GitHub Actions: Node24 será default desde el 16 de junio, Node20 muere en otoño
GitHub confirmó (actualización del 19 de mayo) que los runners pasan a usar Node24 por default a partir del 16 de junio de 2026, con Node20 totalmente removido en otoño. Para testear antes: FORCE_JAVASCRIPT_ACTIONS_TO_NODE24=true. Para opt-out post-cutoff: ACTIONS_ALLOW_USE_UNSECURE_NODE_VERSION=true (ojo al naming: unsecure implica que no hay parches de seguridad). Si publicás actions tuyas con runs.using: node20, actualizá YA. Mismo día GitHub removió el campo code_scanning_upload de la respuesta del endpoint REST de rate limit.
Vitest v4.1.7: fixes y estabilidad sobre Vitest 4.1 (test tags, aroundEach/All, AI agent reporter)
Vitest publicó v4.1.7 el 21 de mayo, una patch de estabilidad sobre la línea 4.1. Si todavía no migraste a 4.1 (anunciada en marzo y ya pulida), tenés: test tags para filtrar y configurar grupos, modo experimental que bypassea el module runner de Vite, nuevos lifecycle hooks aroundEach / aroundAll (envolvé tests en transacciones de DB o tracing spans), inferencia de tipos mejorada en fixtures vía test.extend builder, y un reporter dedicado para AI coding agents. Combo perfecto con la migración a Drizzle rc.3 si querés ahora correr los tests adentro de una transacción Postgres y descartar al final.
Cloudflare Wrangler corta `dev --remote` para KV-backed Durable Objects
Desde el 18 de mayo Wrangler ya no soporta el flag legacy dev --remote para Durable Objects que usan KV como backend — ahora devuelve error. El flag nunca soportó el storage backend SQLite (que es el recomendado). Para todos los Durable Objects, usá wrangler dev local. Bonus: el Developer Platform sumó soporte de Cloudflare Tunnel para compartir sesiones locales desde Wrangler o el plugin Vite, dándote una URL pública para previews, webhooks y testing cross-device. Adiós a ngrok para muchos casos.
Defensa de supply chain 2026: lockfile diffs, allowlist de extensiones VS Code, scoped tokens npm
Tres oleadas TeamPCP en mayo (durabletask, AntV/atool, GitHub-via-VSCode-extension) dejan el playbook claro: (1) bloqueá publicación de versiones nuevas sin firma vía npm publish --provenance + Sigstore + verificación en CI; (2) bajá a scoped tokens por package (cada token con permiso a un solo paquete) — los automation tokens globales son el agujero; (3) en VS Code, configurá extensions.allowedExtensions a una allowlist firmada y prohibí instalación arbitraria por usuario; (4) en CI corré npm ci con --ignore-scripts por default y allowlist explícita de paquetes que sí pueden correr postinstall. El blog de Microsoft Security sobre AntV explica el flujo end-to-end de robo desde IMDS hasta Vault.
The Register: Shai-Hulud keeps burrowing (314 paquetes)
Cobertura de The Register sobre la oleada del 19 de mayo, con foco en el rol del atacante y la cuenta atool.
Tom's Hardware: detalles del breach a GitHub vía extensión VS Code
Resumen detallado del modus operandi: empleado infectado, repos exfiltrados y la oferta de venta de USD 50.000.
Wiz Blog: análisis técnico de durabletask por TeamPCP
Wiz desarma el payload de durabletask: wiper Linux, lateral movement multi-cloud y atribución a TeamPCP.
Comunicado oficial: Percona sponsorea pgBackRest
Press release oficial de Percona sobre la coalición que reactiva pgBackRest.
Tendencias Destacadas
TeamPCP ya lleva cuatro oleadas en mayo: SAP CAP (29 abr), TanStack (11 may), durabletask + AntV/atool (19 may) y GitHub interno (20 may). El patrón es siempre cuenta comprometida + publicación masiva en minutos antes de detección. Si no estás corriendo allowlist de extensiones de VS Code + scoped tokens npm + provenance verificada en CI, sos el blanco fácil de la próxima.
