SonarQube Server continúa evolucionando para ayudar a los equipos de desarrollo a mejorar la calidad y seguridad de su código, especialmente en un contexto en el que los agentes de inteligencia artificial participan cada vez más en la programación.
SonarQube Server 2026.5 amplía las capacidades de agentes de IA en entornos autogestionados, incorpora mejoras en el análisis de seguridad y dependencias, facilita la gestión de la arquitectura y refuerza las herramientas de gobernanza y cumplimiento normativo.
En este artículo repasamos las principales novedades incorporadas desde SonarQube Server 2026.1 LTA hasta la versión 2026.5 LTA, explicando qué permiten hacer y qué aportan a los equipos de desarrollo, seguridad y administración.
Índice de contenidos
- Agentes de IA en SonarQube Server
- Nuevos Quality Gates para código generado por IA
- Conectividad con IA y gobernanza empresarial
- Gestión y análisis de la arquitectura del software
- Análisis de dependencias y seguridad de la cadena de suministro
- Mejoras en el análisis estático de código
- Nuevos lenguajes y mejoras en los analizadores
- Nuevos informes de cumplimiento normativo
- Cambios en la gestión de vulnerabilidades y Security Hotspots
- Nuevos paneles de gobernanza y administración
- Mejoras en la interfaz de SonarQube Server
1. Agentes de IA en SonarQube Server: Vortex, Remediation Agent y Hunter Agent
Una de las principales novedades de SonarQube Server 2026.5 es la ampliación de las capacidades de los agentes de IA para organizaciones que trabajan con infraestructuras autogestionadas.
Esto resulta especialmente relevante para empresas que necesitan mantener el control de sus sistemas por motivos de residencia de datos, seguridad o cumplimiento normativo.
La versión 2026.5 permite desplegar las capacidades de agentes de SonarQube en infraestructura propia, con distintas opciones de configuración y conectividad con modelos de IA.
Sonar Vortex: análisis y verificación del código generado por agentes de IA
Sonar Vortex ayuda a los agentes de programación a generar código más seguro, fiable y alineado con los estándares del proyecto.
Para conseguirlo, combina varias capacidades:
- Code Navigation: permite al agente explorar y comprender el código de manera más eficiente, reduciendo el consumo de tokens.
- Contexto del proyecto: proporciona información sobre reglas de programación, arquitectura y políticas de dependencias antes de generar código.
- Verificación de cambios: analiza las modificaciones dentro del ciclo de razonamiento del agente para detectar problemas antes de que lleguen a la revisión de un desarrollador.
- Análisis de propagación de datos (taint analysis): ayuda a identificar defectos de inyección.
Sonar Vortex puede utilizarse con diferentes agentes de programación mediante la CLI de SonarQube o su servidor MCP.
De esta forma, el agente puede verificar los cambios que realiza y corregir los problemas detectados antes de que un desarrollador revise el código.
SonarQube Remediation Agent: corrección automatizada y verificada
SonarQube Remediation Agent permite automatizar la corrección de problemas de código y utilizar el análisis de SonarQube para verificar los resultados.
Su Agent Core Engine se distribuye mediante un contenedor que puede ejecutarse en infraestructura propia utilizando Kubernetes o Docker.
Entre sus características destacan:
- Integración con GitHub, GitLab y Azure DevOps.
- Conexión con el endpoint de un LLM en la nube elegido por la organización mediante una clave propia.
- Funcionamiento sin necesidad de exposición a Internet pública.
- Verificación de las correcciones mediante SonarQube antes de que lleguen al desarrollador.
Esta capacidad permite incorporar la corrección automatizada a los procesos de desarrollo manteniendo el motor del agente en infraestructura propia.
Es importante distinguir el despliegue del agente de la ubicación del modelo de lenguaje: Remediation Agent se ejecuta en infraestructura propia, pero se conecta al endpoint del LLM en la nube configurado por la organización.
SonarQube Hunter Agent: detección de vulnerabilidades complejas
Algunos problemas de seguridad, especialmente los relacionados con la lógica de negocio, la autenticación o el control de acceso, no están cubiertos por los analizadores basados en patrones.
SonarQube Hunter Agent está diseñado para detectar este tipo de vulnerabilidades.
El agente se ejecuta bajo demanda en segundo plano y puede identificar:
- Fallos de control de acceso.
