BR-Linux.org

A vulnerabilidade CVE-2026-42533 no NGINX pode permitir que um invasor remoto e não autenticado sobrecarregue um buffer, levando a uma negação de serviço (DoS) e, teoricamente, à possibilidade de execução remota de código.

A falha está presente em mais de uma década de versões do NGINX, desde março de 2011, quando foi adicionado o recurso de expressões regulares na diretiva 'map'. É por isso que a lista de versões afetadas é enorme: 0.9.6 a 1.30.3, todas até 1.31.2, R33 a R36, e 37.0.0.1 a 37.0.0.2 (dependendo de qual série você usa). Produtos derivados, como NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, também podem estar vulneráveis.

As versões com a correção são: 1.30.4, 1.31.3, R36 Patch 7 e 37.0.3.1.

Mas atenção: como a falha é dependente da configuração, é possível que um servidor que roda uma versão afetada não esteja exposto à vulnerabilidade (o que não é razão para adiar a correção, naturalmente).

Referência: CVE-2026-42533: 15-Year-Old NGINX RCE Vulnerability Explained | The CyberSec Guru

Um desenvolvedor do GNOME Calendar reavivou a brasa de uma discussão de meses com o Linux Mint sobre pacotes desatualizados, links de suporte e marcas.

São frequentes os conflitos de interesse entre os desenvolvedores e os distribuidores de software, porque o que é conveniente para um dos lados muitas vezes é inoportuno para o outro.

É precisamente o caso: o Linux Mint obtém seus pacotes via Ubuntu LTS, e assim costumeiramente distribui versões antigas de aplicativos (como o GNOME Calendar), contendo bugs e problemas já corrigidos pelos desenvolvedores (em versões lançadas meses ou anos depois daquela).

Acontece que os usuários do Mint (com razão!) percebem essas falhas do aplicativo, e usam os links de contato da documentação dele para entrar em contato com os desenvolvedores, pedindo solução ou suporte, o que os onera longamente com esse atendimento, além de causar um dano desnecessário à sua imagem.

Segundo o relato do desenvolvedor em questão, isso acontece desproporcionalmente com os usuários do Mint, apesar de serem as mesmas versões empacotadas por outras distribuições (como o Ubuntu LTS).

O desenvolvedor agora classifica o Mint como uma distribuição "hostil", após meses de tratativas em que o Mint responde apenas com versões repaginadas da mesma afirmação: "a gente pega os pacotes do LTS da outra distribuição e temos nossos problemas". Os distribuidores do Mint estão, naturalmente, exercendo um direito dado pela licença, de distribuir qualquer versão que queiram, mesmo se isso onerar desmedidamente os desenvolvedores, que também tem outros problemas.

Claramente a comunicação não está funcionando, e o que havia de reserva de empatia nesse relacionamento também já acabou. Aguardaremos, portanto, os próximos capítulos.

Referência: Linux Mint and GNOME Calendar Clash Resurfaces Months Later

Quem já usou está convidado a comentar suas impressões!

Enviado por Marcelo Teixeira (lixoatomicoθprotonmail⸱com)

“Projetado para qualquer computador moderno e sistemas mais antigos com RAM limitada, sempre com arquitetura de 64 bits. Uma versão ideal para revitalizar hardware limitado, combater a obsolescência programada e proteger o meio ambiente. A fluidez e velocidade do sistema se devem ao baixo consumo de recursos dos ambientes desktop selecionados e otimizados.”

“Vendefoul Wolf Excalibur GNU/Linux é uma distribuição completa e gratuita disponível em todas as suas versões e ambientes desktop. Pronto para usar imediatamente (impressoras, Bluetooth, etc.) com consumo mínimo de recursos. Não inclui telemetria ou inteligência artificial integrada. Ele vem com uma seleção selecionada de software para ajudá-lo a ser produtivo desde o início em um ambiente intuitivo e personalizável. Perfeito para migrar de qualquer outro ecossistema.”

“Baseada no Devuan 6 (um fork do Debian 13), ela apresenta o kernel vendefoul personalizado, XLibre (um fork do Xorg) e OpenRC por padrão. SysV ou Runit são opcionais. Ideal para Live-USB ou uso persistente, bem como para instalações completas.”

Referência: vendefoul-wolf-linux.sourceforge.io

A falha wp2shell é nova, grave, e abre o servidor do seu blog para a execução remota de comandos (RCE), sem exigir autenticação nem requisitos complexos.

As versões afetadas são o WordPress 6.9.0 a 6.9.4, 7.0.0 e 7.0.1. Se você tem uma dessas, o ideal é fazer o upgrade imediato para 7.0.2 (lançado ontem para corrigir o bug) ou o 6.9.5

Vale ter pressa, porque logo devem surgir ferramentas automatizadas de exploração, já que a estimativa é de que existam mais de meio bilhão de sites rodando WordPress, e o bug é ao mesmo tempo grave e de fácil exploração. É um alvo tentador demais para os adversários.

