11 de julho de 2026
O Projeto Debian anuncia a décima quinta e última atualização de sua distribuição oldstable Debian 12 (codinome bookworm). Esta point release adiciona principalmente correções para problemas de segurança, junto com alguns ajustes para problemas graves. Os avisos de segurança já foram publicados separadamente e são referenciados quando disponíveis.
A point release não constitui uma nova versão do Debian 12, apenas atualiza alguns dos pacotes incluídos. Não é necessário descartar a mídia antiga do bookworm. Após a instalação, os pacotes podem ser atualizados para as versões atuais usando um mirror Debian atualizado.
Aqueles que instalam atualizações frequentemente do security.debian.org não precisarão atualizar muitos pacotes, e a maioria dessas atualizações está incluída na point release.
Novas imagens de instalação estarão disponíveis em breve nos locais habituais.
A atualização de uma instalação existente para esta revisão pode ser feita apontando o gerenciador de pacotes para um dos muitos mirrors HTTP do Debian. Uma lista abrangente de mirrors está disponível em:
https://www.debian.org/mirror/list
Atualizações notáveis
fwupd e expiração da CA Secure Boot
O fwupd foi atualizado para a versão upstream 2.0.20, que tem a capacidade de atualizar a autoridade certificadora (CA) Secure Boot, a Key Exchange Key (KEK) e os bancos de dados de revogação (DBX).
A CA Secure Boot UEFI 2013 instalada por padrão na maioria dos PCs e usada para assinar bootloaders expirou. Atualizações futuras do shim-signed podem, portanto, levar a sistemas que não conseguem inicializar com o Secure Boot ativado.
Os usuários são fortemente aconselhados a aplicar atualizações de CA, KEK e DBX do OEM do sistema, seguindo as orientações abaixo:
https://wiki.debian.org/SecureBoot/CAChanges#What_should_I_do.3F (https://wiki.debian.org/SecureBoot/CAChanges)
geoip-database revertido
Por razões de licenciamento, o geoip-database foi revertido para uma versão datada de aproximadamente dezembro de 2019. Como resultado, aplicações que usam este banco de dados podem usar informações de alocação desatualizadas.
Versões mais recentes do geoip-database (GeoLite) não são compatíveis com as Diretrizes de Software Livre do Debian (DFSG) e não podem ser distribuídas.
Consumidores destes dados são fortemente encorajados a obter uma licença GeoLite diretamente e parar de depender do pacote geoip-database.
Fim do suporte Debian para bookworm
Esta atualização marca o fim do suporte da Equipe de Lançamento do Debian, da Equipe de Segurança do Debian e do Debian Backports para a versão 12. O suporte contínuo para algumas arquiteturas será fornecido pela equipe Debian Long Term Support (LTS), apoiada pela Freexian. Os usuários são aconselhados a atualizar seus sistemas para o Debian 13 (trixie).
Correções diversas
Esta atualização do oldstable adiciona algumas correções importantes aos seguintes pacotes:
| Pacote | Motivo |
|---|---|
| 7zip | Nova versão estável upstream; corrige problemas de estouro de buffer [CVE-2026-48092 CVE-2026-48095]; corrige problema de divulgação de memória [CVE-2026-48101]; corrige problemas de leitura fora dos limites [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]; corrige problema de leitura de memória não inicializada [CVE-2026-48104] |
apache2 |