- Vulnerabilidades relacionadas con la autenticación.
- Errores de lógica de negocio.
Los hallazgos confirmados aparecen directamente como incidencias de SonarQube, por lo que los desarrolladores pueden gestionarlos desde la propia plataforma.
En SonarQube Server, Hunter Agent puede contratarse utilizando una clave propia de Anthropic.
Disponibilidad: Sonar Vortex, SonarQube Remediation Agent y SonarQube Hunter Agent pueden contratarse con licencias Enterprise o Data Center de SonarQube Server.
2. Nuevos Quality Gates para código generado por IA
El código generado por agentes de IA plantea nuevos retos para los equipos de desarrollo.
Un agente puede incorporar dependencias innecesarias, seleccionar paquetes vulnerables o introducir problemas de seguridad mientras realiza cambios de manera autónoma.
Para abordar estos riesgos, SonarQube incorpora el Quality Gate «Sonar way for Agentic AI», diseñado específicamente para evaluar código generado por agentes.
Este nuevo estándar sustituye al Quality Gate anterior para código de IA y establece criterios adaptados a este tipo de desarrollo.
Entre sus características destacan:
- Condiciones más estrictas para problemas de seguridad y fiabilidad.
- Controles relacionados con los riesgos de nuevas dependencias.
- Mayor tolerancia hacia problemas menores de mantenibilidad que los agentes pueden corregir con facilidad.
También incorpora condiciones para identificar riesgos de la cadena de suministro, como paquetes con nombres similares a otros legítimos (typosquatting), dependencias inexistentes o bibliotecas vulnerables.
Además, SonarQube facilita la selección de perfiles de calidad Agentic AI para JavaScript, TypeScript, Python y Java mediante avisos y recomendaciones en la interfaz.
El objetivo es ofrecer un estándar predeterminado más adecuado para evaluar código generado por agentes de IA.
3. Conectividad con IA y gobernanza empresarial
Servidor MCP integrado en SonarQube Server
Desde la versión 2026.1 LTA, SonarQube Server incorpora un endpoint compatible con Model Context Protocol (MCP), lo que permite conectar herramientas de desarrollo asistido por IA directamente con la plataforma.
Herramientas como Cursor, Claude Code o GitHub Copilot pueden configurarse con la URL de SonarQube para consultar información sobre incidencias de proyectos y Quality Gates.
La integración utiliza HTTP en streaming/SSE y evita tener que desplegar y mantener un contenedor independiente para el servidor MCP.
Los administradores conservan el control mediante un mecanismo global de desactivación y el sistema de tokens de usuario existente en SonarQube.
Configuración centralizada de proveedores de LLM
Otra de las novedades es la posibilidad de administrar las conexiones con modelos de lenguaje desde una interfaz centralizada.
Los administradores pueden registrar diferentes proveedores y configuraciones, como:
- AWS Bedrock.
- Azure Foundry.
- Proxies y pasarelas de conexión.
- Claves propias para acceder a modelos de lenguaje.
Estas configuraciones pueden ponerse a disposición de SonarQube Remediation Agent, SonarQube AI CodeFix y Hunter Agent.
Además, SonarQube comprueba la compatibilidad de los modelos con cada funcionalidad e identifica posibles incompatibilidades.
Integración con Azure API Management
Las organizaciones que utilizan Azure también cuentan con compatibilidad con Azure API Management (APIM) para las conexiones con Azure OpenAI.
Esta integración permite utilizar capacidades como SonarQube AI CodeFix en entornos donde las políticas de seguridad restringen el uso de claves de API estáticas de larga duración.
Por su parte, SonarQube AI CodeFix también contempla el funcionamiento local y la independencia del modelo utilizado para generar sugerencias de corrección dentro del perímetro de seguridad de la organización.
4. Gestión y análisis de la arquitectura del software
Desde la versión SonarQube Server 2026.4, la gestión de la arquitectura está disponible en todas las ediciones comerciales sin coste adicional.
Esta funcionalidad permite analizar la estructura del software y comprobar si las dependencias entre sus componentes respetan la arquitectura definida.
El análisis se ejecuta automáticamente para proyectos desarrollados en Java, C#, JavaScript, TypeScript y Python.
Sus principales capacidades son:
- Visualizar la arquitectura actual: identificar los componentes del proyecto y sus relaciones.
