Lo nuevo hoy

Today's highlights

Points forts du jour

Click en cualquiera para ir al detalle

Click any item to jump to the full section

Cliquez un élément pour aller à la section complète

🔥

Top Stories

Seguridad

El paquete npm jscrambler comprometido: infostealer en Rust en 5 versiones

Con una credencial de publicación robada, un atacante subió cinco versiones maliciosas de jscrambler (8.14.0, 8.16.0, 8.17.0, 8.18.0, 8.20.0) en unas tres horas. Un hook preinstall larga un infostealer nativo en Rust que roba credenciales de AWS/Azure/GCP, tokens de CI, sesiones de browser, wallets y —ojo— los configs de Claude Desktop, Cursor, Windsurf, VS Code y Zed. Socket lo detectó a los 6 minutos. Actualizá a 8.22.0 y rotá TODO lo que haya tocado una máquina afectada, YA.

11 Jul 2026
thehackernews.com →
GA

TypeScript 7.0 GA: el compilador nativo en Go llega a estable

Se cerró Project Corsa: el compilador entero fue portado de TS-sobre-JS a Go nativo, con builds completas 8x a 12x más rápidas. VS Code pasó de 125.7s a 10.6s de type-check, y Slack reportó 40% menos tiempo en la merge queue. Encima usa 6-26% menos memoria. El asterisco: si estás en Vue, Svelte, Astro o MDX, esperá — todavía no hay API programática estable, eso llega en 7.1 (~octubre). Un golazo para la DX del backend TS puro.

08 Jul 2026
devblogs.microsoft.com →
Breaking

Node.js 26: Temporal por defecto, V8 14.6 y última release del ciclo par/impar

Llegó Node.js 26 (current). La Temporal API ya viene activada sin flags — adiós a los parches sobre Date. Trae V8 14.6 (con Map.prototype.getOrInsert() e Iterator.concat()), Undici 8.0 para fetch() y saca APIs legacy como writeHeader() y los _stream_*. Ojo: NODE_MODULE_VERSION saltó a 147, así que hay que recompilar addons nativos. Es la última bajo el esquema par/impar antes de pasar a cadencia anual.

08 Jul 2026
nodejs.org →

Backend TypeScript & Runtimes

Destacado

Bun se reescribe de Zig a Rust (con 64 agentes de Claude en paralelo)

Jarred Sumner contó cómo portaron el codebase de Bun de Zig a Rust en 11 días usando Claude Code, un Claude Fable 5 pre-release y ~50 workflows corriendo en paralelo sobre 4 worktrees, con pico de 64 agentes a la vez: 6.502 commits, 5.9B tokens de entrada. El motivo real: la mayoría de los bugs eran use-after-free y double-free que en Rust seguro son errores de compilación. Ya van 99.8% de compatibilidad de tests en Linux x64 y binarios 3-8 MB más chicos.

08 Jul 2026
bun.com →
Release

Deno 2.9.2: más foco en desktop y compatibilidad con Node

Deno 2.9.2 sigue empujando la línea 2.9 con el comando experimental deno desktop para apps cross-platform: llega deno check --desktop para type-checkear código desktop, APIs de opacidad/transparencia de ventana, autodetección de React Router y soporte de CSS modules en deno bundle. Suma fixes en deno install, el LSP y compat de node:net/node:process. Si venís del ecosistema web, la DX está cada vez más pulida.

08 Jul 2026
github.com/denoland →
🧩

Frameworks & Libraries

Destacado

Prisma Compute detecta NestJS solo y suma rollbacks + config en TypeScript

La beta pública de Prisma Compute ahora autodetecta NestJS en el deploy (se suma a Nuxt y Astro), acepta configuración en un archivo prisma.compute.ts para deploys reproducibles y permite rollback a cualquier versión previa desde la Console. Del lado de Prisma Next: los enums de PostgreSQL ahora mapean a uniones de valores tipadas, con lecturas y escrituras chequeadas contra los valores del enum. Prisma 7 ya es cliente 100% TypeScript, sin el query engine en Rust.

