☀️ TRENDING EN GITHUB — Viernes 23 de octubre de 2026

Titular del día: php2shell devuelve a PHP al trending: un RCE pre-auth con CVSS 9.2 que afecta de la 5.4 a la 8.5.11 y ya tiene exploits públicos. Las skills de agente aguantan el tipo (security-audit-skill +2.979) y NVIDIA entra en escena con OpenShell, su runtime para enjaular flotas de agentes.

(Datos de GitHub Trending de hoy, 23 de octubre. 🆕 = nuevo respecto a la edición de ayer; 🔁 = ya aparecía y solo actualizamos cifras.)

🌍 GLOBAL

1. 🆕 php/php-src ⭐ 41.225 (+287 hoy) Qué es: El intérprete de PHP, el repositorio donde vive el lenguaje que corre en la mayoría de las webs del mundo. Hoy está en el trending por el CVE-2026-109618 y 109619, bautizado como "php2shell": un RCE pre-auth (CVSS 9.2) que explota session.upload_progress y el bailout de memoria del motor Zend, presente desde PHP 5.4.0 (2012) hasta 8.5.11. Por qué es trending: +287 hoy y los PoC ya circulan con escáneres y reglas de detección. Los parches salieron el 21 de octubre (8.2.35, 8.3.36, 8.4.27 y 8.5.12): el interés no es curiosidad técnica, es gente comprobando si su servidor está expuesto. Qué puedes hacer con esto: 1) Una consultora, barrido de versiones de PHP en la cartera de clientes y propuesta de actualización con urgencia como servicio de entrada. 2) Una pyme con WordPress, Joomla o PrestaShop, actualizar hoy y no el viernes que viene: el fallo no necesita que la aplicación tenga un bug. 3) Un proveedor de hosting, aviso masivo a sus clientes con la versión exacta que tienen y la que deben poner. Sinergia: Mézclalo con cloudflare/security-audit-skill: la skill audita el código y la configuración, y el escaneo de versión de openai/php2shell-checker te dice en segundos si el servidor está en rango vulnerable; juntos dan un informe de exposición que el cliente entiende. https://github.com/php/php-src Herramienta de comprobación: https://github.com/openai/php2shell-checker

2. 🔁 cloudflare/security-audit-skill ⭐ 39.756 (+2.979 hoy) Qué es: La skill de auditoría de seguridad que Cloudflare publicó como base para revisar un repositorio en fases: reconocimiento, caza por cobertura, validación de candidatos, verificación independiente y un informe legible con hallazgos en findings.json. Por qué es trending: +2.979 hoy, el mayor crecimiento del día y casi 3.000 estrellas en 24 horas. Cuando el fabricante publica gratis la herramienta con la que audita su propia infraestructura, la conversación deja de ser "¿usa IA para seguridad?" y pasa a ser "¿por qué no la usas ya?". Qué puedes hacer con esto: 1) Una consultora, auditoría de entrada (due diligence) de cada cliente nuevo con informe trazable y verificable. 2) Una pyme SaaS, revisión automática antes de cada release en vez de un pentest puntual al año. 3) Un fabricante o despacho, evidencia que un tercero puede re-verificar sin repetir el trabajo. Sinergia: Mézclalo con NVIDIA/OpenShell: la auditoría encuentra la superficie y OpenShell ejecuta el código sospechoso en una jaula con políticas verificadas, así el analista puede reproducir un hallazgo sin jugarse la máquina. https://github.com/cloudflare/security-audit-skill

3. 🔁 DietrichGebert/ponytail ⭐ 173.659 (+1.948 hoy) Qué es: Una skill que le cambia el carácter al agente: en vez de generar 400 líneas, piensa como el senior más vago de la sala y resuelve con una. Se instala por npm, es MIT y dice funcionar con una veintena de agentes distintos. Por qué es trending: +1.948 hoy y 173.000 estrellas acumuladas, segundo día seguido en el podio. El mensaje cala porque el problema ya no es que el agente no sepa escribir código, es que escribe de más. Qué puedes hacer con esto: 1) Una consultora, meterlo en su plantilla de entrega para que las revisiones dejen de ser un cementerio de código muerto. 2) Una pyme con un solo dev, bajar el coste por ticket porque el agente toca menos ficheros. 3) Un equipo, regla interna: ninguna PR generada pasa a revisión humana sin una pasada de ponytail. Sinergia: Mézclalo con pbakaus/impeccable: impeccable hace que el agente diseñe bien y ponytail que no escriba de más; frontend limpio y corto, sin capas de relleno. https://github.com/DietrichGebert/ponytail

