← Backend y Fullstack

Backend & Fullstack — 28 Sep 2026

Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Seguridad

containerd: DoS en el pull de imágenes vía grafo de índice OCI amplificado

Durante PullImage, containerd recorre los descriptores hijos de un índice OCI sin límites de profundidad ni de ancho, y sin deduplicar bien. Un índice armado con grafos anidados o muy abiertos dispara CPU y memoria sin techo y deja colgada la creación de containers. Severidad medium (CVSS 6.9); parcheado en 1.7.36, 2.0.13, 2.2.9, 2.3.6 y 2.4.1. Si tus nodos de Kubernetes pueden pullear imágenes de registries que no controlás, actualizá el runtime.

25 Sep 2026
github.com/advisories →
Destacado

Aurora DSQL agrega foreign keys sin locks de tabla

La base distribuida de AWS ahora aplica integridad referencial (CASCADE, SET NULL, etc.). En vez de bloquear, verifica las constraints contra el snapshot de la transacción y detecta conflictos al commit con el mecanismo KEY SHARE de PostgreSQL; si hay choque, la transacción cae con error de serialización. Traducción: tu app necesita retry logic sí o sí, y AWS recomienda que las claves referenciadas no cambien seguido. Un golazo para quien no quería validar integridad a mano en la capa de aplicación.

28 Sep 2026
infoq.com →
Experimental

Vercel Labs lanza scriptc: TypeScript compilado a binario nativo

Compilador experimental que genera ejecutables sin Node, V8 ni motor JS. Tiene tres niveles: compilación estática por defecto, un quickjs-ng embebido (~620KB) para paquetes npm y código sin tipos, o rechazo en compile time con sugerencias de reescritura. Startup de 1.78ms contra 21.29ms de Bun y 61.78ms de Node, y 1.9MiB en idle, a cambio de menos throughput. Ojo: diverge a propósito de la semántica estándar de JS; leé la guía de limitaciones antes de entusiasmarte. Para CLIs y funciones cortas, interesante.

25 Sep 2026
infoq.com →
🧩

Frameworks & Libraries

Patch

BullMQ 6.3.9: opciones de conexión tipadas por backend

El fix de connection infiere las opciones específicas de cada backend en lugar de tapar los desajustes con casts. Parche chico, pero si tu config de conexión pasaba por un as, puede que TypeScript ahora te marque errores que antes estaban escondidos. Mejor así.

25 Sep 2026
github.com/taskforcesh/bullmq →
🗄️

Databases & Data

Destacado

Perplexity reemplaza DynamoDB con CobbleDB, un KV propio en Rust

Separaron el almacenamiento en tres piezas: Pillar (estado durable sobre YTsaurus), Lorry (agregación batch stateless vía S3) y CobbleDB (serving de baja latencia con RocksDB, cache en NVMe y replicación asíncrona). Con routing por zona, hedging especulativo y MultiGet, la mediana de batch-read bajó de 31.4ms a 5.60ms, a hasta 500k req/s, y el costo de storage cayó al menos 20%. Buen caso de estudio de separar durabilidad de serving.

25 Sep 2026
infoq.com →
☁️

Cloud & DevOps

Destacado

Docker Cloud Sandboxes: el mismo sandbox en tu laptop y en la nube

Sandboxes hosteados con aislamiento por microVM a nivel hardware, pensados para correr agentes de código. Usan el mismo modelo de aislamiento que los Docker Sandboxes locales y se mueven con sbx move my-project --to cloud. De yapa, Kits v3 empaqueta sandboxes preconfigurados como imágenes OCI estándar, compatibles con build y pull.

26 Sep 2026
infoq.com →
Destacado

GKE Pod Snapshots recortan hasta 89% el arranque de modelos

Checkpoint-restore basado en gVisor que captura memoria de CPU y GPU, file descriptors, threads y filesystem, y restaura el Pod salteando la inicialización: un modelo de 70B carga en 37 segundos. La compatibilidad se valida con un hash del spec del Pod (misma serie de máquina, arquitectura, kernel de gVisor y drivers de GPU); el modo rootfs-only afloja esas restricciones. El costo se muda a gestionar el ciclo de vida de los snapshots.

