UmbracolombiaAbril de 2025: el aviso empeoró tres días después de que salió el parche
Umbraco publicó un parche para CMS 14 y 15 el 8 de abril de 2025 y describió la vulnerabilidad como moderada. El 11 de abril esa misma página decía alta. Si usted tomó su decisión de actualizar en esos tres días, la tomó sobre un número que ya no valía.
El aviso lo escribió Andy Butland en el blog oficial de Umbraco. Alcanza de 14.0.0 a 14.3.3 y de 15.0.0 a 15.3.0, con las correcciones en 14.3.4 y 15.3.1. La explotación requiere una sesión autenticada del backoffice, y eso es lo que mantuvo baja la primera calificación. La re-calificación salió de pensar mejor qué puede hacer después una cuenta de editor comprometida: la actualización menciona la capacidad de "upload files to non-permitted locations" y el impacto que eso podría causar. Umbraco le acredita el reporte responsable a Kevin Joensen, de Baldur, y aclara que el parche del 8 de abril ya resolvía el problema por completo. Los sitios en Cloud que corrían la última minor se parchearon solos.
El requisito previo es el costo real, no el parche
La frase que conviene leer dos veces es la de disponibilidad: los parches salen únicamente para la última minor de cada major soportada. Un sitio en 14.1 no recibe un parche. Recibe una actualización de minor, y después un parche. Umbraco lo presenta como "minimal effort per project", lo cual es razonable para un proyecto y engañoso para doce.
Es una política, no un accidente, y tiene una consecuencia que sobrevive a esta CVE puntual: si su organización trata las actualizaciones de minor como mantenimiento opcional, entonces su tiempo de respuesta ante un problema de seguridad no es el de una ventana de parcheo, es el de una actualización de minor sobre todo el parque. Abril de 2025 fue donde muchos equipos se enteraron.
Umbraco Cloud sumó una región, entornos no lineales y SSO en el backoffice
Bjarke Berg cubrió tres cambios de Cloud en un solo post del blog de Umbraco, que conviene leer como marketing de producto de un producto que Umbraco vende, porque es exactamente eso.
La región Central Canada sobre Azure hizo soft-launch el 7 de abril y se suma a West Europe, US, UK y Australia. Esa es una cuestión de compras más que un cambio de ingeniería: responde la pregunta de residencia de datos que corta las conversaciones con el sector público y el sector salud canadienses antes de que empiecen.
Flexible Environments es la que cambia el trabajo de todos los días. Berg lo plantea como que "you're no longer limited to a fixed linear deployment setup" de Development a Staging a Live, así que se puede agregar un entorno para aprobación del cliente o un carril de hotfix y borrarlo después. Estaba en beta cuando salió el post, con release completo esperado "within the next week or so" — es un plazo del fabricante, así que confirme el estado actual en el portal de Cloud antes de planificar sobre eso. Junto con ella llegaron los External Login Providers, que dan SSO de backoffice contra Entra ID, Okta, Google o Auth0.
La sostenibilidad apareció dos veces en tres semanas, y es consejo de rendimiento con otro saco
Dos de los posts de Umbraco de abril hacen el mismo argumento. El primero no lleva firma individual: está publicado bajo el nombre de Umbraco, y el registro no acredita a nadie, así que a nadie acreditamos. Está armado sobre una entrevista con Andy Eva-Dale, CTO de Tangent y uno de los asesores externos de sostenibilidad de Umbraco, cuya línea es que "sustainability in digital isn't about doing less, it's about doing things smarter". El post ubica a la infraestructura digital en casi el 4% de las emisiones globales de carbono, por encima de la aviación. Ese número sale del post del fabricante y es una estimación discutida en la literatura; tómelo como el encuadre de un argumento y no como una medición para llevarle a un directorio.
El segundo, de Lasse Fredslund, a quien el propio post identifica como Product Owner de Umbraco CMS, es una lista de cinco puntos: WebP y AVIF, lazy loading, ImageSharp, caché de salida y de partial views, minificar y agrupar, Brotli, un tema liviano en lugar de un starter kit inflado, y hosting verde — con Umbraco Cloud sobre Azure nombrado como ejemplo.