4. 🔁 Graphify-Labs/graphify ⭐ 133.079 (+1.408 hoy) Qué es: Convierte cualquier repositorio (código, docs, esquemas SQL, configs, PDFs, imágenes) en un grafo de conocimiento consultable, con parseo AST local por tree-sitter y cada arista etiquetada como extraída o inferida. Sin base vectorial. Es Apache-2.0, de YC S26, y se instala con pip install graphifyy. Por qué es trending: +1.408 hoy, tercer día de subida fuerte. Ya no es una curiosidad: es el patrón estándar para dar contexto a un agente sin ampliar la ventana del modelo. Qué puedes hacer con esto: 1) Una consultora, due diligence técnica en horas en vez de semanas. 2) Una pyme con software heredado, mapa de dependencias antes de tocar nada. 3) Un equipo, onboarding de un dev nuevo sobre el grafo y no sobre la memoria del senior. Sinergia: Mézclalo con onyx-dot-app/onyx: graphify mapea el código y la documentación técnica, onyx indexa las 50 aplicaciones donde vive el conocimiento de la empresa; el agente acaba con el mapa completo. https://github.com/Graphify-Labs/graphify

5. 🔁 supabase/supabase ⭐ 113.531 (+693 hoy) Qué es: La plataforma Postgres que se ha convertido en el backend por defecto de medio ecosistema: base de datos dedicada, auth, storage, edge functions y APIs autogeneradas, con opción auto-hospedada. Por qué es trending: +693 hoy, su mejor día de la semana. Cada vez que una pyme quiere datos en Europa y sin sorpresas de factura, el camino barato pasa por aquí. Qué puedes hacer con esto: 1) Una consultora, backend estándar para todos sus proyectos con auth y storage resueltos. 2) Una pyme, sustituir tres servicios SaaS por una base de datos propia y sus APIs. 3) Un equipo con requisito de residencia de datos, instancia auto-hospedada en su nube. Sinergia: Mézclalo con twentyhq/twenty: twenty es un CRM open source que corre sobre Postgres; con Supabase como base tienes CRM, auth y API propia sin licencia por asiento. https://github.com/supabase/supabase

🟦 TYPESCRIPT

1. 🔁 stablyai/orca ⭐ 102.892 (+1.689 hoy) Qué es: La cabina de mando para una flota de agentes: lanzas Codex, Claude Code, OpenCode o Grok Build en paralelo, cada uno en su propio worktree, y los sigues desde el escritorio o el móvil con tu propia suscripción. Por qué es trending: +1.689 hoy y 102.000 estrellas. Ya no compite con nada: es la forma en que los equipos gestionan ocho agentes sin perder el hilo. Qué puedes hacer con esto: 1) Una software factory, seis tickets en paralelo y un senior revisando desde el móvil. 2) Una consultora, la misma migración en cuatro clientes a la vez sin mezclar repos. 3) Un CTO, medir qué proveedor resuelve mejor cada tipo de tarea lanzándolos en paralelo. Sinergia: Mézclalo con max-sixty/worktrunk: orca pone los agentes y worktrunk gestiona los worktrees con hooks y cachés copy-on-write, así la flota no se pisa ni recompila de cero. https://github.com/stablyai/orca

2. 🔁 tashfeenahmed/freellmapi ⭐ 39.662 (+625 hoy) Qué es: Un gateway que agrega los planes gratuitos de 34 proveedores de IA (635 endpoints) detrás de un único /v1 compatible con OpenAI: enruta, salta de proveedor cuando uno se agota, guarda claves cifradas y lleva consumo por clave. Por qué es trending: +625 hoy, el segundo mayor crecimiento de TypeScript. Promete 7.400 millones de tokens al mes gratis: la rotación de cuotas es la forma real en que muchos equipos pequeños usan IA sin factura. Qué puedes hacer con esto: 1) Una pyme, un endpoint interno para todo el equipo con failover automático. 2) Un freelance, prototipar un producto entero sin coste de API. 3) Un formador, taller donde cada alumno sale con su gateway montado y funcionando. Sinergia: Mézclalo con HKUDS/Vibe-Trading: el agente de trading pide tokens al gateway y rota proveedores solo, así la investigación y el backtesting no dependen de una sola cuota. https://github.com/tashfeenahmed/freellmapi