Corrige DoS de requisição HTTP/2 e exaustão de file handles [CVE-2026-49975 CVE-2026-48913]; corrige problemas de memória/crash em proxy, DAV, LDAP, SSL, XML e cabeçalhos [CVE-2026-29167 CVE-2026-34355 CVE-2026-34356 CVE-2026-42535 CVE-2026-42536 CVE-2026-43951 CVE-2026-44185]; corrige XSS em listagem de diretório FTP do proxy e loop no backend [CVE-2026-29170 CVE-2026-44186]; restringe acesso a arquivos de expressão htaccess [CVE-2026-44119]; corrige underflow na análise de regex [CVE-2026-44631]; corrige manipulação de SSI, file-cache, WebDAV DELETE e health-check do proxy; atualiza documentação e testes |
| appstream | Recompilado com libxmlb atualizada |
| base-files | Atualizado para a point release |
| beets | Corrige vulnerabilidade XSS [CVE-2026-42052]; corrige falhas em testes de build |
| calibre | Corrige vários potenciais problemas de segurança; lê recursos apenas do conteúdo do livro [CVE-2026-33206]; mantém arquivos extraídos dentro do diretório do container [CVE-2026-30853]; impede leitura de imagens de fundo fora do diretório de configuração [CVE-2026-33205] |
| cdebootstrap | Recompilado com xz-utils atualizado |
| chrony | Garante que scripts hook if-up/down saiam com sucesso |
| cloud-init | Corrige inicialização de bond no OpenStack |
| composer | Corrige suporte para novo formato de token do GitHub [CVE-2026-45793] |
| curl | Corrige problema de cache poisoning [CVE-2025-10148]; corrige problemas de vazamento de dados [CVE-2025-14524 CVE-2026-3783]; corrige problemas de reutilização incorreta de conexão [CVE-2025-14819 CVE-2026-3784 CVE-2026-5773 CVE-2026-7168] |
| dar | Recompilado com libgcrypt20 |
| dcmtk | Corrige problemas de desreferência de ponteiro nulo [CVE-2022-4981 CVE-2025-14841]; corrige problemas de corrupção de memória [CVE-2025-2357 CVE-2025-9732 CVE-2025-14607]; corrige problema de injeção de comando [CVE-2026-5663]; corrige problemas de estouro de buffer [CVE-2026-10194 CVE-2026-12805] |
| debian-installer | Atualiza ABI do linux 6.1.0-50; recompilado para a point release |
| debian-installer-netboot-images | Recompilado a partir de proposed updates |
| debian-security-support | Prepara limitações de suporte antes da transição para LTS |
| delve | Corrige falha ao compilar em processadores EYPC de 4ª geração |
| dhcpcd5 | Corrige problema de desreferência de ponteiro nulo [CVE-2025-70102]; corrige problema de escrita fora dos limites [CVE-2026-56114] |
| firewalld | Corrige verificação de política DBUS [CVE-2026-4948] |
| fwupd | Recompilado com libjcat e libxmlb atualizados; adiciona suporte para atualizar armazenamentos DBX e KEK; recompilado em ambiente limpo |
| geoip-database | Revertido para uma versão compatível com DFSG |
| ghdl | Recompilado com gcc-12 atualizado |
| giflib | Corrige problemas de corrupção de memória [CVE-2026-23868 CVE-2026-26740] |
| gnome-firmware | Recompilado com libxmlb atualizado; backport de patch para compatibilidade com libfwupd3 |
| gnome-software | Recompilado com libxmlb atualizado; backport de patch para compatibilidade com libfwupd3 |
graphite2 |
Corrige escrita fora dos limites [CVE-2026-50593] |
| gss | Corrige falhas de build causadas por ticket Kerberos expirado; evita self-tests do krb5context com timebomb |
| horizon | Corrige escape de caracteres especiais em projeto |
| ironic | Corrige divulgação de arquivos via fontes de imagem [CVE-2025-44021]; corrige injeção de comando no console [CVE-2026-42510]; corrige divulgação de token Swift [CVE-2026-42997]; corrige execução insegura de template [CVE-2026-44916] |
| keystone | Corrige comportamento de user_enabled_invert [CVE-2026-40683]; impede criação e exclusão não autorizada de credenciais EC2 [CVE-2026-33551] |
| libapache-session-browseable-perl | Melhora entropia de IDs de sessão gerados |