27 Sep 2026
infoq.com →
🏗️

Architecture & Best Practices

Destacado

MCP stateless: sin handshake ni Mcp-Session-Id, detrás de cualquier load balancer

La spec actualizada elimina el handshake initialize/initialized y el header Mcp-Session-Id, así que cada request se puede rutear a cualquier instancia: Lambda y serverless pasan a ser opciones naturales. Suma server/discover opcional, MRTR para interacciones de varios pasos con respuestas input_required, y W3C Trace Context para tracing distribuido. El estado no desaparece: se muda a tu aplicación e infraestructura, que es donde siempre tuvo que estar.

25 Sep 2026
infoq.com →
Destacado

Google reescribe giflib de C a Rust con IA y fuzzing diferencial

Tres etapas: traducción con Gemini, refinamiento humano de la semántica de punteros en la frontera FFI, y motores de testing diferencial que devuelven las fallas al modelo. Resultado: paridad bit a bit sobre 30 millones de GIFs reales, 200 millones de iteraciones de fuzzing, y la versión Rust resultó inmune a un heap write sin parchear en el original. La lección para cualquier migración: la IA acelera, pero sin un oráculo de tests diferencial y gente que entienda lifetimes, no llegás.

27 Sep 2026
infoq.com →
Minor

Grafana convierte resultados de tests en métricas persistentes

Hooks del ciclo de vida de Cypress capturan resultados, un Pushgateway de Prometheus los retiene mientras vive el job, y Grafana Alloy los scrapea. Así podés ver tendencias de duración, tasa de fallas y tests flaky en el tiempo, en vez de mirar cada corrida de CI aislada. El patrón aplica igual a Vitest o a tus suites de integración.

25 Sep 2026
infoq.com →
🔗

Fullstack

Pre-release

SvelteKit 3.0.0-next.30 sigue puliendo rumbo al major

Genera un tipo Path como never cuando no hay rutas, deja de filtrar un hashchange a los listeners al fijar el foco, y mantiene registrada una instancia de form.for cuando su derived se desconecta y reconecta. Salió junto a [email protected] y [email protected].

27 Sep 2026
github.com/sveltejs/kit →
🔥

Top Stories

Security

containerd: image-pull DoS via amplified OCI index graph

During PullImage, containerd walks an OCI index's child descriptors with no depth or breadth limit and weak deduplication. A crafted index with deeply nested or fanned-out graphs drives unbounded CPU and memory use and stalls container creation. Rated medium (CVSS 6.9); fixed in 1.7.36, 2.0.13, 2.2.9, 2.3.6 and 2.4.1. If your Kubernetes nodes can pull from registries you don't control, update the runtime.

25 Sep 2026
github.com/advisories →
Notable

Aurora DSQL adds foreign keys without table locks

AWS's distributed database now enforces referential integrity (CASCADE, SET NULL, etc.). Instead of locking, it checks constraints against the transaction snapshot and detects conflicts at commit using PostgreSQL's KEY SHARE mechanism; conflicting transactions fail with a serialization error. In practice, your app must implement retry logic, and AWS advises keeping referenced keys stable.

28 Sep 2026
infoq.com →
Experimental

Vercel Labs ships scriptc: TypeScript compiled to a native binary

An experimental compiler that emits executables with no Node, V8 or JS engine. Three tiers: static compilation by default, an embedded quickjs-ng (~620KB) for npm packages and untyped code, or a compile-time rejection with rewrite hints. Startup is 1.78ms vs 21.29ms for Bun and 61.78ms for Node, with 1.9MiB idle memory, traded against lower throughput. It deliberately diverges from standard JS semantics, so read the limitations guide first.

25 Sep 2026
infoq.com →
🧩

Frameworks & Libraries

Patch

BullMQ 6.3.9: backend-specific connection options are now inferred

The connection fix infers backend-specific options instead of hiding mismatches behind casts. Small patch, but if your connection config relied on an as, TypeScript may now surface errors that were previously hidden.

