UmbracolombiaSeptiembre de 2025: el servidor MCP pasó a manos de Umbraco y Smidge necesitaba parche
Si todavía mantiene un sitio en Umbraco 13, septiembre de 2025 le dejó exactamente una cosa en la lista: parchear. Todo lo demás que produjo el mes fue interesante, no urgente, y la mayor parte fue plomería de IA.
Conviene decir la forma del mes antes que los ítems, porque la forma es la nota. Once ítems de Umbraco pasaron nuestro piso en treinta días, y seis salieron de umbraco.com: el 55% del registro del mes lo escribió la empresa que vende el producto. Otros tres fueron sobre MCP, el protocolo para conectar asistentes de IA con aplicaciones. Un mes que es mitad comunicación del fabricante y un cuarto herramental de IA no tiene mucha noticia operativa adentro, y este post no va a fingir que sí.
La vulnerabilidad estaba en Smidge, no en Umbraco
Aviso de seguridad del 23 de septiembre de 2025 — Andy Butland, en el blog de Umbraco y sobre el producto de Umbraco
El fallo estaba en Smidge, la biblioteca de bundling y minificación en tiempo de ejecución que Umbraco 13 usa por defecto. Butland describe el impacto como la posibilidad de enumerar nombres de usuario en el servidor web o de agotar el espacio disponible en disco, calificado por Umbraco como moderado y bajo. Afecta a las versiones 13.0.0 a 13.10.0. La corrección viene en 13.10.1, y lo único que cambia entre una y otra es la actualización de la dependencia Smidge.
Ese último dato es el útil. Si mover la versión no entra en el trimestre, agregue referencias
directas a Smidge.InMemory y Smidge.Nuglify en 4.6.0 dentro de su .csproj y listo. Los
sitios en Cloud que ya estaban en el último minor se parchearon el mismo día; los que estaban en
un minor anterior necesitaron primero la vía de actualización de minor. Sobre los majors fuera de
soporte el aviso es tajante: las versiones sin soporte "can be subject to the vulnerability, but
will not receive a patch".
Umbraco adoptó el servidor MCP de la comunidad
Anuncio de la beta del Developer MCP Server para Umbraco CMS — Phil Whittaker, en el blog de Umbraco
El servidor MCP de Umbraco salió de la cuenta personal de GitHub de Matthew Wise y pasó a la
organización umbraco, con el paquete renombrado a @umbraco-cms/mcp-dev. Whittaker le agradece
a Wise por haberlo alojado hasta entonces. El paquete ahora sigue la numeración mayor de Umbraco:
esta beta suma soporte de Umbraco 16, y Umbraco 15 se queda en la ubicación anterior de NPM.
Lo que importa cuando esto se apunta al entorno de un cliente es el alcance. Cuatro variables de
entorno (UMBRACO_INCLUDE_TOOLS, UMBRACO_EXCLUDE_TOOLS y sus equivalentes
_TOOL_COLLECTIONS) encienden y apagan áreas enteras de la management API: document, media,
member, template, webhook y una docena más. Encima de eso, las herramientas que ve el asistente
quedan filtradas por los permisos del propio usuario de API en Umbraco. El diseño es correcto y
también es la advertencia. El radio de daño de un asistente es el radio de daño del usuario de
API que le entregó, así que entréguele uno angosto.
Experimentos con un servidor MCP para Umbraco Engage — Corné Hoskam
Una prueba de concepto que pone los endpoints de analítica y de tests A/B de Engage detrás del mismo MCP, con el cliente TypeScript generado desde el Swagger de la management API de Engage 16 usando Orval. Hoskam le pide a Claude las cinco páginas más vistas en tres ventanas de tiempo y después una hipótesis sobre qué diferencia de contenido explica que una variante gane. Nuestro registro de fuentes no consignaba interés comercial en este post; el propio post dice otra cosa, y preferimos corregir el registro antes que dejar que se lea como comentario independiente. Hoskam escribe como empleado de Umbraco: "Within Umbraco we will continue our research into what's possible with MCP support".
Migraciones de datos con MCP — Dennis Adolfi
El post de Adolfi son 71 palabras y un enlace; el argumento vive en una pieza de LinkedIn titulada "Rethinking Data Migrations using MCP". Sirve saber que existe si las migraciones son su dolor actual, pero la entrada del blog es un puntero, no una pieza.
uSync parcheó dos majors en tres días
uSync v16.0.5 y uSync v13.3.2 — Kevin Jump, notas de release del paquete que él mismo mantiene
16.0.5, del 22 de septiembre, corrige un orden topológico donde una key no coincidía internamente, agrega los block item converters, rehace el manejo de papelera en v16 y le pone estado de espera al botón de importación. 13.3.2, del 24 de septiembre, son sobre todo correcciones de referencias nulas en los serializadores de datatypes de la comunidad, más trabajo de dynamic root y del group checker.
Dos majors parcheados en tres días dice dónde está realmente la base instalada. Si su historia de despliegue pasa por uSync y sigue en 13, alguien todavía le está arreglando los bugs. Es más de lo que puede decir la mayoría del herramental de este ecosistema.
