Qué será de ese Dev que tenía su app de backend en PHP y frontend ejecutandose con Node, un backend con LiteLLM , desarrollada con OpenCode, con su codigo guardado en GitLab Self-Hosted y desplegada en Railway con certificados de eMudhra.

Al parecer, el día de hoy todo internet se está cayendo a pedazos. Y es que en Railway también: esta mañana detectaron que un tercero no autorizado pudo acceder a variables de entorno cifradas de clientes y, en algunos casos, descifrarlas. Así que han obtenidos claves como API keys y credenciales. Recomiendan rotarlas ya y revisar logs, ademas mientras investigan, han pausados los despliegues.

🚨 Si tienes un servidor con PHP, actualízalo hoy. Ya salió el parche y ya hay ataques reportados. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Todo lo anterior a esas versiones está afectado. Ayer habia mucha especulacion pero ahora sí es oficial: son 2 fallos en el núcleo de PHP (CVE-2026-109618 y CVE-2026-109619), conocidos como PHP2Shell, con gravedad 9.2 de 10, que permiten a un atacante ejecutar código de forma remota en servidores web sin iniciar sesión. Ambos son errores de memoria, en simple: PHP a veces no limpia bien la memoria entre una petición y otra, y un atacante puede aprovechar esos restos para meter su propio código. Y esto afecta a toda instalación de PHP que atienda peticiones web: PHP-FPM, Apache con mod_php, php-cgi, FrankenPHP y LiteSpeed. Los más expuestos son los que usan mod_php. Los ataques ya lo estan reportan empresas de seguridad: watchTowr detectó explotación real en su red de honeypots, Cloudflare dice que los ataques empezaron y Patchstack confirmó varios incidentes. PHP todavía no lo ha confirmado y CISA aún no los agregó a su catálogo de vulnerabilidades explotadas. Asi que si estás en versiones viejas: PHP ya no da soporte a 8.1 y anteriores, pero por la gravedad publicó parches mínimos para 7.4, 8.0 y 8.1, pensados para quien compila desde el código fuente. Las distros y proveedores con soporte largo recibieron los parches antes de la publicación, así que si tu PHP viene de Ubuntu, Debian o RHEL, revisa sus paquetes. Si estás en algo más viejo y sin proveedor, toca migrar. Lo que tienes que hacer hoy: ☑️ Actualiza a 8.5.12, 8.4.27, 8.3.36 o 8.2.35 ☑️ Reinicia PHP-FPM o Apache para que todos los procesos usen la versión nueva ☑️ Si usas Docker, reconstruye tus imágenes ☑️ En Debian/Ubuntu, confirma con apt changelog: php -v puede mostrar el número viejo aunque ya esté parchado ☑️ Si usas el repositorio de Remi, hoy no tendrá actualizaciones: cambia a los paquetes de tu distro o compila PHP desde el código fuente ☑️ Si no puedes actualizar ya: pon session.upload_progress.enabled=0 y reinicia todos los procesos. Eso bloquea el ataque demostrado por esa vía, pero no los demás caminos. Actualizar es la única protección confiable. ☑️ Si estás detrás de Cloudflare, ya hay reglas de firewall contra los vectores conocidos, disponibles para todos los clientes, incluso el plan gratis. Ayuda, pero no reemplaza el parche. WordPress, Laravel, WooCommerce, Magento… todo corre sobre PHP. El fallo está debajo de todos ellos: no se arregla actualizando plugins ni tu código, sino la versión de PHP del servidor.

Antes, saltar de una tarea a otra (el famoso context switching) era el enemigo del foco. Hoy, con agentes y tanta orquestación, es la descripción del puesto.

Tu agente instaló Vite, Vitest, ESLint, Prettier… y probablemente no sabes qué hace cada uno, pero ahora todo eso puede ser una sola herramienta. Se llama Vite+ y es de los mismos creadores de Vite: un solo comando (vp) que reúne todo lo que necesitas para tu proyecto web. ✅ Funciona con cualquier framework que use Vite: React, Vue, Svelte, Solid y más de 20 otros ✅ Dev y build con Vite y Rolldown, un bundler escrito en Rust ✅ Tests con Vitest, ya integrado ✅ Lint con Oxlint (Rust), entre 50 y 100 veces más rápido que Eslint ✅ Formato con Oxfmt (Rust), hasta 30 veces más rápido que Prettier ✅ Empaquetado de librerías con tsdown ✅ Tareas del proyecto con Vite Task ✅ También maneja tu runtime y tu gestor de paquetes ✅ Una sola config en vite.config.ts ✅ Gratis y open source (MIT) ¿Cómo migras? Con un solo comando: vp migrate viteplus.dev

Esta semana OpenCode sufrió un ataque de destilación muy importante que afectó a usuarios de Console que tenían vinculadas claves de OpenAI, Anthropic y Google. Es decir, los atacantes usaron esas claves para quemar créditos y a varios les llegaron facturas de cientos o miles de dólares sin que ellos hubieran hecho nada. Pero lo más interesante de todo esto es que Dax, cofundador de OpenCode, contó que llevaban 48 horas seguidas intentando atacar sus sistemas sin parar. Los atacantes usan agentes que no duermen, así que ellos también necesitan agentes para poder defenderse 24/7. Además, como dato interesante, cuando intentaron investigar el incidente con modelos de frontera, estos se negaron a ayudar porque se activaban sus restricciones de seguridad. O sea, tampoco servían para defenderse. Después consiguieron acceso a Daybreak Blue, un modelo de OpenAI con menos restricciones para seguridad defensiva, y ahí pudieron avanzar mucho mejor. Creo que esto es de esas cosas que van a pasar cada vez más seguido. Los atacantes pueden tirar agentes automatizados las 24 horas sin ningún problema ético ni restricción de seguridad, y el defensor tiene que pelear no solo contra el ataque, sino también contra las limitaciones de los modelos que usa para defenderse. El escenario de ciberseguridad con agentes ya no es teórico.