25 Sep 2026
github.com/taskforcesh/bullmq →
🗄️

Databases & Data

Notable

Perplexity replaces DynamoDB with CobbleDB, an in-house Rust KV store

Storage was split into three parts: Pillar (durable state on YTsaurus), Lorry (stateless batch aggregation via S3) and CobbleDB (low-latency serving on RocksDB with NVMe caching and async replication). Zone-affinity routing, speculative hedging and MultiGet cut median batch-read latency from 31.4ms to 5.60ms at up to 500k req/s, and storage cost dropped at least 20%.

25 Sep 2026
infoq.com →
☁️

Cloud & DevOps

Notable

Docker Cloud Sandboxes: the same sandbox on your laptop and in the cloud

Hosted sandboxes with hardware-enforced microVM isolation, aimed at running coding agents. They share the isolation model of local Docker Sandboxes and move with sbx move my-project --to cloud. Kits v3 also packages preconfigured sandboxes as standard OCI images that work with build and pull.

26 Sep 2026
infoq.com →
Notable

GKE Pod Snapshots cut model startup by up to 89%

gVisor-based checkpoint-restore that captures CPU and GPU memory, file descriptors, threads and filesystem state, then restores the Pod skipping initialization: a 70B model loads in 37 seconds. Compatibility is enforced by hashing the Pod's distilled spec (same machine series, architecture, gVisor kernel and GPU drivers); rootfs-only mode relaxes this. The work moves to snapshot lifecycle management.

27 Sep 2026
infoq.com →
🏗️

Architecture & Best Practices

Notable

Stateless MCP: no handshake, no Mcp-Session-Id, behind any load balancer

The updated spec drops the initialize/initialized handshake and the Mcp-Session-Id header, so each request can be routed to any instance, making Lambda and other serverless targets a natural fit. It adds an optional server/discover, MRTR for multi-step flows via input_required responses, and W3C Trace Context for distributed tracing. State doesn't vanish; it moves to the application and infrastructure layers.

25 Sep 2026
infoq.com →
Notable

Google rewrites giflib from C to Rust with AI and differential fuzzing

Three stages: Gemini translation, human refinement of pointer semantics at the FFI boundary, and differential testing engines that feed failures back to the model. The result reached bit-for-bit parity across 30 million real GIFs and 200 million fuzzing iterations, and the Rust version proved immune to an unpatched heap write in the original. The lesson for any migration: AI speeds it up, but you still need a differential test oracle and people who understand lifetimes.

27 Sep 2026
infoq.com →
Minor

Grafana turns test results into persistent metrics

Cypress lifecycle hooks capture results, a Prometheus Pushgateway holds them for short-lived jobs, and Grafana Alloy scrapes them. You get trends in duration, failure rate and flaky tests over time instead of isolated CI reports. The same pattern works for Vitest or integration suites.

25 Sep 2026
infoq.com →
🔗

Fullstack

Pre-release

SvelteKit 3.0.0-next.30 keeps polishing toward the major

Generates a never Path type when there are no routes, stops leaking a hashchange to app listeners when setting focus, and keeps a form.for instance registered when its derived disconnects and reconnects. Shipped alongside [email protected] and [email protected].

27 Sep 2026
github.com/sveltejs/kit →
🔥

Top Stories

Sécurité

containerd : DoS au pull d'images via un graphe d'index OCI amplifié

Pendant PullImage, containerd parcourt les descripteurs enfants d'un index OCI sans limite de profondeur ni de largeur, et déduplique mal. Un index forgé avec des graphes très imbriqués ou très larges provoque une consommation CPU et mémoire sans borne et bloque la création des containers. Sévérité medium (CVSS 6.9) ; corrigé en 1.7.36, 2.0.13, 2.2.9, 2.3.6 et 2.4.1.

25 Sep 2026
github.com/advisories →
Notable

Aurora DSQL ajoute les clés étrangères sans verrou de table

La base distribuée d'AWS applique désormais l'intégrité référentielle (CASCADE, SET NULL, etc.). Sans verrou, elle vérifie les contraintes sur le snapshot de la transaction et détecte les conflits au commit via le mécanisme KEY SHARE de PostgreSQL ; en cas de conflit, erreur de sérialisation. Votre application doit gérer les retries, et AWS conseille de garder les clés référencées stables.