3. 🆕 twentyhq/twenty ⭐ 59.547 (+605 hoy) Qué es: La alternativa open source a Salesforce, rediseñada para que los agentes trabajen dentro: objetos y campos personalizables, automatizaciones, correo y calendario, y una capa de IA sobre el CRM (resúmenes de llamadas, transcripciones de Teams). Va por la v2.50.0, publicada el 21 de octubre. Por qué es trending: +605 hoy. El CRM es la última gran licencia por asiento que quedaba en la pyme y aquí se puede auto-hospedar: los datos del cliente se quedan en casa y el agente los consulta por API. Qué puedes hacer con esto: 1) Una consultora, implantar CRM sin licencias y cobrar la migración y la automatización. 2) Una pyme comercial, pipeline propio con resúmenes automáticos de llamadas y correos. 3) Un equipo con requisito legal de datos en la UE, CRM en su servidor con Postgres propio. Sinergia: Mézclalo con onyx-dot-app/onyx: onyx indexa el CRM junto al resto de aplicaciones, y el agente responde "qué le prometimos a este cliente" cruzando correo, llamada y ficha. https://github.com/twentyhq/twenty

4. 🆕 genspark-ai/genoffice ⭐ 10.560 (+193 hoy) Qué es: Una suite ofimática open source (Apache-2.0) con agente dentro: abre y guarda .docx, .xlsx, .pptx nativos conservando byte a byte lo que no tocas, edita PDF, Markdown y HTML, y trae CLI, skill y servidor MCP para que Claude Code, Codex o Cursor creen y editen documentos reales en local. Por qué es trending: +193 hoy y ya 10.500 estrellas. El cuello de botella de la automatización de oficina nunca fue generar texto: era devolver un fichero que Word abra sin romperse, y aquí está resuelto sin pagar Office ni subir nada a la nube. Qué puedes hacer con esto: 1) Una gestoría, generar los informes mensuales en .xlsx con fórmulas vivas, no números pegados. 2) Una consultora, entregables en .docx y .pptx producidos por el agente y revisados como cambios controlados. 3) Un departamento comercial, propuestas en PowerPoint desde una plantilla y un CSV, sin tocar el diseño a mano. Sinergia: Mézclalo con stablyai/orca: orca reparte las tareas entre agentes y genoffice les da la capacidad de escribir documentos de oficina de verdad; la flota deja de producir markdown y empieza a producir entregables. https://github.com/genspark-ai/genoffice

5. 🆕 remotion-dev/remotion ⭐ 66.416 (+348 hoy) Qué es: La librería para hacer vídeo con React: cada frame es un componente, así que un vídeo es código versionado, parametrizable y renderizable en lote. Hoy va por la v4.0.538, con mejoras de rendimiento en el Studio y control de tono al cambiar la velocidad de reproducción. Por qué es trending: +348 hoy, un clásico que vuelve al trending. Con agentes capaces de escribir componentes, "hazme 200 vídeos con los datos de estos 200 clientes" pasa de imposible a un bucle. Qué puedes hacer con esto: 1) Una agencia de marketing, 300 variantes de anuncio desde un CSV y un componente. 2) Una inmobiliaria, vídeo por inmueble con fotos, precio y mapa generados automáticamente. 3) Una consultora, informes trimestrales en vídeo para el comité, regenerados con cada cierre. Sinergia: Mézclalo con genspark-ai/genoffice: los datos salen del .xlsx, el agente escribe el guion y el componente monta el vídeo; mismo pipeline para el informe escrito y el resumen audiovisual. https://github.com/remotion-dev/remotion