O que eu penso sobre o WordPress não é novidade (e eu repeti recentemente ao final deste post sobre a versão 7), mas aos usuários desejo sucesso e que tenham condições de fazer o upgrade ou correção antes que a falha seja explorada.

Referência: wp2shell: Pre Authentication RCE in WordPress Core

O BR-Linux literalmente nasceu do meu caderninho de anotações sobre como vencer a dificuldade de configurar impressora, CD-ROM e placa de vídeo, então vejo com muita simpatia esse artigo de nostalgia invertida do OS Technix.

Começa assim: “Lembra como era editar o XF86Config, lutar contra chipsets Wi-Fi e perseguir dependências de pacotes RPM? Aqui está uma visão nostálgica de 12 dores de cabeça do Linux que desapareceram silenciosamente nos últimos 25 anos.”

A lista dele tem detalhes para cada um dos tópicos, e inclui itens que eu nem lembrava mais, como configurar a rodinha do mouse, montar pen drives, e ativar um segundo monitor.

Mas eu lembro de 2 que não estão na lista: configurar scanners com interface SCSI, e modems ISA.

Referência: 12 Linux Headaches We Thankfully Never Have to Deal With Anymore - OSTechNix

O Twitter foi comprado em 2022 e deixou de existir no ano seguinte, e o imigrante que o comprou já fez uma série de promessas de abertura de código desde então – a mais recente foi nesta quarta-feira.

Ele fez o anúncio em sua própria rede social, e desta vez diz que: "assim que concluirmos nossa revisão de vulnerabilidades de segurança", toda a base de código do site será aberta, "sem exceções". Também promete convidar analistas externos para verificar se o sistema em execução corresponde ao código disponibilizado, e faz comentários sobre credibilidade, confiança e transparência.

Referência: X (Formerly Twitter) is Possibly Going Open Source

Um ano depois do Perl 5.42, a nova versão estável da clássica linguagem chega trazendo novidades.

A novidade mais interessante em termos da linguagem em si é o suporte experimental para parâmetros nomeados, nas definições de sub-rotinas. Até agora, os argumentos nas assinaturas de funções Perl eram só posicionais, e o Perl 5.44 passa a permitir que os desenvolvedores definam parâmetros selecionados que os chamadores podem referenciar usando pares nome-valor.

Além disso, uma série de operações (incluindo aritméticas) foram tornadas mais eficientes e rápidas, o suporte a Unicode foi atualizado, as expressões regulares com sintaxe própria ficaram ainda mais completas (e complicadas), e os números aleatórios ficaram um pouco mais imprevisíveis que antes.

Referência: Perl 5.44 Released with Named Parameters and Unicode 17

O Forgejo 16.0, nova versão desse serviço Git que você mesmo pode hospedar, chega trazendo notificações granulares, comentários de revisão multilinha, acompanhamento de progresso de migração, e muito mais.

As revisões de PRs incluem várias melhorias: os revisores agora podem anexar um único comentário a várias linhas alteradas, pressionando Shift e selecionando o intervalo desejado na comparação.

O Forgejo também redesenhou a lista de commits de PRs, que agora se adapta melhor a diferentes tamanhos de tela, em um design que tende a ser adotado em mais áreas do projeto.

Referência: Forgejo 16.0 Dev Platform Adds Granular Notifications and Better PR Reviews

Há poucos dias o StatCounter apontava que a fatia do Linux no Desktop era de 7,1%, depois 7,3, 7,4, e acaba de chegar aos 7,5%, com queda correspondente no Windows.

Começo dizendo o necessário: estatisticamente falando, os dados proprietários do StatCounter só servem para serem comparados com eles mesmos; mesmo assim, é significativo quando mostram tendências, e neste momento apontam crescimento do Linux no Desktop às custas do Windows.

Será que são os consoles de jogos? Alguma migração empresarial de grande porte? Mudança na metodologia de contagem? Não sabemos.

Referência: Techrights — GNU/Linux Estimated at 8% "Market Share" Today (in statCounter)

Linus Torvalds destaca, mais uma vez, sua identidade de techbro, e volta a se esforçar para invalidar as ilusões de quem projeta nele alguns outros valores.

Linus Torvalds afirma, mais uma vez, que o kernel Linux não é “anti-IA” e que para ele LLMs devem ser vistos apenas como uma ferramenta para ajudar os desenvolvedores. O desenvolvimento do kernel Linux não exige o uso de ferramentas de IA, mas Torvalds é contra aqueles que discutem com os que desejam usar soluções baseadas em IA/LLM.