09 Jul 2026
releasebot.io →
🗄️

Databases & Data

Minor

Ecosistema PostgreSQL: Barman 3.19.1, powa-archivist 5.2.0 y pg_ivm 1.15

Semana movida en el tooling de Postgres: powa-archivist 5.2.0 (12 Jul) para el monitoreo de performance, Barman 3.19.0/3.19.1 (8 Jul) para backup y disaster recovery, y pg_ivm 1.15 (6 Jul), la extensión de vistas materializadas incrementales. El core sigue en la 18.x — PostgreSQL 19 está en Beta 1 y apunta a septiembre. Nada urgente, pero si automatizás backups con Barman, mirá el changelog.

12 Jul 2026
postgresql.org →
☁️

Cloud & DevOps

Destacado

Cloudflare: Durable Objects nuevos van a SQLite obligatorio + Workflows con retry adaptativo

Cambio de fondo: los namespaces nuevos de Durable Objects deben usar el backend SQLite (adiós al key-value para lo nuevo). Además, Workflows suma funciones de delay dinámico para retries adaptativos según el tipo de falla — y ojo con el pricing por-step que empieza a facturar el 10 de agosto. Del lado de AI, llegó Moondream 3.1 a Workers AI (visión edge con 32K de contexto) y Cloudflare Drop para deployar sitios estáticos sin siquiera tener cuenta.

09 Jul 2026
developers.cloudflare.com →
🏗️

Architecture & Best Practices

Destacado

Patrón writer + dos reviewers adversarios: cómo Bun evitó bugs en su rewrite con IA

La lección de arquitectura del rewrite de Bun no es «la IA escribe código», es el harness: un agente que escribe código corriendo junto a dos agentes de review cuyo único trabajo es encontrar por qué el código falla. Ese setup adversario cazó un use-after-free en el spawn de procesos antes del merge. Es el mismo principio de siempre — separar quien produce de quien verifica — aplicado a agentes. Si dirigís IA para generar código serio, no le pidas que se revise sola: ponele un refutador enfrente.

08 Jul 2026
simonwillison.net →
🔥

Top Stories

Security

jscrambler npm package compromised: Rust infostealer across 5 versions

Using a stolen publishing credential, an attacker pushed five malicious jscrambler releases (8.14.0, 8.16.0, 8.17.0, 8.18.0, 8.20.0) over roughly three hours. A preinstall hook drops a native Rust infostealer that grabs AWS/Azure/GCP credentials, CI tokens, browser sessions, crypto wallets and — notably — the config files of Claude Desktop, Cursor, Windsurf, VS Code and Zed. Socket flagged it six minutes after publish. Move to 8.22.0 and rotate everything that touched an affected machine.

11 Jul 2026
thehackernews.com →
GA

TypeScript 7.0 GA: the native Go compiler goes stable

Project Corsa is done: the whole compiler was ported from TS-on-JS to native Go, delivering 8x to 12x faster full builds. VS Code dropped from 125.7s to 10.6s type-check, and Slack reported 40% less merge-queue time. It also uses 6-26% less memory. The caveat: on Vue, Svelte, Astro or MDX, hold off — there is no stable programmatic API yet; that ships in 7.1 (~October).

08 Jul 2026
devblogs.microsoft.com →
Breaking

Node.js 26: Temporal on by default, V8 14.6, and the last odd/even release

Node.js 26 (current) is out. The Temporal API is now on without flags — no more patching around Date. It ships V8 14.6 (with Map.prototype.getOrInsert() and Iterator.concat()), Undici 8.0 for fetch(), and removes legacy APIs like writeHeader() and the _stream_* modules. Heads up: NODE_MODULE_VERSION bumped to 147, so native add-ons need a rebuild. It is the last release under the odd/even schedule before the yearly cadence.

08 Jul 2026
nodejs.org →

Backend TypeScript & Runtimes

Notable

Bun is being rewritten from Zig to Rust (with 64 Claude agents in parallel)

Jarred Sumner detailed how Bun s codebase was ported from Zig to Rust in 11 days using Claude Code, a pre-release Claude Fable 5, and ~50 workflows running in parallel across 4 worktrees, peaking at 64 agents at once: 6,502 commits, 5.9B input tokens. The real driver: most bugs were use-after-free and double-free that safe Rust turns into compile errors. They are already at 99.8% test compatibility on Linux x64 with binaries 3-8 MB smaller.