🐍 PYTHON

1. 🔁 Comfy-Org/ComfyUI ⭐ 142.040 (+681 hoy) Qué es: El motor de nodos para modelos de difusión: interfaz gráfica, API y backend, con inferencia local y control fino de cada paso del pipeline de imagen y vídeo. Por qué es trending: +681 hoy, el mayor crecimiento de Python. Sigue siendo la infraestructura donde se prueba cualquier modelo de imagen nuevo antes de que exista producto. Qué puedes hacer con esto: 1) Un estudio de diseño, catálogo de producto fotografiado sin sesión ni modelos. 2) Una agencia, variantes creativas por cliente con el pipeline guardado como plantilla. 3) Una pyme industrial, renders de producto desde planos y fichas técnicas. Sinergia: Mézclalo con remotion-dev/remotion: ComfyUI genera las imágenes y Remotion las monta en vídeo con texto y datos, contenido audiovisual en lote sin intervención manual. https://github.com/Comfy-Org/ComfyUI

2. 🔁 headroomlabs-ai/headroom ⭐ 77.575 (+517 hoy) Qué es: Comprime lo que entra al modelo antes de que llegue: salidas de herramientas, logs, ficheros y trozos de RAG. Promete un 20% menos de tokens en agentes de código y entre 60% y 95% en el resto, sin perder lo que importa. Por qué es trending: +517 hoy. La factura de tokens ya es una línea de coste fija y comprimir la entrada es la única optimización que no exige cambiar de modelo. Qué puedes hacer con esto: 1) Una empresa con agentes en producción, bajar la factura sin tocar prompts. 2) Una consultora, ofrecer auditoría de gasto en IA con esta pieza como palanca. 3) Un equipo con logs enormes, que el agente lea el 10% relevante en vez de 40 MB. Sinergia: Mézclalo con tashfeenahmed/freellmapi: el gateway aporta tokens gratis y headroom hace que rindan el triple, misma cuota para tres veces más trabajo. https://github.com/headroomlabs-ai/headroom

3. 🔁 shiyu-coder/Kronos ⭐ 43.232 (+500 hoy) Qué es: Un modelo fundacional para el "lenguaje" de los mercados financieros: aprende de series de precios y volúmenes en vez de texto, y sirve para previsión y para alimentar estrategias. Por qué es trending: +500 hoy, otro día de subida sostenida. Los modelos de dominio (mercados, industria, sensores) son la siguiente ola después de los de propósito general. Qué puedes hacer con esto: 1) Un family office, señal cuantitativa propia en vez de comprar research. 2) Una fintech, previsión de series para su producto de tesorería. 3) Una consultora, prototipo de analítica predictiva para clientes del sector financiero. Sinergia: Mézclalo con nautechsystems/nautilus_trader: Kronos genera la señal y Nautilus la ejecuta en backtest determinista y en vivo con el mismo código, del modelo al mercado sin traducciones. https://github.com/shiyu-coder/Kronos

4. 🆕 onyx-dot-app/onyx ⭐ 32.874 (+181 hoy) Qué es: La capa de conocimiento para el equipo y sus agentes: indexa más de 50 aplicaciones (correo, Drive, Slack, wikis, ticketing), busca y responde con fuentes, y se despliega auto-hospedado. MIT, con buscador web, sandboxes y skills dentro. Por qué es trending: +181 hoy. La pregunta de las empresas ha cambiado: ya no es "qué modelo usamos" sino "cómo le damos a ese modelo el contexto de la casa sin sacarlo de la casa". Qué puedes hacer con esto: 1) Una consultora, montar el buscador interno del cliente como primer proyecto de IA, con retorno visible. 2) Un despacho, consultas sobre expedientes y jurisprudencia interna con cita de la fuente. 3) Una pyme de 50 personas, que el conocimiento deje de estar en el correo de dos personas. Sinergia: Mézclalo con anthropics/knowledge-work-plugins: onyx pone el contexto de la empresa y los plugins las capacidades de oficina; el asistente pasa de responder a ejecutar tareas con los datos correctos. https://github.com/onyx-dot-app/onyx