El caso pgBackRest marca un cambio: las grandes empresas finalmente entienden que sostener un maintainer único de infra crítica es barato comparado con el costo de un incidente. AWS + Supabase + Percona poniendo plata por uno solo es el patrón que esperamos ver replicado en otros proyectos de un solo bus-factor (mirá: pnpm, esbuild, undici).
Drizzle ORM acelera hacia v1.0 estable con el respaldo de PlanetScale: rc.2 cambió el casing API y rc.3 portó esos cambios a MySQL. Si arrancás un Next.js o Hono nuevo en 2026, el stack default ya es Next/Hono + Drizzle v1 + Better Auth + Postgres + Valkey. Prisma sigue dominando en descargas (7.8M/sem) pero Drizzle duplicó su base en un año.
GitHub Actions: Node24 becomes default on June 16, Node20 dies in the fall
GitHub confirmed (May 19 update) that runners switch to Node24 as default on June 16, 2026, with Node20 fully removed in the fall. Test early via FORCE_JAVASCRIPT_ACTIONS_TO_NODE24=true. Opt out post-cutoff with ACTIONS_ALLOW_USE_UNSECURE_NODE_VERSION=true (note the naming: unsecure means no security patches). If you publish actions with runs.using: node20, update now. Same day GitHub also removed the code_scanning_upload field from the rate-limit REST endpoint response.
Vitest v4.1.7: stability fixes on top of Vitest 4.1 (test tags, aroundEach/All, AI agent reporter)
Vitest shipped v4.1.7 on May 21, a stability patch on top of the 4.1 line. If you haven't migrated to 4.1 yet (announced in March, now polished), you get: test tags for filtering and configuring groups, experimental mode that bypasses Vite's module runner, new aroundEach / aroundAll lifecycle hooks (wrap tests in DB transactions or tracing spans), improved type inference in fixtures via test.extend builder, and a dedicated reporter for AI coding agents. Pairs nicely with the Drizzle rc.3 migration if you want tests to run inside a Postgres transaction and roll back at teardown.
Cloudflare Wrangler removes `dev --remote` for KV-backed Durable Objects
From May 18 Wrangler no longer supports the legacy dev --remote flag for KV-backed Durable Objects — it now errors out. The flag never supported the recommended SQLite storage backend. For all Durable Objects, use local wrangler dev. Bonus: the Developer Platform added Cloudflare Tunnel support to share local dev sessions from Wrangler or the Vite plugin, giving you a public URL for previews, webhooks and cross-device testing. Bye ngrok for many use cases.
Supply chain defense 2026: lockfile diffs, VS Code extension allowlists, scoped npm tokens
Three TeamPCP waves in May (durabletask, AntV/atool, GitHub-via-VSCode-extension) make the playbook obvious: (1) block unsigned publishes via npm publish --provenance + Sigstore + CI verification; (2) migrate to scoped tokens per package (one token, one package permission) — global automation tokens are the hole; (3) in VS Code, set extensions.allowedExtensions to a signed allowlist and block arbitrary per-user installs; (4) in CI run npm ci with --ignore-scripts by default plus an explicit allowlist of packages permitted to run postinstall. Microsoft Security's AntV writeup walks the full IMDS-to-Vault credential theft chain.
The Register: Shai-Hulud keeps burrowing (314 packages)
The Register coverage of the May 19 wave, focused on attacker tradecraft and the atool account.
Tom's Hardware: GitHub breach details via VS Code extension
Detailed writeup of the modus operandi: infected employee, exfiltrated repos and the $50,000 sale offer.
Wiz Blog: deep technical analysis of durabletask by TeamPCP
Wiz tears down the durabletask payload: Linux wiper, multi-cloud lateral movement and TeamPCP attribution.
Official press release: Percona sponsors pgBackRest
Official Percona press release on the coalition reviving pgBackRest.
Notable Trends
TeamPCP racked up four waves in May: SAP CAP (Apr 29), TanStack (May 11), durabletask + AntV/atool (May 19) and GitHub-internal (May 20). The pattern is always compromised account + mass publish within minutes before detection. If you're not running a VS Code extension allowlist + scoped npm tokens + verified provenance in CI, you're the easy target of the next wave.