| libbytes-random-secure-perl | Corrige uso incorreto de seed no PRNG [CVE-2026-11625] |
| libcaca | Previne comportamento indefinido em verificação de estouro [CVE-2026-42046] |
libcrypt-pbkdf2-perl |
Altera algoritmo hash padrão para HMAC-SHA256 e iterações padrão para 600,000 [CVE-2026-9641]; gera salts usando Crypt::URandom [CVE-2026-9638]; usa comparação em tempo constante em validate para evitar ataques de timing [CVE-2017-20240] |
| libhtml-gumbo-perl | Corrige acesso a memória não inicializada [CVE-2025-15646] |
| libhtml-parser-perl | Corrige heap-use-after-free em _decode_entities [CVE-2026-8829] |
| libjcat | Adiciona suporte para tipos ed25519 e hashes SHA512 |
| libnet-cidr-lite-perl | Corrige validação do parser IP/CIDR: rejeita dígitos não ASCII e novas linhas no final [CVE-2026-55190]; rejeita máscaras CIDR com zeros à esquerda [CVE-2026-45191] |
| libreoffice | Lida graciosamente com falha no graphite2 |
| libvncserver | Corrige estouro de buffer e escrita fora dos limites [CVE-2026-44988 CVE-2026-50538] |
| libxml-libxml-perl | Corrige leitura fora dos limites [CVE-2026-8177] |
libxml2 |
Corrige recursão de catálogo e manipulação de catálogos duplicados [CVE-2025-8732 CVE-2026-0990 CVE-2026-0992]; limita recursão de inclusão RelaxNG [CVE-2026-0989]; corrige vazamento de memória no shell do xmllint [CVE-2026-1757]; corrige saídas de teste de regressão do schematron [CVE-2025-49794 CVE-2025-49796]; corrige vazamentos de memória no XML writer e schematron; mitiga use-after-free na validação RelaxNG; atualiza testes de regressão de catálogo e RelaxNG |
| libxmlb | Adiciona suporte para descompressão zstd; corrige validação de armazenamento/truncamento XMLb; corrige manipulação de query binding/índice; corrige exportação XML e manipulação de text() vazio |
| linuxcnc | Sanitiza nomes de módulos |
| mariadb | Nova versão estável upstream; corrige problemas de execução de código [CVE-2025-13699 CVE-2026-44168 CVE-2026-48163 CVE-2026-48165 CVE-2026-49261]; corrige problemas de negação de serviço [CVE-2026-21968 CVE-2026-34303]; corrige problema de bypass de logging [CVE-2026-3494]; corrige problema de path traversal [CVE-2026-44171]; corrige problema de injeção SQL [CVE-2026-44172]; corrige problema de verificação incompleta de privilégios [CVE-2026-44173]; corrige erro Illegal mix of collations; corrige hangs do Mroonga em flag de índice inválido; corrige crash em information_schema.table_constraints |
| mesa | Corrige manipulação de alocação WebGPU/SPIR-V [CVE-2026-40393] |
| modsecurity | Previne negação de serviço na manipulação de hexDecode [CVE-2026-30923]; previne negação de serviço na verificação SSN/CPF/SVNR [CVE-2026-42268] |
| mxml | Corrige leitura fora dos limites [CVE-2026-5037] |
| node-flatted | Corrige problema de poluição de protótipo [CVE-2026-33228] |
| node-jschardet | Corrige referências de link de build |
| node-regexpp | Adiciona link faltante para undici-types |
| ojalgo | Reduz frequência de falhas em testes de build |
| openslide | Corrige possível problema de execução de código [CVE-2026-48977] |
| p7zip | Nova versão estável upstream; corrige problemas de estouro de buffer [CVE-2026-48092 CVE-2026-48095]; corrige problema de divulgação de memória [CVE-2026-48101]; corrige problemas de leitura fora dos limites [CVE-2026-48102 CVE-2026-48103 CVE-2026-48111 CVE-2026-48112]; corrige problema de leitura de memória não inicializada [CVE-2026-48104] |