- Definir una arquitectura objetivo: establecer qué componentes pueden depender de otros.
- Detectar desviaciones: localizar dependencias o relaciones que incumplen las reglas arquitectónicas.
- Gestionar los problemas detectados: incorporar las incidencias a los flujos de trabajo habituales de SonarQube.
Los problemas arquitectónicos aparecen en la misma lista de incidencias utilizada por los desarrolladores y pueden integrarse con los perfiles de calidad y los Quality Gates.
Esto facilita que las reglas de arquitectura puedan comprobarse a medida que evoluciona el proyecto.
5. Análisis de dependencias y seguridad de la cadena de suministro
Las dependencias de terceros pueden introducir vulnerabilidades en las aplicaciones. Sin embargo, la presencia de una biblioteca vulnerable no significa necesariamente que el código de la aplicación utilice la función afectada.
Las novedades de SonarQube Advanced Security permiten analizar estos riesgos con mayor precisión.
Análisis de alcanzabilidad de vulnerabilidades
El análisis de alcanzabilidad (reachability analysis) permite determinar si el código propio llama realmente a una función vulnerable de una dependencia.
En lugar de limitarse a comprobar si una biblioteca vulnerable está presente, este análisis aporta información adicional para priorizar los problemas de seguridad.
La compatibilidad inicial incluye Java, Python y C#.
Nuevas alertas de seguridad
SonarQube incorpora alertas específicas para nuevos hallazgos críticos relacionados con vulnerabilidades conocidas que están siendo explotadas y software malicioso.
Estas notificaciones informan a los equipos correspondientes cuando se detectan estos problemas en cualquier rama de cualquier proyecto.
Análisis local de dependencias
Otra mejora permite mantener el análisis de dependencias en el entorno local mientras se utilizan datos de vulnerabilidades procedentes de la base de avisos de seguridad de Sonar, actualizada continuamente.
De esta manera, las organizaciones pueden disponer de información reciente sobre riesgos de seguridad manteniendo el análisis en su infraestructura.
6. Mejoras en el análisis estático de código
Análisis de seguridad más profundo para C y C++
SonarQube amplía sus capacidades de análisis estático para C y C++ mediante un motor específico de análisis de propagación de datos.
Este motor permite detectar distintos tipos de vulnerabilidades:
| Vulnerabilidad | Referencia CWE |
|---|---|
| Inyección de comandos del sistema operativo | CWE-78 |
| Inyección de rutas | CWE-22 |
| Inyección en registros | CWE-117 |
| Inyección en ejecución dinámica de código | CWE-95 |
Además, el análisis entre unidades de traducción (Cross-Translation Unit Analysis, CTU) permite comprender el comportamiento de funciones definidas en distintos archivos.
Esto mejora la precisión del análisis y ayuda a reducir falsos positivos y falsos negativos relacionados con el archivo en el que está definida una función.
7. Nuevos lenguajes y mejoras en los analizadores
SonarQube Server continúa ampliando su compatibilidad con lenguajes y tecnologías utilizados en desarrollo de software, automatización y aplicaciones empresariales.
Compatibilidad nativa con MuleSoft DataWeave
SonarQube incorpora análisis nativo de MuleSoft DataWeave, un lenguaje utilizado para transformar datos entre sistemas y aplicaciones empresariales.
El análisis abarca tanto archivos DataWeave como código DataWeave integrado en archivos XML.
Esto permite identificar problemas de fiabilidad y seguridad en transformaciones de datos que pueden formar parte de integraciones con plataformas como SAP o Salesforce.
Compatibilidad con R
SonarQube también incorpora compatibilidad con R, utilizado habitualmente en análisis estadístico, investigación y entornos empresariales.
Esta incorporación amplía la cobertura de análisis de calidad del código a proyectos desarrollados en R.
Análisis de Rust más allá de Clippy
SonarQube amplía el análisis de Rust mediante reglas propias y una selección de reglas de Clippy.
Entre las capacidades disponibles destacan:
- Gestión centralizada de reglas mediante perfiles de calidad y Quality Gates.
- Análisis de paquetes (crates) populares de Rust.
- Importación de información de cobertura en formatos LCOV y Cobertura.
- Detección de duplicaciones en el código.
- Importación de informes JSON de Clippy.
