Mayo de 2025: el parche que no se podía aplicar sin actualizar antes

· JD + AI · Umbraco

Mayo de 2025: el parche que no se podía aplicar sin actualizar antes

El 6 de mayo de 2025 Umbraco publicó un aviso de severidad moderada: los tiempos de respuesta del login filtraban información suficiente para enumerar nombres de usuario válidos. Estaban afectadas las versiones 10.0.0 a 10.8.9 y 13.0.0 a 13.8.0, y las correcciones salieron como 10.8.10 y 13.8.1. Ese es el mes entero en un solo ítem, y lo interesante no es la vulnerabilidad.

El aviso da por hecha la actualización que usted viene postergando

El aviso, escrito por Andy Butland en el blog oficial de Umbraco, es explícito sobre la forma de la corrección: "Patches are available for the latest minor on each supported major version". Si estaba corriendo 13.4, no había ningún parche 13.4.x esperándolo. Primero hacía el salto de minor y después tomaba el parche. En un sitio que no se mueve hace dieciocho meses eso no es un trabajo de quince minutos, y es la razón por la que un aviso moderado igual se come un sprint.

Los proyectos de Umbraco Cloud que estaban en el último minor quedaron parcheados automáticamente ese mismo día. Los que venían atrasados no, y tuvieron que usar la función de minor upgrade para llegar. Las majors sin soporte no reciben parche, que es la frase para reenviarle a quien todavía tenga un 8 en producción.

Umbraco acredita a tres personas de NTNU Gjøvik por el reporte y afirma que no hay indicios de explotación previa a la divulgación. Esta es una fuente oficial del fabricante para los números de versión de arriba, que es el estándar que sostenemos: no tome un número de versión parcheada de un resumen, incluido este, sin abrir las notas de la release.

Cuatro días antes, el blog del fabricante explicaba que actualizar ya no duele

El 2 de mayo el mismo blog publicó una pieza invitada sobre organizaciones de membresía, firmada por Umbraco y escrita por Cantarus, un Umbraco Platinum Partner. Es decir: el fabricante publicando a una agencia implementadora que argumenta a favor del producto que ambos venden. Su primer mito es que actualizar duele, y la respuesta es que desde que Umbraco 9 se movió a .NET Core las actualizaciones son "way more predictable and manageable".

Es cierto, y es también exactamente lo que el aviso puso a prueba cuatro días más tarde. Predecible no es lo mismo que gratis. Los equipos para los que el 6 de mayo fue un no-evento eran los que ya estaban en el último minor, que es una postura de mantenimiento y no una propiedad de la plataforma. Si esa pieza va a entrar en su próxima propuesta, acompáñela con el aviso: la versión honesta del argumento es que actualizar Umbraco sale barato cuando se hace de manera continua y caro cuando se hace una vez al año.

El software más útil del mes lo hicieron dos personas

Rick Butterfield publicó ContentAudit, un paquete que hace "first class site crawling and SEO auditing inside Umbraco" — palabras suyas, y vale aclarar que está anunciando algo que construyó él mismo a lo largo de unos seis meses. Se instala como Umbraco.Community.ContentAudit (1.0.0-beta al momento de escribir), agrega una sección Audit, rastrea el sitio y expone problemas como encabezados faltantes, meta descripciones ausentes y páginas huérfanas, con los resultados visibles además en un content app mientras el editor trabaja sobre la página. Los tipos de problema son extensibles vía IAuditPageIssue e IAuditImageIssue. Butterfield avisa sin vueltas que un crawl completo es intensivo y que conviene correrlo primero en staging. Tome en serio la etiqueta beta y es lo más parecido a tener Screaming Frog viviendo dentro del backoffice.

Owain Williams — el registro de la cosecha lo firma con el handle del sitio, Owain.Codes — publicó la historia de construir un plugin para Obsidian que empuja notas en Markdown hacia Umbraco como contenido. El plugin (Umbracidian) importa menos que el relato, que es uno de los pocos informes honestos de usar la Management API desde fuera de C#. Documenta el desvío de haber ido primero a la Delivery API, califica la salida de Swagger como inútil salvo que ya se sepa qué endpoint se busca, y señala que los ejemplos oficiales se detienen en traer cultures. Si va a automatizar algo contra el backoffice, léalo antes de presupuestar el trabajo.

