A falha está presente em mais de uma década de versões do NGINX, desde março de 2011, quando foi adicionado o recurso de expressões regulares na diretiva 'map'. É por isso que a lista de versões afetadas é enorme: 0.9.6 a 1.30.3, todas até 1.31.2, R33 a R36, e 37.0.0.1 a 37.0.0.2 (dependendo de qual série você usa). Produtos derivados, como NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, também podem estar vulneráveis.

As versões com a correção são: 1.30.4, 1.31.3, R36 Patch 7 e 37.0.3.1.

Mas atenção: como a falha é dependente da configuração, é possível que um servidor que roda uma versão afetada não esteja exposto à vulnerabilidade (o que não é razão para adiar a correção, naturalmente).

Referência: CVE-2026-42533: 15-Year-Old NGINX RCE Vulnerability Explained | The CyberSec Guru

O artigo "Falha crítica no NGINX pode tirar o servidor do ar e está no código há 15 anos" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

São frequentes os conflitos de interesse entre os desenvolvedores e os distribuidores de software, porque o que é conveniente para um dos lados muitas vezes é inoportuno para o outro.

É precisamente o caso: o Linux Mint obtém seus pacotes via Ubuntu LTS, e assim costumeiramente distribui versões antigas de aplicativos (como o GNOME Calendar), contendo bugs e problemas já corrigidos pelos desenvolvedores (em versões lançadas meses ou anos depois daquela).

Acontece que os usuários do Mint (com razão!) percebem essas falhas do aplicativo, e usam os links de contato da documentação dele para entrar em contato com os desenvolvedores, pedindo solução ou suporte, o que os onera longamente com esse atendimento, além de causar um dano desnecessário à sua imagem.

Segundo o relato do desenvolvedor em questão, isso acontece desproporcionalmente com os usuários do Mint, apesar de serem as mesmas versões empacotadas por outras distribuições (como o Ubuntu LTS).

O desenvolvedor agora classifica o Mint como uma distribuição "hostil", após meses de tratativas em que o Mint responde apenas com versões repaginadas da mesma afirmação: "a gente pega os pacotes do LTS da outra distribuição e temos nossos problemas". Os distribuidores do Mint estão, naturalmente, exercendo um direito dado pela licença, de distribuir qualquer versão que queiram, mesmo se isso onerar desmedidamente os desenvolvedores, que também tem outros problemas.

Claramente a comunicação não está funcionando, e o que havia de reserva de empatia nesse relacionamento também já acabou. Aguardaremos, portanto, os próximos capítulos.

Referência: Linux Mint and GNOME Calendar Clash Resurfaces Months Later

O artigo "Continua a treta entre GNOME Calendar e Linux Mint - e desta vez dou razão aos devs" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Enviado por Marcelo Teixeira (lixoatomicoθprotonmail⸱com)

“Projetado para qualquer computador moderno e sistemas mais antigos com RAM limitada, sempre com arquitetura de 64 bits. Uma versão ideal para revitalizar hardware limitado, combater a obsolescência programada e proteger o meio ambiente. A fluidez e velocidade do sistema se devem ao baixo consumo de recursos dos ambientes desktop selecionados e otimizados.”

“Vendefoul Wolf Excalibur GNU/Linux é uma distribuição completa e gratuita disponível em todas as suas versões e ambientes desktop. Pronto para usar imediatamente (impressoras, Bluetooth, etc.) com consumo mínimo de recursos. Não inclui telemetria ou inteligência artificial integrada. Ele vem com uma seleção selecionada de software para ajudá-lo a ser produtivo desde o início em um ambiente intuitivo e personalizável. Perfeito para migrar de qualquer outro ecossistema.”

“Baseada no Devuan 6 (um fork do Debian 13), ela apresenta o kernel vendefoul personalizado, XLibre (um fork do Xorg) e OpenRC por padrão. SysV ou Runit são opcionais. Ideal para Live-USB ou uso persistente, bem como para instalações completas.”

Referência: vendefoul-wolf-linux.sourceforge.io

O artigo "Vendefoul: Distribuição baseada em Devuan, sem systemd, com Xlibre no lugar do Xorg" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Enviado por Filipe Saraiva (filipeθsaraiva⸱tec⸱br)

Nextcloud, o popular software livre de nuvem, hoje é um ecossistema completo com vários aplicativos que expande para funcionalidades como calendários, agenda, gerenciamento de projetos e outros.

Escrevi um post descrevendo alguns desses aplicativos que uso diariamente na minha rotina. Tenho usado o Nextcloud por muitos anos, imagino já quase beirando os 15 – comecei ainda no ownCloud.