| php-guzzlehttp-psr7 | Corrige validação de autoridade Host [CVE-2026-48998]; rejeita caracteres de controle em hosts URI [CVE-2026-49214]; endurece manipulação de globals do ServerRequest; normaliza valores de cabeçalho global; codifica sinais de mais literais em helpers de query |
| phpunit | Corrige desserialização insegura na manipulação de cobertura de código PHPT [CVE-2026-24765] |
| plasma-discover | Backport de patch para compatibilidade com libfwupd3 |
| prometheus | Corrige teste de build sensível a data |
| protobuf | Corrige limites de recursão do parser [CVE-2024-7254 CVE-2025-4565 CVE-2026-0994 CVE-2026-6409] |
| pydantic | Corrige negação de serviço na verificação de email [CVE-2024-3772] |
| pymatgen | Corrige negação de serviço em GaussianInput.from_string [CVE-2022-42964] |
| python-ase | Desabilita teste de build não confiável |
| python-django | Atualiza suite de testes após mudanças no python3.13 |
| python-filelock | Corrige vulnerabilidades de symlink [CVE-2025-68146 CVE-2026-22701] |
| python-markdown | Corrige análise de marcação HTML falsa [CVE-2025-69534] |
| python-pyramid | Corrige problema de divulgação de informação [CVE-2023-40587] |
| python-xmltodict | Corrige problema de injeção XML [CVE-2025-9375] |
| python3.11 | Previne manipulação incorreta de arquivos tar [CVE-2025-13462]; garante que imports bytecode-only usem verificações de segurança normais [CVE-2026-2297]; rejeita valores de cookie inseguros [CVE-2026-3644]; previne crashes do parser XML [CVE-2026-4224]; previne injeção de comando no navegador [CVE-2026-4519]; previne corrupção de memória no descompressor bz2/lzma [CVE-2026-6100]; restaura autopkgtests XML |
| qemu | Recompilado com gnutls28 atualizado |
| rhino | Corrige problema de negação de serviço [CVE-2025-66453] |
| rlottie | Corrige problema de leitura fora dos limites [CVE-2026-10305]; corrige problemas de negação de serviço [CVE-2026-47319 CVE-2026-47320] |
| rsync | Rejeita linhas de resposta de proxy HTTP excessivamente longas [CVE-2026-45232] |
| ruby-css-parser | Corrige validação de certificados HTTPS para CSS remoto [CVE-2026-44312] |
| rust-time | Corrige negação de serviço [CVE-2026-25727] |
| science.js | Corrige condição de corrida no build |
| sentry-python | Corrige sanitização de ambiente de subprocesso [CVE-2024-40647] |
| shim | Nova versão upstream; compilado com gcc padrão; define nível de revogação SBAT para 2025021800 |
| shim-helpers-amd64-signed | Atualizado para shim 16.1-2~deb12u1 |
shim-helpers-arm64-signed |
Atualizado para shim 16.1-2~deb12u1 |
shim-helpers-i386-signed |
Atualizado para shim 16.1-2~deb12u1 |
| shim-signed | Garante compatibilidade Secure Boot com CA UEFI Microsoft 2023; verifica possíveis problemas de boot antes da instalação; combina e verifica múltiplas assinaturas shim; atualiza binários shim assinados |
| sqlite-utils | Adiciona dependência em python3-click-default-group |
| sshfs-fuse | Adiciona opção contain_symlinks para prevenir ataques de escape de symlink [CVE-2026-47187]; rejeita injeção de opção hostname via fonte de montagem entre colchetes [CVE-2026-48711] |
| sylpheed | Corrige verificação de links [CVE-2021-37746] |
| user-mode-linux | Recompilado com linux atualizado |
| vitrage | Corrige vulnerabilidade de execução remota de código [CVE-2026-28370] |
| wireless-regdb | Nova versão estável upstream; atualiza informações regulatórias para vários países |
| xz-utils | Corrige problema de estouro de buffer [CVE-2026-34743] |
Atualizações de segurança
Esta revisão adiciona as seguintes atualizações de segurança ao oldstable. A Equipe de Segurança já publicou um aviso para cada uma destas atualizações:
