standard (git clone + node app.js) et permet une évasion de répertoire à l'extraction.
Tendances Notables
Le split des runtimes JavaScript s'est stabilisé en trois pistes solides — Node reste le défaut enterprise, Bun pousse sur la DX et la mémoire (1.3.13 réduit la mémoire d'install 17x), et Deno livre tsgo expérimental. Le choix n'est plus tribal: c'est une décision de profil de workload.
L'Agents Week de Cloudflare a consolidé l'idée que les isolates V8 sont le bon primitif pour exécuter du code non fiable généré par des agents — démarrage en ms, pas d'overhead container, scale horizontal sans warmup. AWS et GCP doivent répondre bientôt ou perdre le marché des sandboxes IA.
Les CVEs npm restent le talon d'Achille de l'écosystème (CVE-2026-40175 Axios et CVE-2026-40931 compressing cette semaine), mais l'analyse réelle du rayon d'impact gagne du terrain face à la panique-patch pilotée par CVSS. Lire le contexte avant de bloquer la pipeline est la skill senior qui manquait.