Quinta-feira, 4 de junho.
O HTTP/2 Bomb chegou às manchetes ontem, mas a superfície de ataque está ativa. A CVE-2026-49975 encadeia dois mecanismos do HTTP/2: o atacante primeiro satura a tabela de compressão HPACK do servidor com um header grande; depois envia milhares de referências de um byte que forçam o servidor a alocar de 70 a 4.000 bytes por referência — enquanto usa o flow control do HTTP/2 para manter a conexão ativa indefinidamente, evitando qualquer timeout. Um único cliente doméstico consegue consumir 32 GB de RAM em 10 a 45 segundos dependendo do servidor. A taxa de amplificação no Envoy é 5.700:1. NGINX tem patch (v1.29.8+) e o Apache corrigiu no mod_http2 v2.0.41. Microsoft IIS, Envoy e Cloudflare Pingora ainda não têm patch disponível. Qualquer servidor expondo HTTP/2 sem mitigação no proxy está vulnerável agora.
A NVIDIA lançou o Nemotron 3 Ultra hoje — anunciado no Computex em 1º de junho, disponível a partir desta quinta. São 550 bilhões de parâmetros totais, 55 bilhões ativos por token via MoE com 90% de sparsidade, contexto de 1 milhão de tokens e 300+ tokens por segundo. O score de 48 no Artificial Analysis Intelligence Index é o mais alto já registrado por um modelo aberto americano. Para quem precisa de capacidade de raciocínio no nível dos modelos fechados com controle local e licença aberta, o Ultra é a primeira opção americana que chega lá.
O npm supply chain desta semana não usa typosquatting. O pacote codexui-android funcionou exatamente como anunciado durante o primeiro mês depois de publicado — UI web para o OpenAI Codex, mais de 29 mil downloads por semana. Então o código malicioso foi injetado silenciosamente: desde então, cada invocação exfiltra o authentication token do Codex para um servidor controlado pelo atacante. O refresh_token não expira — quem usou o pacote nas últimas semanas tem credenciais comprometidas de forma permanente até rotacionar as chaves. O repositório GitHub permaneceu limpo; só a DLL compilada continha o payload, o mesmo padrão do ataque ao Sicoob NuGet da semana passada.
O update de segurança de junho do Android chegou com 124 patches e um zero-day ativo: CVE-2025-48595 (CVSS 8.4), integer overflow no Framework que permite escalonamento de privilégios local sem interação do usuário. A CISA adicionou ao KEV em 2 de junho com prazo federal de remediação em 5 de junho — amanhã. O perfil de exploração — 'limitado e direcionado' — é característico de spyware comercial ou operação de estado, não de ataque massivo. Android 14, 15, 16 e 16 QPR2 são afetados.
A quatro dias do WWDC26 (segunda-feira, 8 de junho), a Apple está em modo full preview: wallpaper oficial, playlist, placeholder no YouTube e vídeo 'Get Ready' publicados esta semana. iOS 27, macOS 27, watchOS 27 e visionOS 27 com foco em performance e estabilidade. O item mais relevante para devs é a nova Apple Intelligence: a Siri reescrita usará um modelo derivado do Gemini do Google como backbone — Apple fechou um acordo multi-ano com o Google no início de 2026. A Siri que vai aparecer na segunda é fundamentalmente diferente da que existe hoje.
Fechando nos newsletters: o AlgoMaster publicou segunda-feira '20 Networking Concepts Explained in 15 Minutes' — cinco categorias, dos fundamentos de endereçamento às métricas de performance. É o tipo de referência que vale rever antes de uma entrevista de system design ou na montagem de uma nova arquitetura de serviço.
Seis itens. Boa quinta.