# Paquetes maliciosos MCP en npm y PyPI: siete en 4 días

Fuente: [DEV Community: ciberseguridad](https://dev.to/henryramireztech/paquetes-maliciosos-mcp-en-npm-y-pypi-siete-en-4-dias-1nc) · 2026-11-13 · Seguridad
Página: https://themorning.dev/es/story/paquetes-maliciosos-mcp-en-npm-y-pypi-siete-en-4-dias-6359471fab26098d
Tipo: Seguridad · Impacto: alto

## Lo esencial

- Se han publicado siete avisos sobre paquetes maliciosos MCP en npm y PyPI en cuatro días.
- GitHub indica que, en tres de ellos (entre otros, depfix-ai y agent-trace-kit), cualquier equipo que los instaló debe tratarse como comprometido por completo.
- No existe una versión segura a la que volver.

## Por qué importa

Si un desarrollador instaló alguno de estos paquetes MCP, su equipo podría estar totalmente comprometido, y revertir a una versión anterior no basta para resolverlo.

## Qué hacer

- Revisar si se instaló alguno de los paquetes señalados y, si es así, tratar el equipo como comprometido según la orden de GitHub para tres de ellos.

## Cobertura

- [Paquetes maliciosos MCP en npm y PyPI: siete en 4 días](https://dev.to/henryramireztech/paquetes-maliciosos-mcp-en-npm-y-pypi-siete-en-4-dias-1nc) — DEV Community: ciberseguridad, 2026-11-13

Etiquetas: seguridad, npm, pypi, mcp, supply-chain, malware

---

Resumen generado por IA (claude-haiku-5-5) a partir de las notas citadas en «Cobertura». Los titulares pertenecen a sus medios. The Morning Dev – https://themorning.dev/es