Primero escribieron TypeScript en TypeScript. 
Después lo reescribieron en Go “para que fuera más rápido”. 
Luego alguien lo portó a Rust con IA (porque había tokens de sobra). 
Y ahora lo volvieron a escribir en TypeScript… y dicen que es más rápido que el de Go. Están dando vueltas en círculos. Ya los desarrolladores no saben qué hacer con sus tokens.

Cuando le dejas al desarrollador que haga el marketing:

Un programador (Cheng Lou, que trabajó en React) acaba de hacer algo rarísimo: convertir un programa normal en una inteligencia artificial… sin entrenarla. Para entenderlo: • Un programa normal sigue reglas fijas: "si pasa esto, haz aquello". • Una IA es un montón gigante de números que aprende a partir de ejemplos. Su herramienta, Handwired, traduce esas reglas directamente a números. No hay entrenamiento: los números salen del propio código, y el resultado hace exactamente lo mismo que el programa original. ¿Lo interesante? Como ahora está en "formato IA", después puedes seguir enseñándole cosas como a cualquier IA. El código y la IA dejan de ser dos mundos separados. Su demo: un mini escritorio con ventanas, scroll y arrastrar, que por dentro funciona entero como una red neuronal. Es un experimento, no algo para usar mañana, pero es una pista interesante de hacia dónde puede ir el software. chenglou.me/handwired

Los mismos que clonaron con IA la suite de Adobe y Microsoft Office ahora van por otros programas populares: ya tienen su versión de AutoCAD y la más reciente es la de Figma. Ya son 13 apps, todas open source y escritas en Rust. Eso sí, no sirven para un trabajo real aun, pero quizás algún día lo hagan. getartcraft.com/apps

Lovable, Replit, v0 o Base44 son el no-code de esta época. Pasó lo mismo con Wix o WordPress en su momento. Pero hoy, si al menos sabes instalar un programa, crear tu propia app con Claude Code o Codex te da más control y no dependes de ninguna plataforma. Aun así, mucha gente prefiere la simplicidad de tenerlo todo en un solo lugar, y no tiene nada de malo. No es una estafa, es pagar por comodidad.

Si le pides a la IA que te cree un skill, te va a dar un archivo enorme que no vas a poder mantener. Estos son 7 consejos para crear los tuyos: 1. Hazlos simples. Pídele que lo reduzca a los pasos que le pediste, sin explicar lo obvio, y asegúrate de entenderlo. 2. Un skill para cada cosa. Mejor varios pequeños que uno que lo hace todo. Para el flujo completo, crea otro skill que los orqueste. 3. Automatiza lo que repites. Enséñale tus pasos uno a uno y al final pídele que los guarde como skill. 4. Dales herramientas. FFmpeg, yt-dlp o un MCP le permiten hacer lo que por sí solo no puede. Eso sí, con permisos controlados. 5. Incluye plantillas. Guárdalas en la carpeta assets/ y el resultado saldrá igual cada vez. 6. Ponles límites. Escribe lo que no debe hacer: "nunca hagas push a main". 7. Versiónalos. Guárdalos en tus dotfiles con Git y mejóralos con el uso: cuando fallen, corrige solo esa parte. Un skill es solo una carpeta con un archivo Markdown y funciona en Claude Code, Codex, Cursor, Gemini CLI y más. ¿Qué tarea de tu día a día convertirías en un skill?

Los comentarios pueden ser tu peor configuración actual para agentes de código. Un comentario que está explicando algo, el agente lo lee y lo toma como referencia para escribir el siguiente código. Lo replica una y otra vez y el repo se llena de código escrito de esa misma forma. Si colocaste un hack temporal para resolver algo, vas a terminar con una enorme cantidad de hacks temporales. Además, los comentarios ya no tienen tanto sentido cuando los agentes pueden leer el código completo por ti O bueno esto es básicamente lo que dice la creadora de los skills pstack

Anthropic creó su propio Git. Según cuentan, pasaron de 2.500 a más de 30.000 merges al día porque Claude escribe código muy rápido. Y es que como Git está pensado para humanos que trabajan offline, este ya no daba más. Así que en cinco meses armaron su propio sistema de control de versiones llamado Scion, y migraron su monorepo y redujeron la infraestructura a una fracción de lo que era antes. Así que al parecer en esta época de agentes, ni el control de versiones está seguro.

Al fin SpaceX une todos sus servicios de IA (Grok + Cursor + X Premium) en un solo plan llamado The X Subscription. Así que ahora tienes más uso por dólar y todo vinculado. 🚀

Mientras aquí debatimos si el Software esta muerto, allá afuera hay: - un taller que anota los pedidos en un cuaderno - una distribuidora que vive dentro de un Excel de 40 pestañas - una clínica que confirma citas llamando a cada paciente uno por uno Ninguno quiere aprender a vibecodear. No les interesa construir software. Quieren dejar de perder tiempo y plata. Si eres developer, deja de venderle a otros developers. El que entienda un negocio real y le resuelva un problema real con estas herramientas va a tener trabajo de sobra.