BR-Linux.org

A nova falha grave do WordPress, que noticiamos no final de semana, já está sendo explorada ativamente, e tem potencial para ser um longo pesadelo coletivo.

Isso porque a falha permite a qualquer pessoa executar comandos no servidor rodando o WordPress com a falha, sem precisar autenticar - e há literalmente centenas de milhões de sites com WordPress na Internet.

Muitos deles serão atualizados, mas muitos outros não serão, e os bots que identificam e comprometem os servidores vulneráveis já começaram a ser detectados no sábado - mesmo dia em que publiquei o post aqui no BR-Linux.

As versões afetadas são o WordPress 6.9.0 a 6.9.4, 7.0.0 e 7.0.1. Se você tem uma dessas, o ideal é fazer o upgrade imediato para 7.0.2 (lançado na sexta-feira para corrigir o bug) ou o 6.9.5

Referência: WP2Shell WordPress Vulnerabilities Exploited in the Wild - SecurityWeek

A oportunidade para o Linux no desktop, representada pela transição recente do Windows 10 para o Windows 11, ganhou mais força com a distópica escassez de RAM, que agora faz a Microsoft fingir que seu novo sistema roda bem em laptops com só 8GB de RAM.

Claro que usuários motivados conseguem rodar esse pesado sistema com até menos, dependendo do que forem fazer. Mas a empresa passou muito tempo mirando em uma configuração mínima de 16GB, mas agora que RAM passou a ter preço de ouro, mudou o discurso, e passou a dizer que um laptop de 8GB com Windows 11 será “ótimo para uso diário, como navegação, streaming, trabalhos escolares e aplicativos de produtividade.”

O site The Verge resolveu testar a afirmação, e a conclusão foi: trava demais. Ou, como diz o título do artigo, “Nem a Microsoft conseguiu rodar bem o Windows 11 em 8GB de RAM”.

Eles fizeram o teste no novo Surface Laptop, da própria Microsoft, em sua configuração oficial com 8GB de RAM. E aqui está o resumo da qualidade da experiência:

O Surface Laptop travava desse jeito, por alguns segundos, várias vezes ao dia, mesmo quando eu achava que não estava forçando muito. Tive esses congelamentos temporários enquanto trabalhava em alguns arquivos no Google Docs – sem nenhuma chamada do Teams em execução ou qualquer transmissão em segundo plano. Em média, são apenas algumas vezes por dia, mas ainda é muito frequente.

Definitivamente, quando a experiência de usuário é melhor com outro sistema operacional, rodando em um computador de 3 ou 4 anos atrás, do que com o sistema operacional mais recente, no laptop mais recente, há uma oportunidade no mercado a ser aproveitada por quem não fornece esse sistema mais recente.

Referência: Even Microsoft couldn’t make Windows 11 work well on 8GB of RAM | The Verge (ou via archive,ph)

A vulnerabilidade CVE-2026-42533 no NGINX pode permitir que um invasor remoto e não autenticado sobrecarregue um buffer, levando a uma negação de serviço (DoS) e, teoricamente, à possibilidade de execução remota de código.

A falha está presente em mais de uma década de versões do NGINX, desde março de 2011, quando foi adicionado o recurso de expressões regulares na diretiva 'map'. É por isso que a lista de versões afetadas é enorme: 0.9.6 a 1.30.3, todas até 1.31.2, R33 a R36, e 37.0.0.1 a 37.0.0.2 (dependendo de qual série você usa). Produtos derivados, como NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, também podem estar vulneráveis.

As versões com a correção são: 1.30.4, 1.31.3, R36 Patch 7 e 37.0.3.1.

Mas atenção: como a falha é dependente da configuração, é possível que um servidor que roda uma versão afetada não esteja exposto à vulnerabilidade (o que não é razão para adiar a correção, naturalmente).

Referência: CVE-2026-42533: 15-Year-Old NGINX RCE Vulnerability Explained | The CyberSec Guru

Um desenvolvedor do GNOME Calendar reavivou a brasa de uma discussão de meses com o Linux Mint sobre pacotes desatualizados, links de suporte e marcas.

São frequentes os conflitos de interesse entre os desenvolvedores e os distribuidores de software, porque o que é conveniente para um dos lados muitas vezes é inoportuno para o outro.

É precisamente o caso: o Linux Mint obtém seus pacotes via Ubuntu LTS, e assim costumeiramente distribui versões antigas de aplicativos (como o GNOME Calendar), contendo bugs e problemas já corrigidos pelos desenvolvedores (em versões lançadas meses ou anos depois daquela).