No seu e-mail da noite de ontem, Torvalds faz questão de deixar claro que está falando na condição de principal mantenedor, e afirma que a rejeição ao uso de IA não é a posição do projeto – embora reconheça que não se trata de uma convivência indolor.

A parte central da mensagem, para quem alimenta ilusões diferentes sobre a posição torvaldiana, é esta:

O projeto do kernel foi e continuará a ser sobre a tecnologia. Claro, o ângulo social de trabalhar com código aberto é importante e muitas vezes uma parte muito motivadora do projeto, mas no final isso é um benefício colateral, não o _ponto_ do projeto. Este *NÃO* é algum tipo de projeto de “guerreiro social”, nunca foi e nunca será.

As aspas estão no original.

Referência: Linus Torvalds Reaffirms That Linux Is Not "Anti-AI" & Not A "Social Warrior" Project - Phoronix

Desde a semana passada, a árvore de fontes do sistema-base do FreeBSD 16 está livre de códigos licenciados sob a GNU GPL.

A retirada dos componentes dialog e dpv concluiu esse projeto de remoção, que durou vários anos, e agora o ramo GNU da árvore de fontes do sistema-base está marcado como vazio.

As licenças BSD existem desde 1988 (com o 4.3BSD-Tahoe), e a primeira versão da GPL foi publicada no ano seguinte, em fevereiro de 1989.

Referência: FreeBSD 16 Retires The Last Of Its GPL Code From Its Base System - Phoronix

O Exército Suíço considera inaceitável o risco de deixar seus dados em servidores da empresa norte-americana, e suas unidades mais especializadas já começaram a migrar para a solução alemã OpenDesk, com prazo até outubro.

O Exército Suíço está em meio a uma reviravolta na sua infraestrutura de TI, iniciando pelos especialistas em segurança cibernética das Forças Armadas Suíças – principalmente o “Comando Cibernético” e a unidade de Ações Cibernéticas e Eletromagnéticas (CEA). A corporação decidiu que até outubro todos os colaboradores dessas unidades já deverão estar equipados com a alternativa open-source OpenDesk nos seus postos de trabalho.

Segundo a revista Republik, esse passo é motivado por uma mudança estratégica na Microsoft. Embora a Suíça coopere com a empresa norte-americana há muito tempo, até recentemente os dados confidenciais do governo permaneciam nos datacenters estatais. Mas agora a multinacional está forçando cada vez mais os clientes a migrarem para a infraestrutura em nuvem mantida por ela, num cenário em que e-mails, documentos, dados de compromissos ou videoconferências só estarão acessíveis através dos servidores da empresa norte-americana.

Para o Exército Suíço, cuja grande parte dos dados operacionais são classificados como estritamente confidenciais, isto representa um risco de segurança inaceitável.

Referência: Swiss Army breaks with Microsoft: "Cyber Command" relies on Open Source | heise online

O estudante Gabriel C. Lima, que cursa Sistemas de Informação no IFPR de Ivaiporã, criou um projeto muito interessante a partir de uma das várias TV Box piratas BTV B13 apreendidas pela Receita Federal e que sua instituição recebeu para uso em experimentos.

O seu professor desafiou a turma a encontrar uma maneira prática de transformar esses aparelhos (BTV B13, ou “TV Box Android 11”, com Cortex-A55, 2GB DDR4, 16GB eMMC, Ethernet, Wi-Fi, Bluetooth) em ferramentas úteis, dando boot a partir de seu armazenamento interno (pelas dificuldades práticas de usar soluções baseadas em dispositivo externo/pen drive em laboratórios de acesso público).

O Gabriel mordeu a isca, apesar dos desafios: bootloader proprietário, drivers secretos, layout de partições incomum, ausência intencional de documentação, etc.

Após muita escovação de bits, ele plugou um ESP32 como adaptador serial, e conseguiu interagir com o gerenciador de boot do TV Box. A partir daí, tinha um caminho desimpedido para explorar a configuração, e descobriu que o gerenciador de boot original tentava ler um arquivo de configuração inexistente, que ele criou e usou para fazê-lo carregar o Debian que ele instalou por cima de uma das partições.

Depois de mais alguns ajustes, o sistema funcionou como uma estação de trabalho completa, em modo gráfico e conectada via cabo de rede, testada com cargas de trabalho (leves) de servidor, edição de texto, programação, navegação, e mais – cumprindo a missão dada pelo professor.

O post do Gabriel conta a história completa e tem links para o Github com a documentação completa que ele produziu.

Referência: Reciclando uma TV box pirata (BTV B13) em um servidor Linux ou desktop portátil