08 Jul 2026
bun.com →
Release

Deno 2.9.2: more desktop focus and Node compatibility

Deno 2.9.2 keeps pushing the 2.9 line and its experimental deno desktop command for cross-platform apps: deno check --desktop type-checks desktop code, plus window opacity/transparency APIs, React Router autodetection, and CSS module support in deno bundle. It also lands fixes in deno install, the LSP, and node:net/node:process compatibility.

08 Jul 2026
github.com/denoland →
🧩

Frameworks & Libraries

Notable

Prisma Compute auto-detects NestJS, adds rollbacks + TypeScript config

The public beta of Prisma Compute now auto-detects NestJS on deploy (joining Nuxt and Astro), takes configuration from a prisma.compute.ts file for reproducible deploys, and lets you roll back to any prior version from the Console. On Prisma Next: PostgreSQL enums now map to typed value unions, so reads and writes are checked against the enum s values. Prisma 7 is already a 100% TypeScript client, with the Rust query engine gone.

09 Jul 2026
releasebot.io →
🗄️

Databases & Data

Minor

PostgreSQL ecosystem: Barman 3.19.1, powa-archivist 5.2.0, and pg_ivm 1.15

Busy week in Postgres tooling: powa-archivist 5.2.0 (12 Jul) for performance monitoring, Barman 3.19.0/3.19.1 (8 Jul) for backup and disaster recovery, and pg_ivm 1.15 (6 Jul), the incremental materialized view extension. The core stays on 18.x — PostgreSQL 19 is in Beta 1, targeting September. Nothing urgent, but if you automate backups with Barman, check the changelog.

12 Jul 2026
postgresql.org →
☁️

Cloud & DevOps

Notable

Cloudflare: new Durable Objects go SQLite-only + Workflows gains adaptive retries

Structural shift: new Durable Object namespaces must use the SQLite backend (no more key-value for new ones). Workflows also gains dynamic delay functions for adaptive retries based on failure type — and note the per-step pricing that starts billing on August 10. On the AI side, Moondream 3.1 landed on Workers AI (edge vision with 32K context) and Cloudflare Drop lets you deploy static sites without even having an account.

09 Jul 2026
developers.cloudflare.com →
🏗️

Architecture & Best Practices

Notable

Writer + two adversarial reviewers: how Bun caught bugs in its AI rewrite

The architecture lesson from Bun s rewrite is not that AI writes code, it is the harness: a code-writing agent running alongside two review agents whose only job is to find why the code fails. That adversarial setup caught a use-after-free in process spawning before merge. It is the same old principle — separate the producer from the verifier — applied to agents. If you direct AI to generate serious code, do not ask it to review itself; put a refuter in front of it.

08 Jul 2026
simonwillison.net →
🔥

Top Stories

Sécurité

Le paquet npm jscrambler compromis : infostealer en Rust sur 5 versions

Avec une credential de publication volée, un attaquant a poussé cinq versions malveillantes de jscrambler (8.14.0, 8.16.0, 8.17.0, 8.18.0, 8.20.0) en trois heures environ. Un hook preinstall dépose un infostealer natif en Rust qui vole les credentials AWS/Azure/GCP, les tokens de CI, les sessions de navigateur, les wallets et — surtout — les fichiers de config de Claude Desktop, Cursor, Windsurf, VS Code et Zed. Socket l a détecté 6 minutes après. Passez à 8.22.0 et faites tourner tout ce qui a touché une machine affectée.

11 Jul 2026
thehackernews.com →
GA

TypeScript 7.0 GA : le compilateur natif en Go passe stable

Project Corsa est bouclé : le compilateur entier a été porté de TS-sur-JS vers Go natif, avec des builds complètes 8x à 12x plus rapides. VS Code est passé de 125,7s à 10,6s de type-check, et Slack a rapporté 40% de temps de merge-queue en moins. En prime, 6-26% de mémoire en moins. Le bémol : sous Vue, Svelte, Astro ou MDX, patientez — pas encore d API programmatique stable ; elle arrive en 7.1 (~octobre).

08 Jul 2026
devblogs.microsoft.com →
Breaking

Node.js 26 : Temporal par défaut, V8 14.6 et dernière release pair/impair

Node.js 26 (current) est là. La Temporal API est activée sans flags — fini les rustines autour de Date. Elle embarque V8 14.6 (avec Map.prototype.getOrInsert() et Iterator.concat()), Undici 8.0 pour fetch(), et retire des APIs legacy comme writeHeader() et les modules _stream_*. Attention : NODE_MODULE_VERSION passe à 147, il faut recompiler les add-ons natifs. C est la dernière release du schéma pair/impair avant la cadence annuelle.