Acontece que os usuários do Mint (com razão!) percebem essas falhas do aplicativo, e usam os links de contato da documentação dele para entrar em contato com os desenvolvedores, pedindo solução ou suporte, o que os onera longamente com esse atendimento, além de causar um dano desnecessário à sua imagem.

Segundo o relato do desenvolvedor em questão, isso acontece desproporcionalmente com os usuários do Mint, apesar de serem as mesmas versões empacotadas por outras distribuições (como o Ubuntu LTS).

O desenvolvedor agora classifica o Mint como uma distribuição "hostil", após meses de tratativas em que o Mint responde apenas com versões repaginadas da mesma afirmação: "a gente pega os pacotes do LTS da outra distribuição e temos nossos problemas". Os distribuidores do Mint estão, naturalmente, exercendo um direito dado pela licença, de distribuir qualquer versão que queiram, mesmo se isso onerar desmedidamente os desenvolvedores, que também tem outros problemas.

Claramente a comunicação não está funcionando, e o que havia de reserva de empatia nesse relacionamento também já acabou. Aguardaremos, portanto, os próximos capítulos.

Referência: Linux Mint and GNOME Calendar Clash Resurfaces Months Later

Quem já usou está convidado a comentar suas impressões!

Enviado por Marcelo Teixeira (lixoatomicoθprotonmail⸱com)

“Projetado para qualquer computador moderno e sistemas mais antigos com RAM limitada, sempre com arquitetura de 64 bits. Uma versão ideal para revitalizar hardware limitado, combater a obsolescência programada e proteger o meio ambiente. A fluidez e velocidade do sistema se devem ao baixo consumo de recursos dos ambientes desktop selecionados e otimizados.”

“Vendefoul Wolf Excalibur GNU/Linux é uma distribuição completa e gratuita disponível em todas as suas versões e ambientes desktop. Pronto para usar imediatamente (impressoras, Bluetooth, etc.) com consumo mínimo de recursos. Não inclui telemetria ou inteligência artificial integrada. Ele vem com uma seleção selecionada de software para ajudá-lo a ser produtivo desde o início em um ambiente intuitivo e personalizável. Perfeito para migrar de qualquer outro ecossistema.”

“Baseada no Devuan 6 (um fork do Debian 13), ela apresenta o kernel vendefoul personalizado, XLibre (um fork do Xorg) e OpenRC por padrão. SysV ou Runit são opcionais. Ideal para Live-USB ou uso persistente, bem como para instalações completas.”

Referência: vendefoul-wolf-linux.sourceforge.io

A falha wp2shell é nova, grave, e abre o servidor do seu blog para a execução remota de comandos (RCE), sem exigir autenticação nem requisitos complexos.

As versões afetadas são o WordPress 6.9.0 a 6.9.4, 7.0.0 e 7.0.1. Se você tem uma dessas, o ideal é fazer o upgrade imediato para 7.0.2 (lançado ontem para corrigir o bug) ou o 6.9.5

Vale ter pressa, porque logo devem surgir ferramentas automatizadas de exploração, já que a estimativa é de que existam mais de meio bilhão de sites rodando WordPress, e o bug é ao mesmo tempo grave e de fácil exploração. É um alvo tentador demais para os adversários.

O que eu penso sobre o WordPress não é novidade (e eu repeti recentemente ao final deste post sobre a versão 7), mas aos usuários desejo sucesso e que tenham condições de fazer o upgrade ou correção antes que a falha seja explorada.

Referência: wp2shell: Pre Authentication RCE in WordPress Core

O BR-Linux literalmente nasceu do meu caderninho de anotações sobre como vencer a dificuldade de configurar impressora, CD-ROM e placa de vídeo, então vejo com muita simpatia esse artigo de nostalgia invertida do OS Technix.

Começa assim: “Lembra como era editar o XF86Config, lutar contra chipsets Wi-Fi e perseguir dependências de pacotes RPM? Aqui está uma visão nostálgica de 12 dores de cabeça do Linux que desapareceram silenciosamente nos últimos 25 anos.”

A lista dele tem detalhes para cada um dos tópicos, e inclui itens que eu nem lembrava mais, como configurar a rodinha do mouse, montar pen drives, e ativar um segundo monitor.

Mas eu lembro de 2 que não estão na lista: configurar scanners com interface SCSI, e modems ISA.

Referência: 12 Linux Headaches We Thankfully Never Have to Deal With Anymore - OSTechNix

O Twitter foi comprado em 2022 e deixou de existir no ano seguinte, e o imigrante que o comprou já fez uma série de promessas de abertura de código desde então – a mais recente foi nesta quarta-feira.

