1021 | De PHP vulnerável a Tor comprometido: a semana em que a infraestrutura tremeu

Sofia Almeida: Boa tarde, ouvintes do HN em português. Eu sou a Sofia Almeida.

Rafael Costa: E eu sou o Rafael Costa. E hoje temos um episódio sobre confiança — a confiança que depositamos no PHP, nos certificados, no Tor, na cloud, na Wikipedia, nas plataformas. Quase todas as histórias desta semana são, no fundo, sobre algo que partiu na base de confiança.

Sofia Almeida: E começamos com a mais urgente de todas. O PHP emitiu um aviso prévio de um lançamento de emergência: 21 de outubro de 2026, às 14:00 UTC. Duas vulnerabilidades críticas, com CVSS 9.2, que afetam nada menos do que o PHP 5 até ao PHP 8.

Rafael Costa: Sim, e isso é o que me deixa verdadeiramente desconfortável — a amplitude. Não é "a última versão tem um bug". É "mais ou menos tudo o que existe tem um bug". E a mitigação de emergência que a equipa recomenda é desativar a diretiva session.upload_progress.

Sofia Almeida: Que é uma diretiva que muita gente nem sabe que existe. O upload progress é uma funcionalidade que permite mostrar barras de progresso durante uploads. A maioria dos administradores nunca a desligou porque nunca pensaram nela. E agora é o conselho urgente: desliguem-na, hoje, antes do patch.

Rafael Costa: O que ainda não sabemos é o detalhe técnico completo das falhas. O aviso fala em duas vulnerabilidades críticas, mas não conhecemos o mecanismo exato nem se são exploráveis remotamente sem autenticação. Essa é a pergunta que se coloca nos fóruns: isto é uma falha de tipo exploit de sessão ou é algo pior? Sem o detalhe, os operadores têm de agir por precaução — e por precaução é desligar a diretiva em todo o lado.

Sofia Almeida: E há um debate interessante aí: há quem diga que avisar com antecedência do release é a atitude responsável — dá tempo aos admins para prepararem janelas de manutenção. Outros argumentam que anunciar "há duas falas 9.2, a mitigação é X" antes do patch dá aos atacantes um mapa do tesouro: sabem exatamente onde procurar.

Rafael Costa: É o dilema clássico de divulgação coordenada. E a verdade é que ambos os lados têm razão parcial: o aviso de emergência com mitigação é melhor do que silêncio total, mas sim, criou uma janela de risco entre o anúncio e o patch.

Sofia Almeida: E curiosamente, na mesma semana, a base de confiança da web sofreu um segundo golpe — este do lado dos certificados. A eMudhra teve chaves privadas de oito CAs intermédias comprometidas.

Rafael Costa: Isto é grave. Estamos a falar das chaves que assinam certificados. Se alguém controla uma chave intermédia, pode tecnicamente emitir certificados que os browsers aceitam. A resposta foi brutal e rápida: navegadores e sistemas operativos começaram a bloquear esses certificados entre 17 e 20 de outubro.

Sofia Almeida: E o impacto não fica só nos browsers. Pacotes em Go, Rust e Python também validam certificados e precisam de atualizações nos seus armazéns de raiz. Ou seja, os gestores de dependências das linguagens também andaram a mexer esta semana.

Rafael Costa: O que liga estes dois casos, PHP e eMudhra, é exatamente isso: a camada de confiança da web foi abalada em dois pontos diferentes na mesma semana. Um no servidor de aplicação, outro na infraestrutura de criptografia. E em ambos, a pergunta que fica por responder é o alcance real — no caso da eMudhra, o que aconteceu com as chaves roubadas? Foram usadas para emitir certificados fraudulentos? Isso ainda não se sabe publicamente.

Sofia Almeida: E há aqui uma lição que os comentaristas sublinham: a confiança na web não é uma camada, é uma pilha. E quando uma parte dela falha, a resposta tem de ser coordenada entre browsers, sistemas operativos, linguagens — é uma operação distribuída com deadline. Três dias entre o início dos bloqueios.

Rafael Costa: E se a confiança nos certificados pode falhar, a confiança na rede também pode falhar. Falamos do Tor.

Sofia Almeida: Esta é das histórias mais inquietantes da semana. Um investigador independente descobriu que 333 exit nodes do Tor — cerca de dez por cento do total — estavam comprometidos.

Rafael Costa: Dez por cento. E o que faziam? Intercetavam ligações SSH que passavam por eles e injetavam a backdoor Ebury nos sistemas dos utilizadores.

Sofia Almeida: Pensa no que isso significa. O Tor existe para proteger o tráfego de quem precisa de anonimato — jornalistas, ativistas, quem sofre vigilância. E um em cada dez pontos de saída estava a fazer exatamente o contrário: a observar e a comprometer as máquinas dos utilizadores.

Rafael Costa: E é importante notar a mecânica: o Tor não cifra as ligações de ponta a ponta se o protocolo de destino não for cifrado. SSH, na maioria das configurações, é cifrado — mas a interceção visava precisamente apanhar o momento da ligação e injetar a Ebury, que é uma backdoor conhecida de longa data que rouba credenciais.

Sofia Almeida: O lado positivo: a equipa do Tor fez o takedown dos nós comprometidos. Responderam, limparam a rede. O lado negativo que os comentários levantam: dez por cento é uma taxa enorme de comprometimento — como é que chegou lá? Foram operadores maliciosos que criaram nós de raiz, ou nós legítimos que foram hackeados? Isso não está claro nas informações disponíveis.