| ID do Aviso | Pacote |
|---|---|
| DLA-4627 | kernel-wedge |
| DLA-4628 | linux-base |
| DLA-4632 | atril |
| DLA-4633 | libreoffice |
| DLA-4635 | firefox-esr |
| DLA-4636 | thunderbird |
| DLA-4637 | libconfig-inifiles-perl |
| DLA-4638 | libgd-perl |
| DLA-4639 | libhttp-daemon-perl |
| DLA-4642 | u-boot |
| DLA-4643 | imagemagick |
| DLA-4644 | libmatio |
| DLA-4648 | libtext-csv-xs-perl |
| DLA-4651 | python-urllib3 |
| DLA-4654 | chromium |
| DLA-4656 | tor |
| DLA-4657 | sogo |
| DLA-4658 | librabbitmq |
| DLA-4662 | jq |
| DLA-4665 | linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux |
| DLA-4666 | openvpn |
| DLA-4667 | nginx |
| DLA-4668 | sympa |
| DLA-4669 | php8.2 |
| DLA-4672 | chromium |
| DLA-4674 | chromium |
| DSA-6250 | chromium |
| DSA-6266 | nghttp2 |
| DSA-6267 | thunderbird |
| DSA-6269 | postgresql-15 |
| DSA-6271 | gsasl |
| DSA-6272 | nodejs |
| DSA-6273 | chromium |
| DSA-6275 | linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux |
| DSA-6276 | ffmpeg |
| DSA-6277 | openjpeg2 |
| DSA-6278 | nginx |
| DSA-6279 | redis |
| DSA-6281 | gnutls28 |
| DSA-6282 | rsync |
| DSA-6283 | firefox-esr |
| DSA-6285 | bind9 |
| DSA-6286 | evince |
| DSA-6287 | chromium |
| DSA-6288 | thunderbird |
| DSA-6289 | openvpn |
| DSA-6292 | haveged |
| DSA-6293 | krb5 |
| DSA-6294 | libgcrypt20 |
| DSA-6297 | samba |
| DSA-6299 | kdenlive |
| DSA-6300 | node-shell-quote |
| DSA-6301 | roundcube |
| DSA-6302 | starlette |
| DSA-6306 | linux-signed-amd64, linux-signed-arm64, linux-signed-i386, linux |
| DSA-6308 | nagios4 |
| DSA-6309 | exim4 |
| DSA-6310 | imagemagick |
| DSA-6313 | dovecot |
| DSA-6316 | chromium |
| DSA-6317 | php-symfony-contracts, symfony |
| DSA-6319 | yelp |
| DSA-6320 | php-twig |
| DSA-6321 | ceph |
| DSA-6322 | frr |
| DSA-6323 | apache2 |
| DSA-6324 | request-tracker5 |
| DSA-6325 | chromium |
| DSA-6326 | nginx |
| DSA-6327 | request-tracker4 |
| DSA-6328 | tomcat10 |
| DSA-6330 | strongswan |
| DSA-6331 | keystone |
| DSA-6332 | okular |
| DSA-6333 | mistral |
| DSA-6334 | poppler |
| DSA-6335 | openssl |
| DSA-6336 | jackson-core, jackson-databind, jackson-dataformat-smile |
| DSA-6337 | chromium |
| DSA-6338 | libdbi-perl |
| DSA-6339 | libinput |
| DSA-6341 | ironic, python-oslo.messaging |
| DSA-6344 | chromium |
| DSA-6352 | chromium |
Pacotes removidos
Os seguintes pacotes foram removidos devido a circunstâncias fora do nosso controle:
| Pacote | Motivo |
|---|---|
| smb4k | Incapacidade de continuar o suporte de segurança |
Instalador do Debian
O instalador foi atualizado para incluir as correções incorporadas ao oldstable pela point release.
URLs
Lista completa de pacotes alterados nesta revisão:
https://deb.debian.org/debian/dists/bookworm/ChangeLog
A distribuição oldstable atual:
https://deb.debian.org/debian/dists/oldstable/
Atualizações propostas para a distribuição oldstable:
https://deb.debian.org/debian/dists/oldstable-proposed-updates
Informações sobre a distribuição oldstable (notas de lançamento, errata etc.):
https://www.debian.org/releases/oldstable/
Anúncios e informações de segurança:
https://www.debian.org/security/
Sobre o Debian
O Projeto Debian é uma associação de desenvolvedores de Software Livre que voluntariamente dedicam seu tempo e esforço para produzir o sistema operacional completamente livre Debian.
Informações de contato
Para mais informações, visite as páginas web do Debian em https://www.debian.org/, envie email para <[email protected]>, ou contate a equipe de lançamento estável em <[email protected]>.