Cada punto de esa lista es correcto y ninguno es nuevo. Es el trabajo de rendimiento que ya debería estar haciendo, reargumentado en términos de carbono. No es una crítica al consejo, es una observación sobre a quién le habla: si el argumento del carbono es lo que finalmente logra que le aprueben el trabajo de caché, quédese con la victoria. Pero dos posts del fabricante en tres semanas sobre el mismo tema son posicionamiento y no un evento de producto, y leerlos como noticia lo va a dejar decepcionado.
uSync 15.1.6 corrige las importaciones que se rompen en el primer arranque
v15.1.6 es un release de parche para Umbraco v15 de Kevin Jump, que mantiene uSync, así que esto es el registro de qué cambió y no una evaluación de eso. Las correcciones se agrupan de manera muy pareja: culture y hostnames que no quedaban seteados al importar, orden del árbol que no se aplicaba a los ítems nuevos en una primera importación, un arreglo de boot en app-starting y correcciones de merge de bloques. Jump dice que "improves import on first boot and startup".
Ese grupo importa más de lo que sugiere un número de parche. La corrección de la primera importación es justamente el camino que recorre un entorno recién provisionado: un entorno nuevo de CI, un contenedor reconstruido, alguien que se incorpora un lunes. Los errores ahí son los que aparecen en el peor momento posible y se diagnostican mal como un pipeline roto.
Los otros dos ítems, y por qué este mes está tan flaco
El uProfile de abril es Ishraq Al Fataftah, CTO de ApplezTech en Jordania, doce años de trabajo con Umbraco encima, que dio algunas de las primeras sesiones de Umbraco en la región MENA y hoy integra el Orchestration Advisory Board. Es perfil de comunidad, no contenido técnico, y sirve sobre todo como mapa de a quién vale la pena seguir fuera del círculo habitual del norte de Europa.
La crónica de Dennis Adolfi sobre una noche de "AI in Action" en Gotemburgo, donde co-condujo una sesión sobre IA confiable, está en esta cosecha porque Adolfi es una voz de la comunidad Umbraco, no porque el post diga algo sobre Umbraco. Lo contamos con honestidad en vez de disfrazarlo.
Y eso lleva a la cobertura. Cinco de los siete ítems de acá — el 71% — vienen del blog propio de umbraco.com, y Umbraco escribe sobre productos que Umbraco vende. Sólo dos llegaron de otro lado, y uno de esos es la crónica de un evento. Este fue un mes reconstruido hacia atrás, armado desde archivos de feeds y no cosechado en vivo, y los feeds se truncan: la escritura de la comunidad es lo primero que se cae del borde de una ventana de RSS. Lea la forma de este mes como un agujero en nuestra red, no como silencio en el ecosistema.
De qué se trató realmente el mes
Si saca los dos posts de sostenibilidad y el perfil, abril de 2025 en Umbraco es un aviso de seguridad que empeoró después de los hechos, una funcionalidad de Cloud que cambia cómo despliegan los equipos, y un release de paquete que arregla el aprovisionamiento de entornos nuevos.
El aviso es el que debería cambiar algo en su organización, y no por esta vulnerabilidad. La política de parches de Umbraco asume que usted ya está en la última minor. Si no lo está, cada aviso futuro le va a costar una actualización antes de costarle un parche. Esa es una postura de mantenimiento que se elige por adelantado, en una semana tranquila, o que se elige sola en una semana mala.
Fuentes
Los títulos se conservan en su idioma original: así es como se cita un documento y así es como lo vas a encontrar.
- [Updated] Security Advisory, April 8 , 2025 - Patches for Umbraco CMS are now available — Andy Butland, Umbraco — Official blog
- More Flexibility. More Opportunities. More Umbraco Cloud. — Bjarke Berg, Umbraco — Official blog
- The hidden carbon footprint of digital: what enterprises aren’t measuring - but should be — la página no acredita autor, Umbraco — Official blog
- uProfile April 2025 - Ishraq Al Fataftah — Ishraq Al Fataftah, Umbraco — Official blog
- 5 Ways to Run a Leaner, Faster, and Greener CMS — Lasse Fredslund, Umbraco — Official blog
- KevinJump/uSync v15.1.6 - Booting 🥾 improvements. — Kevin Jump (registrado como
KevinJump), uSync releases - AI in Action: What’s next? — Dennis Adolfi