08 Jul 2026
nodejs.org →

Backend TypeScript & Runtimes

Notable

Bun est réécrit de Zig vers Rust (avec 64 agents Claude en parallèle)

Jarred Sumner a détaillé comment le codebase de Bun a été porté de Zig vers Rust en 11 jours avec Claude Code, un Claude Fable 5 pré-release et ~50 workflows en parallèle sur 4 worktrees, avec un pic de 64 agents simultanés : 6 502 commits, 5,9 Md de tokens en entrée. La vraie raison : la plupart des bugs étaient des use-after-free et double-free que le Rust sûr transforme en erreurs de compilation. Déjà 99,8% de compatibilité de tests sur Linux x64, binaires 3-8 Mo plus petits.

08 Jul 2026
bun.com →
Release

Deno 2.9.2 : plus de focus desktop et compat Node

Deno 2.9.2 poursuit la ligne 2.9 et sa commande expérimentale deno desktop pour les apps cross-platform : deno check --desktop type-check le code desktop, plus des APIs d opacité/transparence de fenêtre, l autodétection de React Router et le support des CSS modules dans deno bundle. Des correctifs arrivent aussi dans deno install, le LSP et la compat node:net/node:process.

08 Jul 2026
github.com/denoland →
🧩

Frameworks & Libraries

Notable

Prisma Compute détecte NestJS seul, ajoute rollbacks + config TypeScript

La beta publique de Prisma Compute détecte désormais NestJS au déploiement (après Nuxt et Astro), prend sa configuration dans un fichier prisma.compute.ts pour des déploiements reproductibles, et permet un rollback vers toute version antérieure depuis la Console. Côté Prisma Next : les enums PostgreSQL mappent vers des unions de valeurs typées, lectures et écritures vérifiées contre les valeurs de l enum. Prisma 7 est déjà un client 100% TypeScript, sans le query engine en Rust.

09 Jul 2026
releasebot.io →
🗄️

Databases & Data

Mineur

Écosystème PostgreSQL : Barman 3.19.1, powa-archivist 5.2.0 et pg_ivm 1.15

Semaine chargée côté outillage Postgres : powa-archivist 5.2.0 (12 Jul) pour le monitoring de performance, Barman 3.19.0/3.19.1 (8 Jul) pour le backup et la reprise après sinistre, et pg_ivm 1.15 (6 Jul), l extension de vues matérialisées incrémentales. Le core reste en 18.x — PostgreSQL 19 est en Beta 1, visé pour septembre. Rien d urgent, mais si vous automatisez les backups avec Barman, regardez le changelog.

12 Jul 2026
postgresql.org →
☁️

Cloud & DevOps

Notable

Cloudflare : les nouveaux Durable Objects passent en SQLite obligatoire + Workflows avec retry adaptatif

Changement de fond : les nouveaux namespaces Durable Objects doivent utiliser le backend SQLite (fini le key-value pour les nouveaux). Workflows gagne aussi des fonctions de delay dynamique pour des retries adaptatifs selon le type d échec — et attention au pricing par step qui facture dès le 10 août. Côté IA, Moondream 3.1 arrive sur Workers AI (vision edge avec 32K de contexte) et Cloudflare Drop permet de déployer des sites statiques sans même avoir de compte.

09 Jul 2026
developers.cloudflare.com →
🏗️

Architecture & Best Practices

Notable

Writer + deux reviewers adversariaux : comment Bun a évité des bugs dans sa réécriture IA

La leçon d architecture de la réécriture de Bun n est pas «l IA écrit du code», c est le harness : un agent qui écrit du code tournant aux côtés de deux agents de review dont le seul rôle est de trouver pourquoi le code échoue. Ce dispositif adversarial a attrapé un use-after-free dans le spawn de processus avant le merge. C est le même vieux principe — séparer le producteur du vérificateur — appliqué aux agents. Si vous dirigez l IA pour générer du code sérieux, ne lui demandez pas de se relire seule ; mettez-lui un réfutateur en face.

08 Jul 2026
simonwillison.net →