Marzo de 2026: primero parchear, después notar que la mitad del mes lo escribió Umbraco HQ

· JD + AI · Umbraco

Marzo de 2026: primero parchear, después notar que la mitad del mes lo escribió Umbraco HQ

Si tiene Umbraco 16 o 17 en producción, revise su versión de parche antes de leer cualquier otra cosa de este post. El 10 de marzo Umbraco publicó un aviso de seguridad con tres vulnerabilidades, firmado por Andy Butland en el blog del propio fabricante. Afectadas: de la 16.0.0 a la 16.5.0, y de la 17.0.0 a la 17.2.1. Corregidas en 16.5.1 y 17.2.2.

La más grave de las tres es una escalada de privilegios en la management API: un endpoint sin autorización suficiente permite que un usuario se asigne a sí mismo, o asigne a otro, a grupos de usuario adicionales. Umbraco la clasifica como alta pero aclara que está "significantly mitigated in practice", porque la cuenta ya necesita acceso a la sección Users. La segunda es un XSS almacenado en las descripciones de property types, donde atributos de tipo manejador de eventos como onclick no se filtraban, y exige acceso a Settings. La tercera permite que un usuario autenticado asigne datos de dominio a nodos de contenido sobre los que no tiene permiso.

Fíjese en qué tienen en común esas tres mitigaciones. Todas asumen que el atacante ya es un usuario del backoffice, y en la mayoría de los proyectos la lista de gente con acceso a Settings o a Users es más larga que lo que alguien alguna vez documentó. Ese es el motivo para parchear, no el motivo para relajarse. Los sitios en Cloud que estaban en el último minor se parchearon el mismo día; si no está en 16.5.x o 17.2.x, el camino es la función de minor upgrade.

La mitad del registro del mes salió de umbraco.com

De los catorce ítems que citamos acá, siete son del blog propio de Umbraco HQ. Cincuenta por ciento. Eso es un dato sobre marzo y no sobre cómo lo cosechamos, y conviene decirlo con todas las letras: la agenda del mes la puso el fabricante, la agenda fue IA, y la comunidad respondió en fragmentos.

La línea de IA, contada por quienes la construyen

Phil Whittaker escribió dos de esos siete, ambos posts de fabricante sobre una iniciativa del fabricante: qué son los Agent Skills el 3 de marzo y la presentación del Agent Skill de extensiones del backoffice el 16. Lo concreto es una colección de más de 66 skills que cubren los tipos de extensión del backoffice, cargadas por lo que Umbraco llama progressive discovery en vez de volcadas al contexto todas juntas. El resumen de Whittaker: "Only what's needed, when it's needed."

La consecuencia es concreta y se puede medir esta misma semana. Si su equipo apunta hoy Claude Code o Cursor a una solución Umbraco, el modelo fue entrenado con tutoriales que van de la v8 a la v17 y los va a mezclar sin pudor, o va a escribir AngularJS. Esa es la falla que esto ataca. Una tarde instalando los skills se paga sola contra la hora que pierde la primera vez que un agente inventa un property editor que dejó de existir hace tres majors.

El product update del Q1 2026 — Filip Bech-Larsen, Umbraco — es el documento trimestral del fabricante: el lanzamiento de Umbraco Compose, trabajo de seguridad en Cloud, scoring explícito en Engage, la ISO 27001, Umbraco 13 LTS y el aviso de marzo. También anticipa "una nueva era" para Search. Tome la mitad prospectiva como intención y no como compromiso, y confirme cualquier fecha con Umbraco antes de armar el roadmap de un cliente alrededor de ella.

El equipo de comunidad de IA y el consejo asesor — Bolette Kern, Umbraco — nombra a 27 personas repartidas en dos grupos. La señal útil no es el anuncio sino la composición: desarrolladores de partners de un lado y, del otro, un consejo asesor formado por gente que se pasa la jornada laboral dentro del backoffice. Un fabricante de CMS que sienta a los editores en la mesa mientras diseña funcionalidades de IA está haciendo algo que la mayoría de sus competidores no hace.

Cómo funcionan los contextos en Umbraco AI — Matt Brailsford — es la única explicación del comportamiento real de la capa de IA que no salió de HQ, y es lo más claro que se publicó sobre el tema en marzo. Un contexto es "a reusable container of knowledge that gets injected into AI requests", armado con recursos que o se inyectan siempre en el system prompt (Always) o se traen a pedido (On Demand). El registro de la fuente marca interés comercial en el producto que describe, así que léalo como el recorrido de quien lo construye y no como una evaluación independiente. La distinción entre Always y On Demand es la parte que le va a definir la factura de tokens.

