Replit responde com regras de WAF e patches às divulgações sobre a CA da eMudhra, Node.js, PHP, LiteLLM e o kernel do Linux

Registro de arquivo: cobre um fato de 22 de outubro de 2026, e o publicamos em 8 de novembro de 2026. As informações vêm de fontes daquela data e podem ter mudado desde então.

Em 22 de outubro de 2026, o Replit publicou, em um post no blog, sua resposta a um conjunto de divulgações de segurança. O Replit colocou em prática proteções no nível do firewall e pediu que os usuários abrissem o Security Center, aplicassem os patches disponíveis e republicassem os apps afetados.

O que o Replit fez

• CA da eMudhra: a eMudhra usou chaves privadas fracas e fáceis de adivinhar durante a cerimônia de assinatura de chaves de uma CA intermediária. O Replit removeu essa CA de suas imagens base, aplicou a correção automaticamente a 95% dos apps publicados e corrigiu suas ferramentas de Python. Os apps em Python precisam ser republicados.
• Node.js: o Node.js divulgou várias falhas, incluindo um bug no decodificador Brotli que podia permitir a execução remota de código. O Replit implantou proteções de WAF e disponibilizou versões corrigidas do Node.js, e os apps em Node.js precisam ser republicados.
• PHP: diante de vulnerabilidades de execução remota de código, o Replit implantou regras de WAF, corrigiu suas ferramentas de PHP e recomenda republicar os apps em PHP.
• LiteLLM: o Replit afirma que seu Socket Firewall bloqueou todas as instalações de pacotes maliciosos de um ataque à cadeia de suprimentos contra o LiteLLM, uma biblioteca Python de código aberto muito usada.
• Kernel do Linux: diante de várias vulnerabilidades divulgadas do kernel, o Replit afirma que sua arquitetura microVM impediu a exploração por construção, então nenhuma ação dos usuários é necessária.

O que isso significa para quem constrói com IA

Criadores de apps gerenciados podem absorver boa parte do trabalho de correções dos apps que hospedam. O Replit aplicou a correção da eMudhra automaticamente a 95% dos apps publicados e adicionou proteções de WAF, embora os usuários ainda precisassem republicar os apps em Python e Node.js, e o Replit recomendasse republicar os de PHP. Em apps criados com IA e hospedados por conta própria, cada correção teria de ser aplicada pelos donos.

Atualização de 28 de outubro

Em um acompanhamento de 28 de outubro, o Replit disse que uma configuração de kernel reforçada nessa arquitetura microVM impediu a exploração das falhas do kernel. Também disse que fazia red teaming com IA 24 horas por dia desde o início de 2026, com centenas de agentes.

Fontes

• Security vulnerabilities across the internet: How Replit is protecting your business (Replit, 22 de outubro de 2026, oficial)
• Replit’s Architecture Behind Secure Agent Work (Replit, 28 de outubro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.