5. 🆕 HKUDS/Vibe-Trading ⭐ 36.349 (+171 hoy) Qué es: Un agente de trading personal, de HKUDS (el laboratorio de la Universidad de Hong Kong detrás de varios repos de agentes): backtesting, paper trading diario contra barras ya cerradas, MCP y API, con un "shadow account" para compararse contra una estrategia de referencia. MIT, pip install vibe-trading-ai. Por qué es trending: +171 hoy y 36.000 estrellas. La versión 0.1.18 recortó de 12 llamadas al modelo a 7 y el consumo de tokens a una quinta parte: la ingeniería de coste es hoy la verdadera feature. Qué puedes hacer con esto: 1) Un asesor financiero, probar sistemáticas propias con paper trading antes de arriesgar un euro. 2) Una fintech, integrar el agente por MCP en su propio producto de análisis. 3) Un particular técnico, dejar de operar por corazonada y medir la estrategia primero. Sinergia: Mézclalo con nautechsystems/nautilus_trader: Vibe-Trading investiga y prototipa rápido, Nautilus ejecuta con rigor de producción cuando la estrategia aguanta el paper trading. https://github.com/HKUDS/Vibe-Trading

🦀 RUST

1. 🔁 pbakaus/impeccable ⭐ 85.037 (+587 hoy) Qué es: Un lenguaje de diseño empaquetado como skill: reglas concretas para que el agente no entregue el "look de IA" de plantilla y produzca interfaces con criterio. Por qué es trending: +587 hoy, el mayor crecimiento de Rust y tercer día en racha. El diseño se ha convertido en el siguiente control de calidad del código generado. Qué puedes hacer con esto: 1) Una agencia, que el agente entregue el frontend con la identidad del cliente y no con la de fábrica. 2) Una consultora, opinión de diseño revisable en cada PR. 3) Una pyme, web decente sin contratar diseñador para la primera versión. Sinergia: Mézclalo con genspark-ai/genoffice: impeccable dicta el criterio visual y genoffice lo aplica a documentos y presentaciones, así la marca es coherente en web y en PDF. https://github.com/pbakaus/impeccable

2. 🆕 NVIDIA/OpenShell ⭐ 17.871 (+211 hoy) Qué es: El runtime de NVIDIA para flotas de agentes autónomos: cada agente corre en un sandbox con control a nivel de kernel sobre ficheros, llamadas al sistema y red, las credenciales se inyectan solo hacia endpoints aprobados, y cada cambio de política pasa por verificación formal antes de aplicarse. Apache-2.0, con SDK en Python, TypeScript y Go y despliegue en Kubernetes por Helm. Por qué es trending: +211 hoy y 17.800 estrellas. Que NVIDIA publique esto gratis dice mucho: el problema ya no es que el agente sea listo, es que tiene acceso a tus ficheros y a tu red. Qué puedes hacer con esto: 1) Una empresa que quiera agentes sobre datos internos, dar acceso real sin dar acceso total. 2) Un CTO, política por agente y revisión humana automática de los permisos nuevos. 3) Una consultora, vender el despliegue del sandbox como paso previo obligatorio a cualquier piloto de agentes. Sinergia: Mézclalo con openai/codex: Codex trabaja dentro del sandbox de OpenShell, así el agente de código puede instalar y ejecutar sin que un rm -rf o un curl raro llegue a producción. https://github.com/NVIDIA/OpenShell

3. 🔁 openai/codex ⭐ 130.500 (+181 hoy) Qué es: El agente de código de OpenAI que corre en la terminal: lee el repositorio, ejecuta tareas y trabaja sobre git sin salir de la consola. Por qué es trending: +181 hoy, sostenido. Crece a la vez que el ecosistema que lo orquesta, señal de que se ha quedado como una de las dos referencias reales. Qué puedes hacer con esto: 1) Un equipo, revisar y refactorizar sin ampliar licencias de IDE. 2) Una consultora, entregar documentación técnica derivada del propio repo. 3) Una pyme, mantenimiento y scripts con supervisión humana. Sinergia: Mézclalo con max-sixty/worktrunk: worktrunk le da a Codex un worktree por tarea en un comando, así se pueden tener cinco Codex trabajando sin que se pisen los ficheros. https://github.com/openai/codex