Estas capacidades permiten incorporar los proyectos Rust a los mismos procesos de control de calidad utilizados para otros lenguajes.
Mejoras en Python
Desde la versión 2026.1 LTA, SonarQube incorpora más de 70 tipos de incidencias para detectar problemas relacionados con colecciones, programación orientada a objetos y estructuras de datos.
Estos controles ayudan a identificar errores que pueden provocar un consumo excesivo de memoria, fugas de variables o problemas de herencia.
También se amplía Advanced SAST para Python, con cobertura de las 1.000 bibliotecas principales y nuevos tipos de incidencias para frameworks como FastAPI, Flask y Django.
Entre los problemas que puede detectar se encuentran configuraciones incorrectas de middleware, exposición accidental de servicios a redes públicas y filtraciones de datos sensibles en parámetros de consulta.
Compatibilidad con Java 25 LTS
SonarQube incorpora compatibilidad completa con Java 25 LTS, incluyendo análisis semántico de características como:
- Scoped Values.
- Flexible Constructor Bodies.
- Module Imports.
El análisis se centra, entre otros aspectos, en problemas de concurrencia y errores relacionados con campos sin inicializar.
También se añaden tipos de incidencias para identificar errores relacionados con fechas y horas.
Groovy, PowerShell y automatización CI/CD
Las mejoras también afectan al código utilizado para automatizar procesos de integración y despliegue.
En Groovy se incorporan 17 nuevos tipos de incidencias para pipelines de Jenkins, probados con una tasa de falsos positivos inferior al 5 %.
PowerShell recibe compatibilidad nativa, resaltado de sintaxis, métricas de código y más de 20 nuevos tipos de incidencias para la automatización de Windows y los flujos de trabajo de GitHub Actions.
Otras mejoras de compatibilidad
SonarQube también amplía su cobertura en otros lenguajes:
- Ruby: 40 nuevos tipos de incidencias y un analizador un 54 % más rápido.
- Gosu: compatibilidad para aplicaciones de seguros desarrolladas con Guidewire.
- Apex: mejoras en el análisis del código utilizado en Salesforce.
8. Nuevos informes de cumplimiento normativo
SonarQube Server incorpora mejoras para organizaciones que necesitan aportar evidencias sobre el cumplimiento de estándares de seguridad, desarrollo y accesibilidad.
Mayor cobertura de MISRA C y MISRA C++
La cobertura automatizada de MISRA C:2012 se amplía a más del 38,4 %, junto con la compatibilidad con MISRA C++:2023.
Estas capacidades están disponibles a partir de Enterprise Edition y resultan especialmente relevantes para organizaciones que desarrollan software sujeto a requisitos de seguridad funcional.
Informes de cumplimiento MISRA
SonarQube permite generar informes de cumplimiento para MISRA C/C++ alineados con el marco MISRA Compliance.
Estos documentos están preparados para su utilización en auditorías e incorporan mecanismos para detectar alteraciones.
Informes de accesibilidad WCAG
El informe de cumplimiento de accesibilidad permite identificar incumplimientos de los estándares WCAG 2.1 AA y WCAG 2.2 AA.
Los resultados pueden consultarse a nivel de proyectos, aplicaciones y carteras, facilitando la revisión de los requisitos de accesibilidad.
Informe del Reglamento de Ciberresiliencia de la UE
Otra incorporación es el informe de cumplimiento del Reglamento de Ciberresiliencia de la Unión Europea (Cyber Resilience Act, CRA).
Su finalidad es proporcionar evidencias para procesos de auditoría en organizaciones sujetas a requisitos regulatorios de ciberseguridad.
Estos informes ayudan a documentar el estado del código frente a determinados estándares, aunque su generación no implica por sí sola que una organización cumpla todos los requisitos de la normativa correspondiente.
9. Cambios en la gestión de vulnerabilidades y Security Hotspots
SonarQube está avanzando hacia un modelo unificado de gestión de incidencias de seguridad.
Como parte de esta evolución, los Security Hotspots han iniciado un proceso de retirada para integrarse en el sistema de incidencias de seguridad estándar.
La transición incluye avisos de obsolescencia en la interfaz, las API y los componentes de Plugin API afectados.
Migración de Security Hotspots
SonarQube incorpora una API de migración idempotente, activada por un administrador, que permite convertir los Security Hotspots en vulnerabilidades.