Kevin Jump sacó las dos mitades de una semana de uSync. 15.1.8 son parches: mapeo de editorUIAlias, limpieza de JSON menos agresiva, corrección del list view por defecto y todas las cargas y guardados de XElement forzados a pasar por el file service. 16.0.0-rc es la señal más grande: elimina todo lo marcado como "obsoleto, se quita en v16", pasa el diccionario de configuración a <string, object> para que el IntelliSense de appsettings.json sirva de algo, y cambia el manejo del token de autenticación. Sus notas de release lo describen como construido contra Umbraco 16 RC2; eso es una afirmación del repositorio fuente sobre uSync y de segunda mano sobre el calendario de releases de Umbraco, así que confirme el lado del CMS en las notas oficiales antes de planificar una fecha.

En qué gastó el fabricante el resto del mes

Seis de los catorce ítems de Umbraco que nuestra cosecha devolvió para mayo salieron de umbraco.com — el 43% de la cobertura del mes es el fabricante hablando de su propio producto y de su comunidad, y conviene leer este post con esa ponderación. De esos seis, uno es el aviso y otro es un tutorial de producto: la cuarta parte de la serie de personalización, de Leon de Wildt, sobre segmentar por parámetros UTM y fuente de tráfico en Umbraco Engage. Engage es un complemento pago, así que léalo como documentación de algo que se compra y no como una técnica aplicable a una instalación estándar.

Los cuatro restantes son comunidad: los nominados a los Awards 2025 por Pernille Stausbøll, con ganadores a anunciarse en Codegarden; una entrevista uProfile con Cherie Gregory, de Koben Digital, por Lucy Brailsford; y el equipo comunitario de sostenibilidad 2025/2026, por Martin Wülser. Sirven si está eligiendo proyectos contra los cuales compararse o buscando con quién hablar de presupuesto de carbono. No sirven si está tratando de decidir qué hacer esta semana.

El único ítem de ecosistema del mes es Dennis Adolfi sobre Foundry Local, de Microsoft, que corre modelos abiertos como Phi-3 en la máquina propia, expone una API REST en localhost y no necesita suscripción de Azure. Eso no es una release de Umbraco y no vamos a fingir que lo sea. Es relevante porque Adolfi ya publicó un copiloto de backoffice construido sobre Semantic Kernel, y la inferencia local cambia la conversación de cumplimiento alrededor de ese tipo de trabajo: de "adónde va el contenido" a "a ningún lado".

Dónde se equivocó el registro

Dos entradas de nuestra cosecha en el conjunto de Umbraco son artículos de Sitecore: de Dean, los option sets de Dynamics en Sitecore Forms y las listas desplegables a medida con datos de Dynamics, ambos del 7 de mayo. El registro lo firma sólo con el nombre de pila; la fuente es el blog de Dean O'Brien y nuestro registro de fuentes marca a su empleador, Northumbria University, como interés comercial. Son buenos artículos y su lugar es un resumen de Sitecore, no este.

Una tercera entrada, un listado de tags en adolfi.dev, directamente no es un artículo. Es una página de categoría que no acredita a nadie, y su primera entrada es el mismo post de Foundry Local ya citado arriba. Enlazamos el artículo, no el listado.

Mayo es además un mes reconstruido hacia atrás, alcanzado a través de archivos de feeds y no cosechado en vivo, así que catorce ítems es un piso y no un censo. Todo lo que sólo existió en redes sociales, o en un blog que desde entonces cambió su feed, no está acá.

Qué haríamos con este mes

Dos personas publicaron el software que cambia lo que se puede hacer con Umbraco este mes, y ninguna de las dos trabaja para Umbraco. La mitad del instrumental de actualización del que depende el mercado es la cadencia de release de una sola persona, y llegó a un candidato de v16 antes de que hubiera salido el CMS al que apunta. Esa es la versión sana de un ecosistema abierto y es también un riesgo de concentración que nadie pone en el presupuesto de un proyecto.

Lo concreto que deja mayo de 2025 es más chico y más molesto. Si su camino al parche pasa por un salto de minor que no hizo, no tiene un camino al parche: tiene un proyecto. Vaya a mirar en qué minor están sus sitios de producción antes de que el próximo aviso decida el momento por usted.

Fuentes

Los títulos se conservan en su idioma original: así es como se cita un documento y así es como lo vas a encontrar.

umbraco · umbraco-cms · umbraco-cloud · product · community · release · seo · how-to

2026 © Umbracolombia - Todos los derechos reservados.