No dia 21, o PHP soltou correções de emergência pra duas falhas críticas, a CVE-2026-109618 e a CVE-2026-109619, as duas com nota 9.2 no CVSS v4. Elas permitem executar código remotamente sem login. A Sansec testou a cadeia em Magento, WordPress, Drupal, Laravel e mais sete aplicações. O patch estava marcado pro dia 22, mas os identificadores começaram a circular no dia 20, e a Calif publicou sem querer um vídeo da prova de conceito.
O problema nem era novo. Em 2024, uma auditoria da Quarkslab (a primeira auditoria externa do PHP em anos) já tinha mostrado os primeiros sinais de esgotamento de memória. A correção empacou: o time testou várias abordagens, tinha medo de publicar um fix errado e muita coisa pra fazer ao mesmo tempo. Neste ano, a Calif achou uma execução remota de código com a mesma causa raiz (a OpenAI reportou a mesma coisa no mesmo dia), e a Wiz trouxe outros vetores em agosto. A fundação chamou o próprio atraso de “falha estrutural”, acusou a Chainguard de furar o embargo e aproveitou pra pedir dinheiro a empresas, hosts, clouds e governos.
O que muda pra quem roda PHP:
Versões corrigidas: 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Depois de atualizar, reinicia os workers, senão o processo antigo continua de pé.
PHP 8.1 ou anterior: não tem pacote oficial, só backport mínimo de código-fonte do 7.4 ao 8.1. A Mallory, usando o Shodan, contou cerca de 884 mil servidores expostos com sinais dessas versões.
Se não der pra atualizar agora: a Sansec sugere session.upload_progress.enabled = 0 e bloquear multipart/form-data. Quebra o upload, mas segura até o deploy.
A correção levou dois anos, passou por várias abordagens e terminou com uma falha estrutural reconhecida pela própria fundação. Alguém abre uma issue pra organizar esse processo?
Antes do código, existe um problema para entender
Muitas vezes o que chega pro time é só o sintoma. Antes de pensar em arquitetura ou implementação, o Engineering do Asaas tenta entender qual é o problema, por que ele existe e que resultado se espera, considerando as restrições técnicas, as necessidades do negócio e o impacto no resto do sistema. Só depois disso o problema é quebrado em partes menores. É um dos princípios da casa: focamos na solução.
Se você gosta de transformar problema complexo em solução que faz sentido, veja as vagas abertas pra tecnologia no Asaas.
Indique a Codecon
Lançamos o programa de indicação da Codecon. Você pode indicar pros seus amigos sua comunidade favorita (a Codecon :D) juntar pontos e trocar por vários prêmios.
Karri Saarinen, do Linear, escreveu sobre por que software bom tem a cara de quem fez. Pra ele, quando cada pessoa usa agentes pra lançar features que fazem sentido isoladamente, o produto acaba virando uma colcha de retalhos.
Na Imprint, cada engenheiro faz merge de 4x mais PRs do que há dois anos, e a mediana de review subiu de 33 pra 77 minutos. Pra resolver isso, Will Larson criou uma fila expressa pra PRs curtos, em que um bot aprova sem deixar comentário.
Alice Moore, da Builder.io, diz que uma skill baixada pronta e nunca editada envelhece rápido, porque segue o padrão de quem a escreveu e não acompanha o seu. A receita dela é ir reescrevendo a skill a partir das correções que você faz na mão.
Jared Palmer lançou o Kev, uma família de modelos open source de 0.8B a 27B que não gera texto nenhum. Você passa um documento, uma pergunta e as opções de resposta, e ele devolve a probabilidade de cada uma.
O mise junta num único
mise.tomlas versões do node, do python e de mais de 1.000 ferramentas, além das variáveis de ambiente e das tasks do projeto. E ainda lê o seu.tool-versionsantigo, MANSO, sem reclamar.Tov é uma linguagem feita pra agente escrever. Ela parece TypeScript, mas não tem any, null nem ==, e compila pra binário nativo. O projeto tá na versão 0.0.1 e, segundo o próprio README, muda todo dia.
O F*cking Good Libraries reúne bibliotecas pra interface criativa, como shaders WebGPU, vibração no celular e até uma simulação de papel amassado. Pra buscar, você descreve a sensação que a interação deve passar.
Extra: Semana nada fácil pra quem trabalha com desenvolvimento de software.