Versões do PHP anteriores à 8.5.12 e 8.3.36 contêm duas vulnerabilidades críticas (CVE-2026-109618 e CVE-2026-109619) que permitem execução remota de código. Qualquer servidor que execute aplicações PHP expostas na internet com versões antigas está em risco.

A recomendação é atualizar imediatamente para PHP 8.5.12 ou superior (ou PHP 8.3.36 para quem usa a versão legada 8.3). Se você mantém sites ou serviços em PHP, não adie essa atualização.

Em 20 de outubro de 2026, foi descoberto que vários certificados da autoridade certificadora intermediária eMudhra foram comprometidos. Esses certificados foram removidos e invalidados a partir da versão 3.131.1-1 do pacote ca-certificates-mozilla, que centraliza os certificados raiz de segurança usados por navegadores e aplicações em sistemas Linux.

Sem a atualização, computadores ficam vulneráveis a ataques de interceptação (man-in-the-middle), nos quais um invasor consegue se passar por um site legítimo. A recomendação é fazer o upgrade imediatamente — em distribuições que usam pacotes baseados em Arch ou derivadas, basta rodar a atualização de sistema; em Debian/Ubuntu, certifique-se de ter ca-certificates ≥ 3.131.1-1.

Um guia atualizado sobre aplicações de desktop para acompanhar feeds RSS no Linux. O texto resgata a importância de usar RSS como alternativa independente às redes sociais e seus algoritmos, especialmente após problemas recentes com plataformas intermediárias. A seleção prioriza ferramentas locais, descartando navegadores genéricos e aplicações obsoletas.

Entre as opções destacadas estão: Newsflash (desenhada para GNOME, sucessora espiritual do FeedReader); Liferea (veterano em desenvolvimento ativo, agora com interface modernizada em GTK4); RSS Guard (baseado em Qt, com amplas funcionalidades e compatibilidade com serviços externos); FeedFlow (focado em sincronização entre dispositivos, inclusive Android, rodando sobre Java no desktop); e Fluent Reader (interface moderna baseada no design Fluent da Microsoft e framework Electron, com múltiplos modos de visualização).

O Enshrouded, um jogo de ação e sobrevivência que permite jogar solo ou em cooperação, alcançou sua versão 1.0. O lançamento traz consigo a certificação Steam Deck Verified, o que significa que o jogo roda bem no portátil gaming do Steam sem necessidade de ajustes do usuário.

O pLinux5-NG, um projeto que permite executar Linux no PlayStation 5, ganhou suporte para versões mais recentes do firmware da console. Com isso, é possível rodar Linux e jogos do Steam no PS5, mas a compatibilidade pode ser limitada conforme a Sony lança atualizações de segurança que fecham as brechas exploradas pelo hack.

A equipe de segurança da FreeDesktop.org e da Fundação X.Org divulgou um boletim de segurança revelando mais de dez vulnerabilidades graves em bibliotecas centrais do X.Org, o sistema de janelas que há quase quatro décadas sustenta a interface gráfica do Unix e Linux. As falhas afetam pacotes como libX11, libXcursor, libXrender, libXrandr e libXfixes, com raiz em problemas crônicos de gerenciamento de memória em C: estouros de inteiros permitem alocação de blocos de memória menores do necessário, resultando em corrupção de memória e buffer overflows que podem levar à execução de código malicioso ou travamento da aplicação. O risco é maior em ambientes corporativos que usam redirecionamento de janelas via SSH ou em sistemas onde ferramentas gráficas rodam com privilégios de administrador.

As vulnerabilidades expõem a fragilidade estrutural de um projeto herdado dos anos 1980, quando segurança e isolamento de processos não eram prioridade. O X11 sobrevive atualmente com poucos desenvolvedores ativos em tempo integral, enquanto o Wayland — protocolo alternativo que oferece isolamento de segurança por padrão — recebe investimento massivo da indústria. Fedora, Linux Mint e outras grandes distribuições já aceleram a migração para Wayland como padrão. Debian, Ubuntu, Fedora, Arch e openSUSE já disponibilizaram patches emergenciais; usuários de X11 devem atualizar os pacotes gráficos com urgência.

