Segunda-feira, 25 de maio.
A CVE-2026-9082 é o alerta do fim de semana. SQL injection sem autenticação no database abstraction layer do Drupal core — afeta qualquer site com PostgreSQL, e a Imperva já rastreou mais de 15 mil tentativas de ataque contra quase 6 mil sites em 65 países. A CISA adicionou ao KEV na semana passada. O Drupal publicou patches para as versões 10.4, 10.5, 10.6, 11.1, 11.2 e 11.3. Se você administra um site Drupal em PostgreSQL — ou conhece alguém que administra — o patch não espera segunda-feira.
A OpenAI fez seu movimento mais ousado além de modelos: o Daybreak, lançado em 11 de maio, é uma plataforma de segurança completa construída sobre o GPT-5.5. Três tiers de modelo — padrão, Trusted Access para equipes verificadas e uma versão Cyber aberta para red team e pen testing. O Codex Security analisa repositórios GitHub, modela caminhos de ataque, valida exploitabilidade em sandbox isolado e gera patches. Parceiros incluem CrowdStrike, Palo Alto Networks, Snyk, SentinelOne, Qualys e mais 15 empresas. Não é mais só assistente de produtividade — é produto de segurança enterprise, e a comparação com o que a Anthropic vem construindo no espaço agentic vai ficar mais intensa.
O xAI entrou de vez na briga de coding agents. O Grok Build chegou em early beta em 14 de maio como uma CLI local-first: nenhum código-fonte é transmitido aos servidores da xAI, diferencial concreto para codebases proprietárias ou ambientes regulados. Roda até 8 agentes paralelos num workflow plan/search/build, tem 70.8% no SWE-Bench Verified e janela de 256k tokens. Preço de entrada em $99/mês pra quem quiser migrar do Claude Code ou Codex. O mercado de coding agents ficou mais disputado nesta semana.
Dois itens de arquitetura e plataforma que merecem atenção: a Subquadratic lançou o SubQ, o primeiro LLM comercial sem transformer — a arquitetura SSA escala linearmente e custa 1.000x menos atenção a 12 milhões de tokens, com uma janela de contexto nativa de 12M que ainda não existe em nenhum outro modelo disponível comercialmente. E o Google Gemini Spark entrou em beta para usuários Google AI Ultra: agente pessoal 24/7 integrado com Gmail, Docs e Slides que monitora threads, cria listas de deadlines e roda tarefas recorrentes com parceiros como Canva, OpenTable e Instacart.
Dois itens de ecossistema que fecham a semana: o WordPress 7.0 saiu em 20 de maio com o primeiro redesign do painel administrativo desde 2013 — DataViews em React substitui as velhas list tables server-rendered, e uma Web Client AI API padronizada permite que plugins e temas conectem qualquer provedor de IA sem depender do core. E o Python 3.14.5 chegou com uma reversão crítica: o GC incremental introduzido no 3.14.0 foi revertido ao GC geracional do Python 3.13 por causa de relatos de pressão severa de memória em produção. Se você migrou para 3.14 e viu consumo anormal de RAM, esse era o culpado.
Sete itens. Boa segunda.