Notícias sobre Software livre

Michael Catanzaro, desenvolvedor ativo do GNOME e mantenedor do navegador Epiphany, propõe que projetos de código aberto deixem de rejeitar relatórios de vulnerabilidades gerados por inteligência artificial. Embora ferramentas automatizadas tenham sobrecarregado os mantenedores — levando até ao encerramento do programa de recompensas do GNOME — Catanzaro argumenta que essas ferramentas encontram falhas reais que não podem ser ignoradas, especialmente porque agentes maliciosos já as usam para criar exploits. Como exemplo, a ferramenta fwupd corrigiu mais de 250 problemas potenciais de segurança descobertos por scanners de IA em três meses. No GNOME, o número de CVEs (identificadores padrão de vulnerabilidades) saltou de 13 em 2023 para 141 até setembro de 2026.

Catanzaro reconhece os limites da automação: modelos de IA superestimam gravidade, falham em compreender a arquitetura do software e às vezes fabricam dados. Por isso, recomenda que projetos ativem avisos específicos no compilador e apliquem curadoria rigorosa. Ele também solicitou o encerramento do programa de recompensas do GNOME na plataforma YesWeHack, que distribuiu 183.900 euros por 71 vulnerabilidades aceitas de 298 relatórios — observando que incentivos financeiros reduziram a qualidade das submissões. Em posição controversa, Catanzaro recomendou que novos programas do GNOME evitem Rust, citando riscos na cadeia de suprimentos através do gerenciador de pacotes Cargo, apesar de reconhecer que a linguagem elimina categorias inteiras de falhas de segurança de memória. Suas propostas não constituem política oficial da GNOME Foundation.

O canal MuyLinux no Telegram foi suspenso após mais de uma década em atividade, segundo a publicação, por violação dos termos de serviço — eles alegam que se trata de um erro e estão contestando a decisão. Enquanto isso, o site oferece alternativas para os seguidores: WhatsApp (onde publicam manualmente desde alguns meses), newsletter semanal aos sábados, redes sociais como Mastodon, X (Twitter) e Facebook, e RSS — este último apontado como a opção mais independente, sem influência de algoritmos.

A escolha pelos RSS é destacada por quem valoriza liberdade digital, já que não depende de plataformas de terceiros e permite acompanhar tudo sem perdas. Segundo eles, o Feedly — um agregador de feeds — registra mais de 11 mil seguidores do MuyLinux.

A DigitalOcean, provedora de infraestrutura de servidores em nuvem, está encerrando seu programa de créditos para projetos de código aberto. A empresa deixou de aceitar novas solicitações e renovações de crédito, segundo email enviado a mantenedores — incluindo os do Node.js, um runtime JavaScript popular. O programa oferecia créditos em nuvem para cobrir custos de infraestrutura de projetos open source, permitindo que mantivessem servidores, armazenamento e ambientes de testes sem pagar pelas hospedagens.

Não houve anúncio oficial no blog ou redes sociais da DigitalOcean; a informação veio à tona por discussões em repositórios GitHub e Reddit. Esta é a segunda vez que a empresa reduz programas comunitários silenciosamente este ano — em 2024, também removeu créditos do GitHub Student Pack sem aviso prévio. Após Node.js discutir sua saída pública, a DigitalOcean reabriu contato, sugerindo uma possível reformulação ("versão 2.0") do programa. Projetos menores, porém, provavelmente não terão a mesma influência para negociar e terão de arcar com custos de hospedagem ou migrar para outras plataformas.

Uma nova VPN chamada Obscura, criada por Carl Dong (ex-contribuidor do Bitcoin Core), quer quebrar o modelo tradicional da indústria de VPN baseado em promessas de "sem registros". Em vez disso, a Obscura divide a responsabilidade entre duas empresas independentes: seus próprios servidores fazem a primeira conexão, enquanto a VPN Mullvad (empresa sueca respeitada no ramo) atua como saída — tudo com criptografia de ponta a ponta. Assim, a Obscura não consegue ler o tráfego do usuário e a Mullvad nunca vê sua identidade. O raciocínio é que nenhuma empresa única deve ter poder total sobre sua privacidade.

A abordagem técnica usa o protocolo QUIC, que imita tráfego HTTP/3 e dificulta inspeção profunda de pacotes por sistemas de censura. A Obscura aceita pagamentos em Bitcoin (via Lightning) e Monero, permite criar conta com apenas um número aleatório e funciona também via Tor — eliminando a necessidade de email. Dong reconhece que ainda há limite: o endereço IP de conexão continua visível para a Obscura, mas a empresa diz tratar dados de usuários como "resíduos tóxicos" que não quer possuir.

