Blog
Notas de quem
está construindo.
O que quebra fora da demo, o que vale automatizar, o que não vale — e por quê. Sem release de ferramenta e sem previsão de futuro.
- radar
A chave do DNS mudou, o Deno virou Cloudflare e o npm foi envenenado de novo
A raiz do DNS passou a assinar só com a KSK-2024 no domingo, e resolvedor que não seguiu a chave começa a devolver SERVFAIL conforme o cache de 48 horas expira. No mesmo intervalo o time do Deno foi para a Cloudflare, com um ano de correções no runtime e seis meses de Deno Deploy, e o pacote tensorlake saiu do npm com o verme Shai-Hulud dentro, publicado pelo pipeline legítimo e com procedência de build válida.
- DNSSEC
- Deno
- npm
- segurança
- Next.js
- radar
FortiMail sem correção, sete avisos no Next.js e o token que cresceu 13 vezes
A Fortinet confirmou exploração ativa de uma falha 9,8 no FortiMail e ainda não tem versão corrigida, só contorno de configuração. No mesmo intervalo o Next.js publicou sete avisos de segurança, todos condicionados a configuração, e o token de instalação de GitHub App passou de 40 para 520 caracteres mantendo o mesmo prefixo.
- Fortinet
- Next.js
- GitHub
- segurança
- Pix
- radar
Zero-day no F5, RCE no next/og e o disco do inquilino anterior
A F5 corrigiu fora de hora um estouro de buffer no BIG-IP APM que já estava sendo explorado, e no mesmo dia o Next.js publicou uma execução remota nota 9,5 no next/og, com mais nove correções marcadas para 30 de setembro. Na quarta a Cloudflare contou como um cliente conseguia ler blocos de disco de outro cliente nos Containers.
- F5
- Next.js
- Cloudflare
- segurança
- PostgreSQL
- radar
Quatro exploits de root local no kernel, e o Java 27
Um pesquisador publicou código funcional para quatro falhas de escalada local no kernel Linux, e no mesmo dia a CISA registrou outra já sendo explorada. Também saiu o Java 27, que troca o coletor padrão em container pequeno, e a Cloudflare separou recusar treino de IA de sair da busca.
- Linux
- Java
- Cloudflare
- segurança
- npm
- radar
GitLab com 10,0 sob exploração, e o relógio de 24 horas do CRA
Uma falha nota 10,0 no GitLab deixa ler arquivo qualquer do servidor sem autenticação, e começou a ser sondada horas depois do anúncio. Na mesma semana entrou em vigor a obrigação europeia de avisar vulnerabilidade explorada em 24 horas, e a DeepSeek soltou um modelo de um milhão de tokens sob licença MIT.
- GitLab
- segurança
- Cyber Resilience Act
- DeepSeek
- Cloudflare
- radar
O gateway de IA entrou no catálogo de exploração ativa
A CISA pôs no catálogo uma falha do Starlette que atravessa qualquer coisa em FastAPI e outra do LiteLLM que dá sessão MCP com token inventado. Na mesma semana saiu o GPT-6 Astra, e o Go 1.27 ganhou um perfil que acha goroutine vazada em produção.
- Starlette
- LiteLLM
- segurança
- OpenAI
- Go
- radar
Duas RCE críticas no Next.js e o Gitea sob exploração
O Next.js antecipou a correção e publicou duas falhas críticas de execução remota, uma delas pegando qualquer versão desde a 10.0.0. Na mesma semana o Gitea entrou no catálogo de exploração ativa da CISA e o Kubernetes 1.37 liberou autoscaler até zero.
- Next.js
- Gitea
- Kubernetes
- segurança
- Node.js
- radar
O Bun reescrito por agentes, e a ferramenta virando alvo
O Bun 1.4 saiu com o runtime portado de Zig para Rust por dezenas de agentes em onze dias. Na mesma semana, o GitLab levou correção fora de hora para uma falha já explorada e o Next.js marcou 26 de agosto para publicar uma crítica.
- Bun
- GitLab
- Next.js
- segurança
- IA
- dica
Selenium na Lambda: as vantagens, com a conta feita
Uma senha errada no cadastro parava a automação de madrugada. A correção custa centavos por mês e evitou trinta pedidos de senha no grupo do cliente. Por que Selenium na Lambda, e não num servidor ligado o mês inteiro.
- AWS Lambda
- Selenium
- RPA
- custo
- automação
- radar
A semana em que duas garantias silenciosas não valiam nada
O checksum database do Go deu para ser burlado e o pgcrypto do Postgres cifrava para texto claro — as duas no mesmo dia. E a Meta soltou um modelo agêntico de 30B sob Apache 2.0 que roda numa GPU de consumo.
- Go
- PostgreSQL
- segurança
- modelos abertos
O que separa um RAG de demo de um RAG em produção
A demo responde certo porque a pergunta é a mesma do tutorial. Produção traz sinônimo, sigla e pergunta de acompanhamento — e é aí que a arquitetura de três linhas quebra.
- RAG
- busca híbrida
- observabilidade