Ele fez o anúncio em sua própria rede social, e desta vez diz que: "assim que concluirmos nossa revisão de vulnerabilidades de segurança", toda a base de código do site será aberta, "sem exceções". Também promete convidar analistas externos para verificar se o sistema em execução corresponde ao código disponibilizado, e faz comentários sobre credibilidade, confiança e transparência.

Referência: X (Formerly Twitter) is Possibly Going Open Source

Um ano depois do Perl 5.42, a nova versão estável da clássica linguagem chega trazendo novidades.

A novidade mais interessante em termos da linguagem em si é o suporte experimental para parâmetros nomeados, nas definições de sub-rotinas. Até agora, os argumentos nas assinaturas de funções Perl eram só posicionais, e o Perl 5.44 passa a permitir que os desenvolvedores definam parâmetros selecionados que os chamadores podem referenciar usando pares nome-valor.

Além disso, uma série de operações (incluindo aritméticas) foram tornadas mais eficientes e rápidas, o suporte a Unicode foi atualizado, as expressões regulares com sintaxe própria ficaram ainda mais completas (e complicadas), e os números aleatórios ficaram um pouco mais imprevisíveis que antes.

Referência: Perl 5.44 Released with Named Parameters and Unicode 17

O Forgejo 16.0, nova versão desse serviço Git que você mesmo pode hospedar, chega trazendo notificações granulares, comentários de revisão multilinha, acompanhamento de progresso de migração, e muito mais.

As revisões de PRs incluem várias melhorias: os revisores agora podem anexar um único comentário a várias linhas alteradas, pressionando Shift e selecionando o intervalo desejado na comparação.

O Forgejo também redesenhou a lista de commits de PRs, que agora se adapta melhor a diferentes tamanhos de tela, em um design que tende a ser adotado em mais áreas do projeto.

Referência: Forgejo 16.0 Dev Platform Adds Granular Notifications and Better PR Reviews

Há poucos dias o StatCounter apontava que a fatia do Linux no Desktop era de 7,1%, depois 7,3, 7,4, e acaba de chegar aos 7,5%, com queda correspondente no Windows.

Começo dizendo o necessário: estatisticamente falando, os dados proprietários do StatCounter só servem para serem comparados com eles mesmos; mesmo assim, é significativo quando mostram tendências, e neste momento apontam crescimento do Linux no Desktop às custas do Windows.

Será que são os consoles de jogos? Alguma migração empresarial de grande porte? Mudança na metodologia de contagem? Não sabemos.

Referência: Techrights — GNU/Linux Estimated at 8% "Market Share" Today (in statCounter)

Linus Torvalds destaca, mais uma vez, sua identidade de techbro, e volta a se esforçar para invalidar as ilusões de quem projeta nele alguns outros valores.

Linus Torvalds afirma, mais uma vez, que o kernel Linux não é “anti-IA” e que para ele LLMs devem ser vistos apenas como uma ferramenta para ajudar os desenvolvedores. O desenvolvimento do kernel Linux não exige o uso de ferramentas de IA, mas Torvalds é contra aqueles que discutem com os que desejam usar soluções baseadas em IA/LLM.

No seu e-mail da noite de ontem, Torvalds faz questão de deixar claro que está falando na condição de principal mantenedor, e afirma que a rejeição ao uso de IA não é a posição do projeto – embora reconheça que não se trata de uma convivência indolor.

A parte central da mensagem, para quem alimenta ilusões diferentes sobre a posição torvaldiana, é esta:

O projeto do kernel foi e continuará a ser sobre a tecnologia. Claro, o ângulo social de trabalhar com código aberto é importante e muitas vezes uma parte muito motivadora do projeto, mas no final isso é um benefício colateral, não o _ponto_ do projeto. Este *NÃO* é algum tipo de projeto de “guerreiro social”, nunca foi e nunca será.

As aspas estão no original.

Referência: Linus Torvalds Reaffirms That Linux Is Not "Anti-AI" & Not A "Social Warrior" Project - Phoronix

Desde a semana passada, a árvore de fontes do sistema-base do FreeBSD 16 está livre de códigos licenciados sob a GNU GPL.

A retirada dos componentes dialog e dpv concluiu esse projeto de remoção, que durou vários anos, e agora o ramo GNU da árvore de fontes do sistema-base está marcado como vazio.

As licenças BSD existem desde 1988 (com o 4.3BSD-Tahoe), e a primeira versão da GPL foi publicada no ano seguinte, em fevereiro de 1989.

Referência: FreeBSD 16 Retires The Last Of Its GPL Code From Its Base System - Phoronix