A ferramenta de linha de comando da OVHcloud (plataforma de computação em nuvem) sofreu um ataque à cadeia de suprimentos em 19 de outubro de 2026. Invasores comprometeram a conta de um colaborador e substituíram binários legítimos por versões maliciosas nas releases v0.11.0 até v0.15.0, num intervalo de exposição de aproximadamente 94 minutos. O malware coletava credenciais, chaves de API e outros segredos armazenados no ambiente comprometido. O incidente reforça um risco crítico para administradores Linux e equipes DevOps: ferramentas baixadas de repositórios oficiais podem estar contaminadas se o processo de distribuição for comprometido.

A vulnerabilidade foi possível porque a OVHcloud não tinha ativado o recurso de imutabilidade de releases do GitHub — uma proteção que impede que arquivos publicados sejam alterados silenciosamente após a distribuição. Pesquisadores apontaram possíveis vínculos com o GlassWorm, grupo relacionado a campanhas que exploram ecossistemas de desenvolvimento, embora a atribuição ainda não esteja confirmada. A versão v0.16.0 foi lançada limpa, mas máquinas que executaram binários suspeitos precisam investigar exposição de credenciais.

A Microsoft lançou o Scope, uma ferramenta de código aberto (licença MIT) para avaliar o desempenho de agentes de IA na programação — softwares que usam modelos de linguagem para escrever código de forma autônoma. O Scope executa a mesma tarefa através de diferentes agentes (como GitHub Copilot e Claude Code) e verifica se completam o trabalho com sucesso. Para isso, você define critérios de sucesso que formam uma árvore de dependências, e um serviço baseado em IA avalia cada tentativa. A ferramenta registra logs, arquivos gerados e chamadas de ferramentas, permitindo rastrear onde um agente falhou. Você pode ajustar configurações, repetir testes e comparar resultados.

O Scope não tem versão hospedada na nuvem — você precisa rodar localmente com Docker, Node 22, pnpm e outras dependências. O código está no GitHub, e equipes de documentação, mantenedores de bibliotecas e desenvolvedores de ferramentas de linha de comando podem usá-lo para identificar quando agentes tropeçam em tarefas recorrentes ou não reconhecem seus SDKs.

Mike Rapoport anunciou a liberação dos vídeos da Linux Plumbers Conference 2026, conferência que reuniu desenvolvedores do kernel Linux e de software de baixo nível. O evento aconteceu em Praga entre 5 e 7 de outubro, e toda a gravação está disponível em uma playlist no YouTube, com links também organizados na agenda oficial da conferência.

Um patch pode estar pronto em dias, mas levar meses para chegar de verdade aos servidores — e esse é um dos maiores gargalos na gestão de vulnerabilidades em empresas. O tempo entre o lançamento de uma correção e sua efetiva execução em produção em todas as aplicações expostas é métrica pouco observada, mas crítica: enquanto isso leva 40 a 90 dias em muitas organizações para reconstruir, validar e distribuir, a inteligência artificial está reduzindo o tempo até a exploração para horas.

O dilema é real nas conversas sobre gestão de vulnerabilidades — a maioria das organizações conhece o patch, mas a infraestrutura, processos de validação e complexidade de ambientes distribuídos criam um hiato perigoso entre saber da falha e realmente estar protegido dela.

O ReactOS, sistema operacional de código aberto que busca ser compatível com Windows, atingiu um marco importante: agora é capaz de instalar-se diretamente em partições formatadas com NTFS, o sistema de arquivos padrão do Windows. Esse avanço representa quase uma década de desenvolvimento dedicado a resolver esse obstáculo técnico específico.

A conquista aproxima o ReactOS de se tornar uma alternativa viável e gratuita para quem procura um sistema compatível com Windows, sem depender de instalação prévia em FAT32 ou de ferramentas intermediárias.

O Bitwarden, gerenciador de senhas multiplataforma, adotou um novo modelo de licenciamento para suas aplicações oficiais. A mudança permite que a empresa use licença comercial propriedária nos apps principais, enquanto mantém uma versão alternativa sob licença GPLv3 (software livre) à disposição dos usuários que preferem código aberto.

A estratégia preserva a opção de código aberto para quem valoriza transparência e liberdade, enquanto viabiliza um modelo comercial sustentável para o desenvolvimento dos apps oficiais.