A Cloudflare planeja se tornar uma autoridade certificadora (entidade que emite certificados de segurança para sites) pública e gratuita, oferecendo uma alternativa ao Let's Encrypt. O serviço será compatível com ACME, o mesmo protocolo aberto usado pelo Let's Encrypt para automatizar a solicitação e renovação de certificados TLS (que protegem a comunicação com sites). Para isso, a empresa solicitou a inclusão de sua infraestrutura nos programas de certificados raiz dos principais navegadores e sistemas operacionais. Cloudflare pretende acelerar o processo adquirindo um certificado raiz da GlobalSign, já confiável desde 2012, em vez de criar um do zero.

A nova autoridade certificadora não pretende substituir o Let's Encrypt, mas sim aumentar a redundância do ecossistema — atualmente, Let's Encrypt emite cerca de 10 milhões de certificados diários para mais de 500 milhões de sites, o que representa um risco sistêmico. A Cloudflare também planeja implementar renovações automáticas aprimoradas via ACME Renewal Information (ARI), manter transparência com compilações reproduzíveis do código e publicar painéis de status. Como diferencial futuro, a empresa pretende ser uma das primeiras autoridades certificadoras públicas a emitir Merkle Tree Certificates (formato compacto preparado para criptografia pós-quântica) até o primeiro trimestre de 2027.

O StatCounter, plataforma que rastreia sistemas operacionais pela análise de páginas vistas em sites, reportou para setembro de 2026 uma queda significativa na fatia de mercado do Linux em PCs: de 8,76% em agosto para 4,54%. A queda inverte o movimento dos meses anteriores, quando Linux havia atingido 7,51% em julho e 8,88% em agosto — picos inusitados que levantaram dúvidas sobre a precisão das medições. Windows recuperou mais de 13 pontos percentuais, enquanto sistemas Apple também tiveram oscilações bruscas.

O problema é que StatCounter não ofereceu explicação oficial para essas flutuações extremas. A plataforma mede navegação em mais de um milhão de sites, não a quantidade real de computadores ou usuários, e pode revisar dados nos primeiros 45 dias após publicação. Os picos de julho e agosto se mantêm nos registros históricos (agora com pequenos ajustes), mas a razão para subidas e quedas tão abruptas permanece desconhecida — especialmente depois que a categoria "Desconhecido" desapareceu da tabela no verão, sugerindo algum tipo de recálculo não divulgado. As oscilações são grandes demais para serem atribuídas a mudanças reais no uso dos sistemas operacionais sem mais contexto.

A IFPI (International Federation of the Phonographic Industry, que representa cerca de 8 mil gravadoras em 70 países) pediu à União Europeia que inclua o yt-dlp em sua lista de vigilância contra pirataria. O yt-dlp é uma ferramenta de linha de comando de código aberto, mantida por desenvolvedores espalhados pelo mundo, que permite baixar áudio e vídeo de diversos sites. Na submissão, a IFPI nomeou quatro mantenedores do projeto e o classificou como um "grande problema para a indústria musical", agrupando-o com serviços comerciais de extração de conteúdo como Y2mate e Savefrom.

A questão é que a lista de vigilância foi criada para visar plataformas de serviço online e mercados físicos localizados fora da UE — o yt-dlp, sendo uma ferramenta de código aberto distribuída globalmente sem um operador central ou domínio específico, não se encaixa nessa descrição. A IFPI reconhece essa dificuldade em sua própria submissão, admitindo que a natureza aberta do projeto torna impossível "conter e/ou remover". A distinção é importante: uma ferramenta de propósito geral para baixar conteúdo não é a mesma coisa que um serviço cuja função primária é facilitar cópias não autorizadas.

O F-Droid, repositório de aplicativos livres para Android desde 2010, lançou a versão 2.0 após mais de um ano de desenvolvimento. A reformulação traz reescrita completa do código em Kotlin (antes era Java), nova interface baseada em Jetpack Compose com design Material Design, e reorganização da navegação em três abas principais: Discover (explorar), Search (buscar) e My Apps (gerenciar instalados). Outras melhorias incluem verificação automática de atualizações, busca melhorada em várias idiomas e filtros mais poderosos. O lançamento está sendo gradual nas próximas semanas; usuários podem também testar a versão beta.

