Ruby, Rails e IA Diário: 10 de setembro de 2026

Estreia da cobertura diária com uma história de segurança que exige patch imediato, um ganho de performance no JIT do Ruby e uma semana agitada para IA no ecossistema Rails.

Patch agora: RCE no Active Storage está sob exploração ativa

A Ruby Weekly #815 aponta que a CVE-2026-66066 ("KindaRails2Shell"), uma falha crítica (CVSS 9.5) de leitura arbitrária de arquivos e execução remota de código no processamento de variantes de imagem do Active Storage via libvips, está agora sendo ativamente explorada. O ataque consiste em enviar um arquivo malicioso pelo endpoint de upload direto do Active Storage, disparando a divulgação de arquivos através de uma cadeia de arquivos MATLAB/HDF5 nas operações "não confiáveis" da libvips. A falha foi divulgada em julho e já tem correção disponível nas versões 7.2.3.2, 8.0.5.1 e 8.1.3.1 do Rails. Se sua aplicação ainda não recebeu esse patch, vale interromper a leitura aqui e conferir o material do Rapid7 antes de qualquer outra coisa.

Ruby: ZJIT aprende a fazer inlining de alocações do GC

A matéria de capa da edição, escrita por Peter Zhu, explica que o ZJIT agora consegue fazer inlining de alocações em vez de rotear cada uma delas por uma chamada de função, algo que o TruffleRuby já fazia há uma década. A mudança pode chegar ao Ruby 4.1; ainda não há números concretos de benchmark, mas o avanço fecha uma lacuna antiga no pipeline mais novo de JIT do Ruby. Também na edição: Samuel Williams propõe remover o rótulo "experimental" do IO::Buffer no 4.1, e a RubyGems 4.0.20 passou a suportar RUBY_BOX=1.

Rails: em busca dos Ractors, e o Campfire virou binário de 5MB

O This Week in Rails de 4 de setembro traz avanços contínuos rumo a um Rails compatível com Ractors, além de melhorias em ordered cache fetches. No lado mais experimental, Sam Ruby compilou o próprio Campfire (app do Rails) para um binário de 5MB usando o compilador AOT de Matz, o Spinel. Ainda incompleto, mas um bom sinal de para onde caminha a compilação antecipada (AOT) no Ruby.

IA encontra o Rails: Fable 5.1 lidera o ranking, RubyLLM 2.0 na prática

O benchmark Agents on Rails da Rails Foundation, que testa agentes de código frontier e open weight em tarefas reais de Rails, agora mostra o Claude Fable 5.1 empatado com o Opus 5 no topo, com 58 de 63 execuções bem sucedidas, custando menos e rodando mais rápido. O GLM 5.3 Flash também entrou no ranking nesta rodada. Em paralelo, um novo meetup mensal de Ruby em Berlim estreou com uma palestra sobre o RubyLLM 2.0, que caminha para um modelo mais amplo de providers e protocolos, segundo o texto de Carmine Paolino.

Desenvolvimento web: Chrome 153 traz 230 correções de segurança

O release estável de setembro do Google levou o Chrome para a versão 153.0.8010.36/.37, corrigindo 230 vulnerabilidades em WebGL, Cast, ANGLE e PDFium, incluindo a CVE-2026-87491, que segundo o Google já tem exploit em circulação. Se sua equipe conta com atualização automática do Chrome na frota, essa é uma boa semana para confirmar que ela realmente aconteceu.

IA em geral: a corrida dos modelos de cibersegurança

Google, Anthropic e OpenAI anunciaram modelos voltados a cibersegurança com poucos dias de diferença entre si. O Google lançou o Gemini 3.8 Flash Cyber através de um novo "Fairwind Program" para defensores previamente credenciados, em parceria com CrowdStrike e Palo Alto Networks. A Anthropic combinou o Claude Fable 5.1 e o mais restrito Mythos 5.1 com as novas "Enterprise Frontier Safeguards", além de revelar que pausou avaliações externas pré-lançamento após incidentes de acesso não autorizado. A OpenAI afirmou que seu futuro modelo Astra ultrapassou o limiar interno "Critical" de cibersegurança, tendo descoberto dois zero-days durante sua própria avaliação. É esperado mais desse tipo de anúncio: a CNBC já chama isso de "model fatigue", com os laboratórios lançando em um ritmo que nem os próprios engenheiros conseguem acompanhar.

De olho no radar: o Rails World 2026 acontece de 23 a 24 de setembro em Austin, vale acompanhar por anúncios que aprofundem os temas de Ractors e benchmarks de IA desta semana.