As versões 2.1.312 e 2.1.313 da extensão `Anthropic.claude-code` para Windows e macOS ficaram cerca de 11 horas no marketplace do Cursor em 29 de outubro, e nenhuma das duas foi feita pela Anthropic. Um loader de 66 linhas exfiltrava hostname, usuário, nomes de variáveis de ambiente, e-mail do Git e IP público, adicionava uma chave SSH `svc-telemetry` ao `authorized_keys` e criava persistência (LaunchAgent `com.apple.sysmond` ou tarefa agendada `SysMon`) para tentar um túnel SSH reverso. O Cursor derrubou e auditou o marketplace e publicou scripts de remediação. Também avisa que desinstalar pode não bastar: quem instalou nessa janela deve isolar a máquina e rotacionar credenciais a partir de outro computador. O Open VSX e o marketplace da Microsoft não foram afetados.
NEWS DROP
01 de novembro de 2026
8 itens
Domingo, 1º de novembro.
O item que mais importa hoje está no editor de muita gente. Entre 2h27 e 13h35 (horário do Pacífico) da quinta-feira, o marketplace de extensões do Cursor distribuiu as versões 2.1.312 e 2.1.313 da extensão `Anthropic.claude-code` para Windows e macOS, e nenhuma das duas veio da Anthropic. Um loader de 66 linhas, colocado antes do código legítimo, mandava hostname, usuário, nomes de variáveis de ambiente, e-mail do Git e IP público para um servidor do atacante. Depois incluía uma chave SSH chamada `svc-telemetry` no `authorized_keys` e criava persistência disfarçada de `sysmond` para abrir um túnel SSH reverso. Foram até 5 mil usuários afetados. O Cursor tirou o marketplace do ar, auditou tudo e publicou scripts de remediação, mas o aviso que importa é outro: desinstalar a extensão pode não bastar. Quem tem Cursor deve rodar o `grep` do `svc-telemetry` agora e, se a chave aparecer, tratar a máquina como comprometida. O problema não é o Claude Code. É que o marketplace de extensões virou supply chain com acesso total à sua home, e quase ninguém audita o que entra ali.
O segundo item é o que deveria ter deixado SRE de plantão no fim de semana. A CVE-2026-98432 é um use-after-free no handshake TCP IPv4 do Linux: opções IP salvas eram liberadas enquanto outra CPU ainda podia lê-las. Dá para disparar remotamente e sem autenticação, todo kernel desde o 4.4 é afetado, e a nota é CVSS 9.8. A correção é de uma linha (o `kfree()` virou `kfree_rcu()`) e chegou aos kernels estáveis entre 11 e 18 de outubro. Debian, SUSE, Oracle e Amazon Linux já corrigiram. Ubuntu, em todas as versões, e RHEL 8, 9 e 10 ainda não tinham patch até ontem. O que torna o caso desconfortável: o Frontier Red Team da Anthropic mostrou o Claude escrevendo um exploit funcional de root remoto contra servidores com listener MPTCP, e o Go abre listener MPTCP por padrão desde a 1.24. Até o patch chegar, a mitigação é descartar pacotes IPv4 com opções IP (`ip hdrlength gt 5` no nftables) ou desligar o MPTCP.
O terceiro fecha o mês com nome de filme: Black October. A Wiz contou pelo menos nove plataformas de desenvolvimento com IA invadidas em outubro, de Fireworks AI, Railway e Warp a OpenCode, Lightning AI e, na quinta, Northflank. O recado do Northflank aos clientes foi assumir que todas as variáveis de ambiente foram decriptadas. Não há uma vulnerabilidade em comum. O que liga os casos é o alvo: variável de ambiente com credencial de IA, revendida em seguida por operações de LLMJacking. Em dois casos analisados, chaves corporativas fizeram cerca de 2,5 milhões de chamadas ao Bedrock, perto de 100 mil dólares em uso, e o primeiro abuso veio menos de 30 minutos após cada invasão. Quem guarda chave de modelo em PaaS de terceiro tem duas tarefas: rotacionar e restringir a policy por região.
Dos modelos, a Mistral publicou os pesos do Large 4: 1 trilhão de parâmetros em MoE, 49 bilhões ativos por token, contexto de 1M e licença derivada do MIT, que só exige licença comercial à parte para quem vender o modelo como serviço. É o modelo mais inteligente de fora dos EUA e da China, segundo a Artificial Analysis.
No runtime, o Node.js 26 virou LTS com o codinome Lithium e é o último a seguir o calendário antigo. A partir do 27, sai uma major por ano e toda major vira LTS, então a divisão entre par e ímpar acabou. O canal alpha do 27 já está aberto e traz V8 15.6, npm 12 e OpenSSL 4.1. Na Jepsen, Kyle Kingsbury testou o ParticleDB, que se vendia como 'Full ACID', e achou 96 problemas, de chave primária duplicada a `WHERE 4 = 5` retornando linhas. Mesmo depois das correções, o modo padrão ainda perdia escritas já confirmadas.
Do Akita On Rails, a v4 do benchmark de código dele colocou Gemini 4 Argon, GPT-6.1 Sol e Terra, Kimi K3.1 Pro, Claude Sonnet 5.5 e Muse Wonder no mesmo Tier A, e ele diz que esse talvez seja o último ranking comercial que publica. Quando a diferença entre o primeiro e o sexto cabe no ruído, o modelo deixa de ser a pergunta interessante. E do Brasil, o Tecnoblog conta que a Entire, plataforma de Git do ex-CEO do GitHub Thomas Dohmke, já hospeda código em servidores no país.