La lista de precios 2026, leída a posteriori
Actualización anual de precios 2026 — Mats Persson, anuncio de precios del propio fabricante
Persson enmarca los cambios como "mainly based on price indexing", y la mayoría de las líneas encaja: Cloud Starter de €42 a €45 mensuales, Standard de €268 a €280, Professional de €700 a €730, la sociedad Gold de €17.500 a €18.500.
Varias líneas no son indexación. Deploy on-premises perdió su pago único y pasó a suscripción de €2.800 anuales para clientes nuevos, contra €970 anuales antes. Los planes de Cloud con recursos dedicados cambiaron sin ruido su aritmética anual: los precios anuales viejos eran diez veces el mensual y los de 2026 son doce, así que Standard dedicated 1 pasa de €2.500 a €3.120 por año. Eso es cerca de 25%, presentado como €10 al mes. La capacitación se movió en las dos direcciones, con el curso de Cloud Developer bajando de €1.250 a €500 y el bundle Certified Master de €7.390 a €5.500, mientras que el día de capacitación presencial subió de €7.390 a €8.000.
Estos precios entraron en vigencia el 1 de enero de 2026, y el propio post se actualizó por última vez el 30 de septiembre de 2025. Estamos publicando este mes desde el archivo, así que lea los números como registro de lo que se anunció y no como la lista vigente, y verifique en umbraco.com antes de que alguno llegue a una propuesta.
La automatización de una persona, publicada entera
UMB.FYI estrena motor de workflows — Matt Brailsford, cuyo registro de fuente marca interés comercial en Umbraco, escribiendo sobre su propio newsletter
La ingeniería más transferible del mes. Un motor de workflows en C# con builder fluido, dado de
alta por IComposer, integrado a DI para que las tareas usen los servicios que ya existen en la
solución, estructurado en stages → tasks → subtasks, con progreso en vivo hacia una UI del
backoffice por Server-Sent Events, y aborto inmediato cuando falla una tarea marcada como
crítica. Sin ramas, sin aprobaciones. Si alguna vez quiso un botón de "corré estas quince
verificaciones sobre este conjunto de contenido y mostrame el log" dentro del backoffice, la
forma está en su composer.
El resto fue la empresa hablando de sí misma
Tres ítems no aportan nada operativo, y decirlo sirve más que rellenarlos. Presentación del Autumn Contribution Challenge 2025 (Sebastiaan Janssen, Umbraco) reemplaza el viejo mes al estilo Hacktoberfest por un empujón de septiembre a noviembre para llenar una sección de ejemplos en un sitio comunitario nuevo, luego extendido hasta el 31 de diciembre. uProfile de septiembre de 2025 con Paul Seal es un perfil comunitario escrito por el propio Seal para el blog del fabricante; es Technical Lead en ClerksWell y MVP de larga data, y es una buena lectura que no es noticia de producto. Umbraco reconocida como líder por G2 (Niels Christian Laursen, Umbraco) es marketing. Puede servir en una carpeta de compras. No es información.
Qué valió realmente septiembre
Sacando la comunicación del fabricante, el mes se reduce a un parche de dependencia, dos releases de uSync y una lista de precios. La historia de IA fue real, y fue plomería: un repositorio mudándose a un namespace oficial, un esquema de variables de entorno para acotar herramientas, una prueba de concepto contra Engage.
Lo incómodo es la proporción. Tres posts sobre herramental de IA, un riesgo de producción, y ese riesgo llegó por una biblioteca de minificación transitiva en la que casi nadie piensa, que es donde el riesgo suele vivir. Si su imagen de este ecosistema sale sobre todo de umbraco.com, está leyendo un calendario de comunicación y llamándolo tecnología.
Una salvedad sobre ese 55%. Este es un mes reconstruido desde archivos de feeds y no cosechado en vivo, así que la muestra es más delgada que la de un mes corriente y se inclina hacia las fuentes con feeds duraderos: blogs de fabricante y releases de GitHub, justamente. La concentración es real y también es en parte un artefacto de cómo llegamos hasta acá.
Fuentes
Los títulos se conservan en su idioma original: así es como se cita un documento y así es como lo vas a encontrar.
- Security Advisory, September 23, 2025: Security Patches are now available — Andy Butland, Umbraco
- Announcing the Beta Release of the Developer MCP Server for Umbraco CMS — Phil Whittaker, Umbraco
- Experimenting with an MCP Server for Umbraco Engage — Corné Hoskam
- Introducing the Autumn Contribution Challenge 2025 — Sebastiaan Janssen, Umbraco
- Annual price updates 2026 — Mats Persson, Umbraco
- uProfile September 2025 - Paul Seal — Paul Seal, Umbraco
- Umbraco Recognized as a G2 Leader Across CMS, Headless, and DXP in Fall 2025 reports — Niels Christian Laursen, Umbraco
- KevinJump/uSync v16.0.5 — Kevin Jump
- KevinJump/uSync v13.3.2 - Community datatype serializers. — Kevin Jump
- Data Migrations using MCP — Dennis Adolfi
- UMB.FYI Gets a New Workflow Engine — Matt Brailsford