O artigo "Conhecendo o ecossistema Nextcloud" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

As versões afetadas são o WordPress 6.9.0 a 6.9.4, 7.0.0 e 7.0.1. Se você tem uma dessas, o ideal é fazer o upgrade imediato para 7.0.2 (lançado ontem para corrigir o bug) ou o 6.9.5

Vale ter pressa, porque logo devem surgir ferramentas automatizadas de exploração, já que a estimativa é de que existam mais de meio bilhão de sites rodando WordPress, e o bug é ao mesmo tempo grave e de fácil exploração. É um alvo tentador demais para os adversários.

O que eu penso sobre o WordPress não é novidade (e eu repeti recentemente ao final deste post sobre a versão 7), mas aos usuários desejo sucesso e que tenham condições de fazer o upgrade ou correção antes que a falha seja explorada.

Referência: wp2shell: Pre Authentication RCE in WordPress Core

O artigo "wp2shell: Vulnerabilidade séria no WordPress, upgrade urgente" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Começa assim: “Lembra como era editar o XF86Config, lutar contra chipsets Wi-Fi e perseguir dependências de pacotes RPM? Aqui está uma visão nostálgica de 12 dores de cabeça do Linux que desapareceram silenciosamente nos últimos 25 anos.”

A lista dele tem detalhes para cada um dos tópicos, e inclui itens que eu nem lembrava mais, como configurar a rodinha do mouse, montar pen drives, e ativar um segundo monitor.

Mas eu lembro de 2 que não estão na lista: configurar scanners com interface SCSI, e modems ISA.

Referência: 12 Linux Headaches We Thankfully Never Have to Deal With Anymore - OSTechNix

O artigo "Era difícil, virou trivial: 12 dores de cabeça do Linux que ficaram pra trás" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Ele fez o anúncio em sua própria rede social, e desta vez diz que: "assim que concluirmos nossa revisão de vulnerabilidades de segurança", toda a base de código do site será aberta, "sem exceções". Também promete convidar analistas externos para verificar se o sistema em execução corresponde ao código disponibilizado, e faz comentários sobre credibilidade, confiança e transparência.

Referência: X (Formerly Twitter) is Possibly Going Open Source

O artigo "Homem que comprou o Twitter promete (de novo) abrir o código-fonte do site" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

A novidade mais interessante em termos da linguagem em si é o suporte experimental para parâmetros nomeados, nas definições de sub-rotinas. Até agora, os argumentos nas assinaturas de funções Perl eram só posicionais, e o Perl 5.44 passa a permitir que os desenvolvedores definam parâmetros selecionados que os chamadores podem referenciar usando pares nome-valor.

Além disso, uma série de operações (incluindo aritméticas) foram tornadas mais eficientes e rápidas, o suporte a Unicode foi atualizado, as expressões regulares com sintaxe própria ficaram ainda mais completas (e complicadas), e os números aleatórios ficaram um pouco mais imprevisíveis que antes.

Referência: Perl 5.44 Released with Named Parameters and Unicode 17

O artigo "Lançado o Perl 5.44, com execução mais rápida e suporte a Unicode 17" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

As revisões de PRs incluem várias melhorias: os revisores agora podem anexar um único comentário a várias linhas alteradas, pressionando Shift e selecionando o intervalo desejado na comparação.

O Forgejo também redesenhou a lista de commits de PRs, que agora se adapta melhor a diferentes tamanhos de tela, em um design que tende a ser adotado em mais áreas do projeto.

Referência: Forgejo 16.0 Dev Platform Adds Granular Notifications and Better PR Reviews

O artigo "Forgejo 16.0: nova versão da plataforma de desenvolvimento self-hosted baseada no Git" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Começo dizendo o necessário: estatisticamente falando, os dados proprietários do StatCounter só servem para serem comparados com eles mesmos; mesmo assim, é significativo quando mostram tendências, e neste momento apontam crescimento do Linux no Desktop às custas do Windows.

Será que são os consoles de jogos? Alguma migração empresarial de grande porte? Mudança na metodologia de contagem? Não sabemos.

Referência: Techrights — GNU/Linux Estimated at 8% "Market Share" Today (in statCounter)

O artigo "StatCounter aponta participação do Linux no desktop em 7,5%, e subindo às custas do Windows" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Enviado por Prof⸱ Juliano Ramos (profjulianoramosθgmail⸱com)

O artigo "Oferta especial até dia 20 nos cursos do Prof. Juliano Ramos para formação LPI e Red Hat" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

Linus Torvalds afirma, mais uma vez, que o kernel Linux não é “anti-IA” e que para ele LLMs devem ser vistos apenas como uma ferramenta para ajudar os desenvolvedores. O desenvolvimento do kernel Linux não exige o uso de ferramentas de IA, mas Torvalds é contra aqueles que discutem com os que desejam usar soluções baseadas em IA/LLM.