4. 🆕 nautechsystems/nautilus_trader ⭐ 30.621 (+157 hoy) Qué es: Un motor de trading de grado producción, escrito en Rust y con Python como plano de control: la misma estrategia corre en backtest determinista y en ejecución real, con adaptadores para cripto (CEX y DEX), divisas, acciones, futuros, opciones y hasta casas de apuestas. LGPL-3.0. Por qué es trending: +157 hoy. Es la pieza que casi nadie enseña: sin motor determinista no hay forma de saber si la estrategia funcionaba o si el backtest mentía. Qué puedes hacer con esto: 1) Una gestora pequeña, backtest y ejecución con el mismo código en vez de dos implementaciones que nunca coinciden. 2) Una fintech, motor de órdenes propio sin construir el event loop desde cero. 3) Un equipo de datos, medir estrategias con rigor antes de enseñárselas al comité. Sinergia: Mézclalo con HKUDS/Vibe-Trading: uno investiga y el otro ejecuta; el paso de "idea validada en paper" a "sistema en producción" deja de ser una reescritura. https://github.com/nautechsystems/nautilus_trader

5. 🆕 max-sixty/worktrunk ⭐ 9.399 (+31 hoy) Qué es: Una CLI que hace que los worktrees de git sean tan fáciles como las ramas (wt switch feat, wt switch -c -x claude feat): rutas calculadas desde el nombre de rama, hooks para automatizar el flujo y cachés de compilación copy-on-write para no recompilar en cada worktree. MIT o Apache-2.0. Por qué es trending: +31 hoy, poco volumen pero mucha señal: es la herramienta que aparece en cuanto alguien intenta tener cinco agentes a la vez en el mismo repo. Su propio autor lo cuenta así: nació para eso y se ha convertido en el gestor de worktrees más popular. Qué puedes hacer con esto: 1) Un equipo, una rama y un directorio por tarea con el agente dentro, sin git stash ni conflictos raros. 2) Una consultora, varios clientes en el mismo repo base sin mezclar cambios. 3) Un dev con CI lenta, cachés copy-on-write para que el segundo worktree arranque en segundos. Sinergia: Mézclalo con stablyai/orca: orca da el panel para la flota y worktrunk la fontanería de git por debajo; la combinación es lo más cerca que hay hoy de una software factory de un solo senior. https://github.com/max-sixty/worktrunk

🏆 MIS 3 DESTACADOS DE HOY

1. php/php-src — No es una tendencia de IA, es una urgencia: un RCE pre-auth con CVSS 9.2 que lleva 14 años en el código y afecta a la mayoría de webs del mundo. Cualquier consultora con clientes en WordPress o PrestaShop tiene aquí una conversación que abrir hoy y un servicio fácil de vender: inventario, parcheo y verificación.

2. NVIDIA/OpenShell — El debate de los agentes se ha movido del modelo al permiso. Un runtime con control de kernel, credenciales que solo viajan a endpoints aprobados y verificación formal de cada cambio de política es exactamente lo que un CTO necesita para decir sí a un agente con acceso a datos reales. Y viene de NVIDIA, gratis y con SDK.

3. php2shell al margen, el otro ganador silencioso: genspark-ai/genoffice — Los agentes ya escriben texto; lo que faltaba era que devolvieran un .docx que Word abra sin romperse. Con CLI, skill y MCP, convierte "el agente me hizo un informe" en un entregable que el cliente puede abrir, editar y firmar.

🔁 REPETIDOS DE EDICIONES ANTERIORES (EN BREVE)

• anthropics/knowledge-work-plugins (31.684, +303) sigue su curso: el catálogo de plugins de oficina de Anthropic ya es la referencia para estandarizar.
• luongnv89/claude-howto (43.339, +177), vllm-project/vllm (95.164, +440) y fastapi/fastapi (103.823, +101): formación, inferencia propia y el framework de siempre, cada uno en su curva.
• trycua/cua (30.710, +132), pingdotgg/t3code (29.462, +287) y koala73/worldmonitor (89.245, +144) repiten sin novedad: escritorios para agentes, mando remoto y panel de inteligencia global.
• ai-job-search-dev/ai-job-search ya asentado en su nueva casa; anomalyco/opencode, ruvnet/ruflo, usestrix/strix y akitaonrails/ai-memory no entran hoy en el top por ámbito pero siguen sumando.
• Nota de color: el trending global vuelve a estar copado por el ecosistema de agentes (skills, sandboxes, orquestadores). La única entrada no-IA del top de hoy es Meloong-Git/PCL (8.738, +119), el lanzador de Minecraft en Visual Basic .NET, que sigue ahí por pura base de usuarios.

Publicado en el hub: content/newsletters/2026-10-23.md + reporte trending-claw (22 URLs, body completo).