El proceso conserva información relevante de cada hallazgo:
- Historial.
- Personas asignadas.
- Comentarios.
- Marcas de tiempo.
Las incidencias migradas reciben la etiqueta former-hotspot, lo que facilita su identificación y trazabilidad.
Además, los administradores pueden probar la migración en un proyecto antes de aplicarla al resto de la instancia.
Protección de secretos detectados
Otra mejora de seguridad es el enmascaramiento y la ocultación de secretos de forma predeterminada.
Cuando SonarQube identifica una credencial incluida en el código, evita mostrar su valor en texto plano tanto en la interfaz como en los resultados del análisis.
Esto reduce el riesgo de exposición adicional de información sensible durante la revisión de incidencias.
Resolución estructurada de incidencias con sonar-resolve
SonarQube incorpora sonar-resolve como sustituto del comentario genérico NOSONAR, que permitía suprimir incidencias sin distinción.
Este mecanismo exige indicar una referencia concreta a la incidencia y su estado de resolución directamente en el código.
La información se sincroniza con la interfaz de SonarQube, proporcionando trazabilidad para los procesos de revisión y auditoría.
10. Nuevos paneles de gobernanza y administración
Las novedades de SonarQube Server también incluyen herramientas para que los responsables de desarrollo y seguridad puedan supervisar el cumplimiento de los estándares de calidad.
Panel de cumplimiento de Quality Gates
El panel de cumplimiento permite analizar con qué frecuencia las versiones de la rama principal superan o incumplen el Quality Gate durante un periodo determinado.
También identifica las denominadas versiones de riesgo, es decir, aquellas que se han promovido pese a no superar el Quality Gate.
Esta información facilita el seguimiento de la aplicación real de las políticas de calidad.
Paneles personalizados para proyectos y carteras
SonarQube Server incorpora una sección Dashboards con vistas de resumen para proyectos y carteras.
Los usuarios pueden crear paneles personalizados mediante widgets como:
- Recuentos de métricas.
- Indicadores de calificación.
- Gráficos circulares y de anillo.
- Gráficos de tendencias.
- Listas de los cinco elementos principales.
También se incorporan métricas relacionadas con la densidad de incidencias, las incidencias cerradas y los tiempos medios de resolución de incidencias y riesgos de dependencias.
Panel de cobertura de proyectos
Este panel permite a los administradores consultar el estado de integración y análisis de los repositorios de la instancia.
Muestra información sobre las conexiones con plataformas DevOps, la importación de repositorios y la cobertura de análisis.
También ayuda a identificar repositorios que todavía no se han importado o analizado.
11. Mejoras en la interfaz de SonarQube Server
Además de las novedades técnicas, SonarQube Server incorpora cambios en su experiencia de usuario.
La navegación horizontal superior se sustituye por una barra lateral vertical y un selector de contexto.
Esta organización facilita el desplazamiento entre empresas, carteras y proyectos sin perder la referencia del entorno en el que se está trabajando.
También se incorpora un nuevo tema oscuro, con tres opciones de visualización:
- Modo claro.
- Modo oscuro.
- Modo adaptado a la configuración del sistema.
Estos cambios acercan la experiencia de SonarQube Server a la de SonarQube Cloud y a los entornos de desarrollo que utilizan temas oscuros.
Conclusión: ¿qué aporta SonarQube Server 2026.5?
Las novedades incorporadas desde SonarQube Server 2026.1 LTA hasta la versión 2026.5 muestran una evolución en tres áreas: el desarrollo asistido por IA, la seguridad del código y la gobernanza de los proyectos.
La incorporación de Sonar Vortex, Remediation Agent y Hunter Agent amplía las posibilidades de verificación y corrección del código con agentes de IA, también en infraestructuras autogestionadas.
Al mismo tiempo, los nuevos controles sobre dependencias, arquitectura y cumplimiento normativo permiten a los equipos abordar problemas que van más allá de la calidad del código individual.
Por último, los paneles de gobernanza y las mejoras de administración facilitan el seguimiento de los estándares de calidad a nivel de proyecto y de organización.
¿Necesitas ayuda para actualizar SonarQube Server o conocer qué funcionalidades están disponibles en tu edición? Puedes contactar con el equipo de excentia para resolver tus dudas.
Artículo elaborado a partir de las novedades oficiales de SonarQube Server 2026.5.