No seu e-mail da noite de ontem, Torvalds faz questão de deixar claro que está falando na condição de principal mantenedor, e afirma que a rejeição ao uso de IA não é a posição do projeto – embora reconheça que não se trata de uma convivência indolor.

A parte central da mensagem, para quem alimenta ilusões diferentes sobre a posição torvaldiana, é esta:

O projeto do kernel foi e continuará a ser sobre a tecnologia. Claro, o ângulo social de trabalhar com código aberto é importante e muitas vezes uma parte muito motivadora do projeto, mas no final isso é um benefício colateral, não o _ponto_ do projeto. Este *NÃO* é algum tipo de projeto de “guerreiro social”, nunca foi e nunca será.

As aspas estão no original.

Referência: Linus Torvalds Reaffirms That Linux Is Not "Anti-AI" & Not A "Social Warrior" Project - Phoronix

O artigo "Techbro: Linus Torvalds sublinha, de novo, que o seu kernel não é anti-IA, e nem visa ser um projeto social" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

A retirada dos componentes dialog e dpv concluiu esse projeto de remoção, que durou vários anos, e agora o ramo GNU da árvore de fontes do sistema-base está marcado como vazio.

As licenças BSD existem desde 1988 (com o 4.3BSD-Tahoe), e a primeira versão da GPL foi publicada no ano seguinte, em fevereiro de 1989.

Referência: FreeBSD 16 Retires The Last Of Its GPL Code From Its Base System - Phoronix

O artigo "FreeBSD 16 conclui com sucesso a remoção de todo o código GPL do seu sistema-base" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

O Exército Suíço está em meio a uma reviravolta na sua infraestrutura de TI, iniciando pelos especialistas em segurança cibernética das Forças Armadas Suíças – principalmente o “Comando Cibernético” e a unidade de Ações Cibernéticas e Eletromagnéticas (CEA). A corporação decidiu que até outubro todos os colaboradores dessas unidades já deverão estar equipados com a alternativa open-source OpenDesk nos seus postos de trabalho.

Segundo a revista Republik, esse passo é motivado por uma mudança estratégica na Microsoft. Embora a Suíça coopere com a empresa norte-americana há muito tempo, até recentemente os dados confidenciais do governo permaneciam nos datacenters estatais. Mas agora a multinacional está forçando cada vez mais os clientes a migrarem para a infraestrutura em nuvem mantida por ela, num cenário em que e-mails, documentos, dados de compromissos ou videoconferências só estarão acessíveis através dos servidores da empresa norte-americana.

Para o Exército Suíço, cuja grande parte dos dados operacionais são classificados como estritamente confidenciais, isto representa um risco de segurança inaceitável.

Referência: Swiss Army breaks with Microsoft: "Cyber Command" relies on Open Source | heise online

O artigo "Lá tem soberania digital: Exército da Suíça troca Microsoft por código aberto europeu" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.

O seu professor desafiou a turma a encontrar uma maneira prática de transformar esses aparelhos (BTV B13, ou “TV Box Android 11”, com Cortex-A55, 2GB DDR4, 16GB eMMC, Ethernet, Wi-Fi, Bluetooth) em ferramentas úteis, dando boot a partir de seu armazenamento interno (pelas dificuldades práticas de usar soluções baseadas em dispositivo externo/pen drive em laboratórios de acesso público).

O Gabriel mordeu a isca, apesar dos desafios: bootloader proprietário, drivers secretos, layout de partições incomum, ausência intencional de documentação, etc.

Após muita escovação de bits, ele plugou um ESP32 como adaptador serial, e conseguiu interagir com o gerenciador de boot do TV Box. A partir daí, tinha um caminho desimpedido para explorar a configuração, e descobriu que o gerenciador de boot original tentava ler um arquivo de configuração inexistente, que ele criou e usou para fazê-lo carregar o Debian que ele instalou por cima de uma das partições.

Depois de mais alguns ajustes, o sistema funcionou como uma estação de trabalho completa, em modo gráfico e conectada via cabo de rede, testada com cargas de trabalho (leves) de servidor, edição de texto, programação, navegação, e mais – cumprindo a missão dada pelo professor.

O post do Gabriel conta a história completa e tem links para o Github com a documentação completa que ele produziu.

Referência: Reciclando uma TV box pirata (BTV B13) em um servidor Linux ou desktop portátil

O artigo "Estudante brasileiro mostra como transformar TV Box pirata em Mini PC Linux universitário" foi originalmente publicado no site BR-Linux.org, de Augusto Campos.