Las tres piezas que de verdad le ahorran plata

Proteger las imágenes de Umbraco con HMAC — Nathaniel Nunes. ImageSharp genera los crops a partir de parámetros de query string, lo que significa que cualquiera puede pedir combinaciones arbitrarias de ancho y alto, y cada par nuevo le cuesta un render. Nunes muestra el abuso y después la corrección, que es la clave secreta HMAC bajo Umbraco:CMS:Imaging:HMACSecretKey. Diez minutos de trabajo. Si paga cómputo por segundo, es el ítem de mayor retorno de toda esta lista.

OC.PowerSort — Owain Williams, que escribe en Owain Codes; la cosecha registró la firma como el handle del sitio, "Owain.Codes", y no como su nombre. Un dashboard de ordenamiento de contenido con órdenes de sort programadas y valores por defecto guardados, construido junto a Harrie Mayhem y publicado como OC.PowerSort 17.1.0 en NuGet. Si tiene código de ordenamiento a medida sosteniendo un carrusel o un listado de noticias, este es el mes de borrarlo.

Los bugfixes de la 17.2.2 — Dave Jonker. Una lectura comunitaria del parche que arranca con la expectativa correcta: "By the time a patch release drops, you're not expecting anything wild." Cubre correcciones de fricción en el backoffice, consistencia de la Content Delivery API frente a valores nulos o ausentes, y el comportamiento de la inyección de dependencias en el arranque. Es un resumen de comunidad y no el changelog oficial, así que confirme cualquier corrección puntual contra las release notes de Umbraco antes de citarla ante un cliente.

Dos menores. Umbraco.UI v2.0.0-alpha.1 salió el 3 de marzo, publicada bajo la cuenta de GitHub iOvergaard y sin nombre completo acreditado en la página de la release. Es un alpha y no hay nada que hacer todavía, pero trae un tema de alto contraste y un codemod de jscodeshift para los imports, lo que le dice que la v2 va a mover cosas de lugar. Quien mantenga extensiones del backoffice debería leer el documento de migración v1 a v2 ahora y no la semana en que la v2 sea estable. Y Williams publicó además una guía inicial del CLI de GitKraken el 24 de marzo, sobre una herramienta comercial y sin interés comercial declarado de su parte. No es específico de Umbraco, pero se lee bien si la ergonomía de Git le está costando tiempo al equipo.

Los de forma publicitaria, leídos con honestidad

Niels Christian Laursen firmó dos de los siete de HQ. El checklist de auditoría AEO/GEO (5 de marzo) es un post de fabricante que, aun así, contiene un checklist que un editor puede recorrer de verdad: encabezados, secciones que se sostienen solas, schema, señales de confianza, indexabilidad. Los resultados de G2 de la primavera 2026 (17 de marzo) es el fabricante resumiendo las puntuaciones que un sitio de analistas le puso a sí mismo. Es munición para un proceso de compras, que es un uso real y legítimo, y no es evidencia de ninguna otra cosa.

Meter IA en el sitio sin sumar riesgo — Chris Osterhout, Diagram. Diagram es una agencia que implementa este trabajo comercialmente, así que esto es una propuesta comercial, y da la casualidad de que adentro tiene un argumento correcto: anclar el asistente en páginas ya publicadas en lugar de dejarlo generar libremente. "The safest AI experiences don't create information." Además es lo más barato de construir, por lo que es el primer paso correcto y no solamente el prudente.

Qué fue marzo, y qué hacer con eso

Parchear, activar la clave HMAC, y después puede dejar el resto para dentro de un trimestre sin perderse gran cosa.

La observación incómoda es el 50%. Publicar los Agent Skills temprano es la decisión correcta de Umbraco, y un consejo asesor de IA con editores adentro es mejor gobernanza que la que logran casi todos los fabricantes de CMS. Pero un ecosistema donde el fabricante escribe la mitad del registro del mes es un ecosistema donde el contrapeso independiente a las afirmaciones de ese fabricante está flaco, y 2026 es justamente el año en que uno quiere ese contrapeso fuerte. Los tres posts de esta lista que cambiaron algo de lo que haríamos en un proyecto real salieron de tres personas escribiendo en sus propios dominios. Ahí es donde la proporción debería preocuparle.

Fuentes

Los títulos se conservan en su idioma original: así es como se cita un documento y así es como lo vas a encontrar.

umbraco · umbraco-cms · umbraco-backoffice · umbraco-apis · umbraco-cloud · product · community · release

2026 © Umbracolombia - Todos los derechos reservados.