28 Sep 2026
infoq.com →
Expérimental

Vercel Labs publie scriptc : TypeScript compilé en binaire natif

Compilateur expérimental qui produit des exécutables sans Node, V8 ni moteur JS. Trois niveaux : compilation statique par défaut, quickjs-ng embarqué (~620 Ko) pour les paquets npm et le code non typé, ou rejet à la compilation avec suggestions. Démarrage en 1,78 ms contre 21,29 ms pour Bun et 61,78 ms pour Node, 1,9 MiB au repos, au prix d'un débit plus faible. Il diverge volontairement de la sémantique JS standard.

25 Sep 2026
infoq.com →
🧩

Frameworks & Libraries

Patch

BullMQ 6.3.9 : options de connexion inférées par backend

Le correctif connection infère les options propres à chaque backend au lieu de masquer les incohérences par des casts. Si votre configuration passait par un as, TypeScript peut désormais signaler des erreurs jusque-là cachées.

25 Sep 2026
github.com/taskforcesh/bullmq →
🗄️

Databases & Data

Notable

Perplexity remplace DynamoDB par CobbleDB, un KV maison en Rust

Le stockage est découpé en trois : Pillar (état durable sur YTsaurus), Lorry (agrégation batch stateless via S3) et CobbleDB (service basse latence sur RocksDB, cache NVMe, réplication asynchrone). Routage par zone, hedging spéculatif et MultiGet font passer la latence médiane de 31,4 ms à 5,60 ms jusqu'à 500k req/s, avec au moins 20 % d'économie de stockage.

25 Sep 2026
infoq.com →
☁️

Cloud & DevOps

Notable

Docker Cloud Sandboxes : le même sandbox en local et dans le cloud

Sandboxes hébergés avec isolation microVM matérielle, conçus pour les agents de code. Même modèle d'isolation que les Docker Sandboxes locaux, déplaçables via sbx move my-project --to cloud. Kits v3 empaquette des sandboxes préconfigurés en images OCI standard compatibles build et pull.

26 Sep 2026
infoq.com →
Notable

GKE Pod Snapshots réduit jusqu'à 89 % le démarrage des modèles

Checkpoint-restore basé sur gVisor qui capture mémoire CPU et GPU, descripteurs, threads et système de fichiers, puis restaure le Pod sans phase d'initialisation : un modèle de 70B charge en 37 secondes. La compatibilité est vérifiée par hash du spec du Pod (même série de machine, architecture, noyau gVisor et pilotes GPU) ; le mode rootfs-only assouplit ces contraintes.

27 Sep 2026
infoq.com →
🏗️

Architecture & Best Practices

Notable

MCP stateless : sans handshake ni Mcp-Session-Id, derrière n'importe quel load balancer

La spec mise à jour supprime le handshake initialize/initialized et l'en-tête Mcp-Session-Id : chaque requête peut aller vers n'importe quelle instance, ce qui rend Lambda et le serverless naturels. Ajouts : server/discover optionnel, MRTR pour les échanges multi-étapes via input_required, et W3C Trace Context. L'état se déplace vers l'application et l'infrastructure.

25 Sep 2026
infoq.com →
Notable

Google réécrit giflib de C en Rust avec l'IA et le fuzzing différentiel

Trois étapes : traduction par Gemini, affinage humain de la sémantique des pointeurs à la frontière FFI, puis tests différentiels qui renvoient les échecs au modèle. Parité bit à bit sur 30 millions de GIF réels, 200 millions d'itérations de fuzzing, et une version Rust immunisée contre un heap write non corrigé de l'original.

27 Sep 2026
infoq.com →
Mineur

Grafana transforme les résultats de tests en métriques persistantes

Des hooks Cypress capturent les résultats, un Pushgateway Prometheus les conserve pour les jobs éphémères et Grafana Alloy les collecte. On suit ainsi durée, taux d'échec et tests instables dans le temps plutôt que rapport par rapport.

25 Sep 2026
infoq.com →
🔗

Fullstack

Pré-version

SvelteKit 3.0.0-next.30 continue d'affiner la version majeure

Génère un type Path never sans routes, ne fuit plus de hashchange vers les listeners lors du focus, et garde une instance form.for enregistrée quand son derived se reconnecte. Publié avec [email protected] et [email protected].

27 Sep 2026
github.com/sveltejs/kit →