O anúncio reforça o posicionamento do F-Droid em um momento delicado: Google anunciou que a partir de 2027 obrigará desenvolvedoras de apps a se registrarem na plataforma com documentação oficial e pagamento de taxa, bloqueando apps de desenvolvedoras não registradas em dispositivos Android certificados. Em resposta, um membro da diretoria do F-Droid liderou a campanha Keep Android Open, que reuniu mais de 70 organizações de 20 países — incluindo Electronic Frontier Foundation, Free Software Foundation, KDE, Proton, Tor Project e outras — mostrando que a comunidade não pretende recuar.

O Signal 8.30 traz backups criptografados para iOS e desktop, completando a expansão que começou no Android em 2025. Agora o usuário pode escolher entre guardar cópias criptografadas localmente (em disco externo, NAS ou servidor próprio) ou nos servidores do Signal, mantendo a criptografia de ponta a ponta em ambos os casos. A mudança é significativa porque o app histórico nunca ofereceu solução de backup em nuvem — as conversas ficavam apenas no dispositivo.

Além da escolha de onde guardar os dados, a atualização traz otimizações importantes: arquivos de mídia agora são armazenados separadamente das mensagens, com deduplicação automática para evitar cópias duplicadas; no plano pago dos backups hospedados (US$ 1,99/mês), existe um recurso que remove vídeos e fotos antigos do celular e substitui por miniaturas, recuperáveis do backup quando necessário. Os backups hospedados também usam camadas criptográficas extras com chaves rotacionadas diariamente em ambientes de execução confiável, reduzindo exposição prolongada de uma única chave — embora a chave de recuperação do usuário continue sendo a proteção principal.

O mês de setembro de 2026 trouxe uma série de atualizações e lançamentos relevantes no ecossistema de Linux e software livre. Entre os destaques positivos estão o Firefox 156 com novo visualizador de PDF e correção de 74 vulnerabilidades, o GNOME 51 com animações aprimoradas e suporte offline para mapas, e o Java SE 27 com recursos de segurança pós-quântica. Também merecem menção o RT-Thread 5.3 com integração de Rust e suporte à Raspberry Pi 5, e o anúncio da NVIDIA sobre CUDA Rust para desenvolvimento nativo em GPUs.

Na frente de lançamentos de distribuições, setembro registrou atividade intensa com mais de 80 novas versões ou snapshots de projetos variados, incluindo openSUSE 16.1-rc, MX Linux 25.3, Alpine 3.24.2, Fedora 45-beta e várias versões snapshot do Ubuntu e seus sabores. Debian 13.7.0 e Debian Edu também chegaram ao público durante o mês, consolidando setembro como período produtivo para a comunidade de código aberto.

A Agência Soberana de Tecnologia (STA), organização alemã de financiamento de software livre, investirá quase €1,3 milhão no KDE nos próximos anos. Nate Graham e Kevin Ottens, dois dos contribuidores que ajudaram a garantir o aporte, apresentaram na conferência Akademy 2026 em Graz, na Áustria, como o financiamento foi conquistado e compartilharam orientações para que outros projetos abordem organizações como a STA.

Os recursos serão direcionados para melhorias gerais no KDE, especialmente em recursos para ambientes corporativos. Graham e Ottens também aproveitar a ocasião para incentivar a comunidade de software livre a explorar oportunidades similares de financiamento, documentando as lições aprendidas no processo de negociação com agências de fomento.

AlmaLinux lançou pela primeira vez um programa de certificação que coloca a validação de software e hardware nas mãos dos usuários. Tanto publicadores quanto usuários finais podem certificar produtos — sem custo algum. Publicadores adicionam seu software e indicam em quais versões do AlmaLinux funciona; usuários confirmam os resultados em sua própria máquina. Todos os testes vão parar em um catálogo público e pesquisável.

O hardware ganhou atenção especial: a ferramenta alma-certify foi reescrita para rodar certificações em menos de dez minutos na maioria dos equipamentos. Outra novidade é que não exige mais uma instalação completa do AlmaLinux — funciona a partir de mídia ao vivo ou de uma instalação já existente. O registro de máquinas agora usa códigos QR. A ferramenta verifica drivers, firmware, memória, armazenamento, rede, kernel, virtualização, GPU e periféricos. Segundo Jonathan Wright, líder de infraestrutura do AlmaLinux, o objetivo é dar aos usuários e empresas prova tangível de que a distribuição roda em seu hardware antes de adotá-la, e sinalizar aos fornecedores que suportar AlmaLinux é baixo esforço.