Oito itens. Bom domingo.
A falha está no handshake TCP IPv4: opções IP salvas eram liberadas enquanto outra CPU ainda podia lê-las. Ela é alcançável remotamente sem autenticação, afeta todo kernel desde o 4.4 e tem CVSS 9.8. A correção (`kfree()` trocado por `kfree_rcu()`) está nos kernels estáveis desde meados de outubro, e Debian, SUSE, Oracle UEK e Amazon Linux já a distribuem. Ubuntu e RHEL 8, 9 e 10 ainda não tinham patch em 31 de outubro. O Frontier Red Team da Anthropic mostrou o Claude gerando um exploit funcional de root contra servidores com listener MPTCP, algo que o Go 1.24+ abre por padrão. Enquanto o patch não chega, descarte pacotes IPv4 com opções IP (`ip hdrlength gt 5` no nftables) ou desligue o MPTCP com `net.mptcp.enabled=0`.
A Wiz documentou pelo menos nove incidentes em outubro: Fireworks AI, Andromeda, Zeabur, Lightning AI, OpenCode, Railway, Warp, CommandCode e, por último, Northflank, que pediu aos clientes que assumissem que todas as variáveis de ambiente foram decriptadas. Não há vulnerabilidade comum. O padrão é a caça a variáveis de ambiente com credenciais de IA para LLMJacking. Em dois casos analisados, chaves corporativas geraram cerca de 2,5 milhões de chamadas ao Amazon Bedrock, mais de 100 mil dólares em uso, com o primeiro abuso menos de 30 minutos depois da invasão. A chave restrita a perfis `us.*` sofreu menos do que a liberada em `global.*`. Rotacione segredos, revise o billing dos provedores e restrinja policies por região.
Depois de três semanas a mais de RL desde o preview de 6 de outubro, a Mistral liberou no Hugging Face os pesos do Large 4. São cerca de 1,06 TB em 54 shards, com 128 experts roteados (4 ativos por token) mais um compartilhado, 49B de parâmetros ativos e entrada de texto e imagem. Também há um checkpoint quantizado em NVFP4. A licença é uma variação do MIT que libera uso comercial e só exige licença à parte para quem oferece o modelo como serviço. A Artificial Analysis o coloca como o modelo mais inteligente de fora dos EUA e da China, empatado com GPT-6 Luna e DeepSeek V4.1 Flash. Na API, sai a US$ 0,70 e US$ 2,10 por milhão de tokens de entrada e saída.
O Node.js 26.13.0 promoveu a linha 26 a LTS com o codinome Lithium, com suporte até abril de 2029. É a última versão no modelo de pares e ímpares. A partir do 27, sai uma major por ano em abril, promovida a LTS em outubro, depois de seis meses em um canal alpha assinado que aceita mudanças semver-major. Cada linha passa a ter 36 meses de suporte. O primeiro alpha do 27 já saiu, com V8 15.6, npm 12.1, OpenSSL 4.1 (OpenSSL 3+ obrigatório), Intel macOS rebaixado para experimental e o módulo `domain` depreciado em runtime.
Kyle Kingsbury analisou o ParticleDB, banco multimodelo em Rust voltado a cargas de IA, em análise financiada pela própria Orkes, e concluiu que a promessa de 'Full ACID' era prematura. A maioria dos bugs aparecia com um servidor, um cliente e nenhuma falha injetada: NOT NULL e UNIQUE ignorados, chave primária duplicada, `WHERE 4 = 5` retornando linhas, linhas impossíveis de apagar, deadlocks e crashes. Depois de várias versões, sobraram dez problemas. O modo padrão `occ` ainda perdia escritas confirmadas, e o `serializable` permitia Lost Update. A Orkes diz que a 1.1.19-rc.13 corrige tudo, mas a Jepsen ainda não validou.
A v4 do benchmark do Akita constrói um app Rails em 7 sprints com 14 sabotagens silenciosas (falhas de autorização, XSS, SQLi, segredo hard-coded, testes adulterados) para ver quem as detecta. Os seis modelos novos (Gemini 4 Argon, GPT-6.1 Sol, GPT-6.1 Terra, Kimi K3.1 Pro, Claude Sonnet 5.5 e Muse Wonder) caíram todos no Tier A. O Gemini 4 Argon fez 100 em 114 minutos, e GPT-6.1 Sol e Muse Wonder fizeram 97. Ele avisa que diferenças de 2 a 3 pontos são ruído, porque o mesmo modelo já tirou 100 e 91, e diz que talvez pare de publicar ranking comercial porque os modelos ficaram próximos demais.
A Entire, rival do GitHub fundada por Thomas Dohmke (CEO do GitHub de 2021 a 2025), lançou oficialmente na semana passada e já oferece residência de dados no Brasil, ao lado de EUA, Reino Unido, UE, Índia, Austrália e Singapura. A empresa cita o Brasil como a quarta maior comunidade de devs do mundo e promete menor latência para push, pull e clone, tanto de pessoas quanto de agentes de IA. O diferencial anunciado é o 'Trails', um sistema de revisão que tenta ir além do pull request registrando como e por que o código mudou.
NEWSLETTER
Receba os próximos drops direto no e-mail
Sem frequência forçada. Só quando tiver algo que vale o clique.