The pgBackRest case marks a shift: big companies finally get that sustaining a sole maintainer of critical infra is cheap compared to the cost of an incident. AWS + Supabase + Percona chipping in for one person is the pattern we expect to see replicated in other single-bus-factor projects (see: pnpm, esbuild, undici).
Drizzle ORM is accelerating toward stable v1.0 backed by PlanetScale: rc.2 reshaped the casing API and rc.3 ported those changes to MySQL. If you start a new Next.js or Hono project in 2026, the default stack is now Next/Hono + Drizzle v1 + Better Auth + Postgres + Valkey. Prisma still dominates downloads (7.8M/wk) but Drizzle doubled its base in a year.
GitHub Actions : Node24 par défaut le 16 juin, Node20 meurt à l'automne
GitHub a confirmé (mise à jour du 19 mai) que les runners passent à Node24 par défaut le 16 juin 2026, Node20 totalement retiré à l'automne. Test anticipé via FORCE_JAVASCRIPT_ACTIONS_TO_NODE24=true. Opt-out post-cutoff via ACTIONS_ALLOW_USE_UNSECURE_NODE_VERSION=true. Si vous publiez des actions avec runs.using: node20, mettez à jour maintenant.
Vitest v4.1.7 : fixes et stabilité sur Vitest 4.1 (test tags, aroundEach/All, AI agent reporter)
Vitest a publié v4.1.7 le 21 mai, patch de stabilité sur la ligne 4.1. Si vous n'avez pas migré : test tags, mode bypass du module runner Vite, hooks aroundEach/aroundAll, inférence de types via test.extend, reporter dédié pour agents IA.
Cloudflare Wrangler retire `dev --remote` pour les Durable Objects KV
Depuis le 18 mai, Wrangler ne supporte plus le flag legacy dev --remote pour les Durable Objects backed-KV — il renvoie une erreur. Utilisez wrangler dev en local. Bonus : support de Cloudflare Tunnel pour partager une session locale via URL publique.
Défense supply chain 2026 : diffs de lockfile, allowlist d'extensions VS Code, tokens npm scopés
Trois vagues TeamPCP en mai rendent le playbook évident : (1) bloquez les publishes non signés via npm publish --provenance + Sigstore + vérification CI ; (2) migrez vers des tokens scopés par package ; (3) dans VS Code, allowlist signée d'extensions ; (4) en CI, npm ci --ignore-scripts par défaut.
The Register : Shai-Hulud creuse encore (314 paquets)
Couverture The Register de la vague du 19 mai, focus sur le mode opératoire et le compte atool.
Tom's Hardware : détails du breach GitHub via extension VS Code
Synthèse détaillée du mode opératoire : employé infecté, repos exfiltrés, offre de vente à 50 000 USD.
Wiz Blog : analyse technique de durabletask par TeamPCP
Wiz décortique le payload durabletask : wiper Linux, lateral movement multi-cloud et attribution TeamPCP.
Communiqué officiel : Percona sponsorise pgBackRest
Communiqué officiel de Percona sur la coalition relançant pgBackRest.
Tendances Notables
TeamPCP cumule quatre vagues en mai : SAP CAP (29 avr), TanStack (11 mai), durabletask + AntV/atool (19 mai) et GitHub interne (20 mai). Pattern systématique : compte compromis + publish massif en minutes avant détection. Sans allowlist d'extensions VS Code + tokens npm scopés + provenance vérifiée en CI, vous êtes la cible suivante.
Le cas pgBackRest marque un tournant : les grandes entreprises comprennent enfin que financer un mainteneur unique d'infra critique coûte moins cher qu'un incident. Le pattern AWS + Supabase + Percona pour une seule personne devrait se reproduire sur d'autres projets à bus-factor 1 (pnpm, esbuild, undici).
Drizzle ORM accélère vers v1.0 stable, soutenu par PlanetScale : rc.2 a refondu l'API casing et rc.3 a porté ces changements vers MySQL. Pour un nouveau Next.js ou Hono en 2026, la stack par défaut est désormais Next/Hono + Drizzle v1 + Better Auth + Postgres + Valkey.