Rafael Costa: E há uma lição prática que circula: não trates o exit node como confiável. Usa autenticação baseada em chaves com verificações de host, não passwords. Porque com passwords, um nó malicioso com um ataque de interceção pode capturá-las.

Sofia Almeida: Mas a história mais perturbadora ainda está a vir. No subterrâneo, do lado do ransomware, houve uma revelação: Edward Dubrovsky, um negociador de ransomware — alguém cujo trabalho é, em teoria, do lado das vítimas — terá ajudado os ShinyHunters, o grupo de ataque. E operava uma página de extorsão chamada Shinywire.

Rafael Costa: Exatamente. O negociador existe para negociar em nome da vítima, para reduzir o pedido, para servir de intermediário. Se ele estava, na verdade, do lado dos atacantes — ou a cooperar com eles — a vítima está negociando com o inimigo na própria equipa. E o Shinywire como plataforma de extorsão é o inverso completo da sua função.

Sofia Almeida: E há mais: os ShinyHunters furtaram dados do FBI. Vamos deixar isso assentar. Um grupo criminoso com dados da agência que os persegue. Isso diz muito sobre o estado da cibersegurança ofensiva e defensiva.

Rafael Costa: O que fica por saber aqui é a responsabilização legal. Que leis se aplicam a um negociador que se revela cúmplice? Em que jurisdição? Os negociadores operam num espaço cinzento, e este caso pode forçar uma regulação dessa profissão. Nos comentários, há quem defenda que a profissão precisa de certificação e de padrões de conflito de interesses — afinal, um negociador sabe tudo sobre a vítima: a sua posição financeira, os seus seguros, as suas vulnerabilidades.

Rafael Costa: Se essa informação pode vazar, a profissão inteira perde credibilidade.

Sofia Almeida: E é exatamente isso que une os dois casos: quem deveria ser neutro ou defensivo estava do lado do ataque. Nós exit, negociadores — posições de confiança capturadas.

Rafael Costa: A confiança que falha no interior da rede leva-nos ao próximo tema: a confiança na cloud. Um outage na Google Cloud deixou bancos europeus sem serviço.

Sofia Almeida: HSBC, Revolut, entre outros. Estamos a falar de bancos que milhões de pessoas usam todos os dias, e a app simplesmente não funcionava porque a Google Cloud tinha caído.

Rafael Costa: Mas há um contraste que vale a pena sublinhar: o Monzo continuou operacional. Porquê? Porque mantinha um sistema de contingência num setup de cloud separado.

Sofia Almeida: E esse contraste é a lição inteira do episódio. Um banco fez a investida de manter redundância multi-cloud — custa dinheiro, duplica operações, complica os engenheiros — e foi o único que manteve os clientes servidos quando a cloud principal caiu.

Rafael Costa: Nos comentários, a discussão divide-se em dois campos. Um lado diz: isto é risco sistémico. Se toda a banca europeia corre na mesma cloud, uma falha única é uma falha de sistema financeiro. Precisamos de exigência regulatória de redundância. O outro lado diz: multi-cloud real é um mito caro — a maioria das empresas que dizem ser multi-cloud na verdade são ativas só numa cloud, com a outra adormecida. O Monzo é exceção precisamente porque manter contingência real e testada é caro e difícil.

Sofia Almeida: E o teste é a palavra-chave, não é? Uma contingência que nunca foi exercida sob pressão não é uma contingência — é uma ilusão de segurança.

Rafael Costa: Exato. E o que fica por saber: a causa técnica detalhada do incidente. Sem isso, é difícil saber se o design do Monzo foi o fator decisivo ou se foi sorte geográfica ou de serviço. Quando sair o relatório pós-mortem, será interessante comparar.

Sofia Almeida: O que pode vir a seguir, e que os observadores já antecipam: mais pressão regulatória para redundância multi-cloud no setor financeiro. Se os reguladores viram que HSBC e Revolut caíram e o Monzo não caiu, a conclusão vai ser óbvia.

Rafael Costa: A falha de cloud leva-nos ao que os gigantes lançam quando tudo funciona. Duas histórias de IA open source esta semana que apontam para menos dependência de um só fornecedor.

Sofia Almeida: Primeiro, a Mistral. Lançou o Voxtral 3: modelos speech-to-text e text-to-speech, mais um SDK para agentes de voz. Cobre mais de cinquenta línguas, faz diarização — ou seja, distingue quem está a falar — e deteção de emoções.

Rafael Costa: E o detalhe que os europeus celebram: hosting na UE ou self-hosting. Numa altura em que a dependência de APIs americanas é uma preocupação para reguladores e para empresas europeias, poder correr um modelo de voz dentro do teu próprio hardware ou numa cloud europeia muda o cálculo.

Sofia Almeida: Segundo, a Google abre o TorchTPU. Um backend PyTorch para TPUs, com kernels ATen, cache XLA, treino distribuído e exemplos que incluem Llama e ResNet.

Rafael Costa: Historicamente, as TPUs estavam bastante amarradas ao JAX e ao TensorFlow. Abrir o caminho do PyTorch para as TPUs — que é o framework dominante na comunidade — significa que o ecossistema PyTorch pode tirar partido do hardware da Google sem reescrever tudo. E o gesto de open source é significativo: a Google a ceder o backend.

Sofia Almeida: Nos comentários, as reações dividem-se: há quem veja isto como a Google a tentar criar gravitação para as suas TPUs face à dominância das GPUs da NVIDIA — e é uma leitura plausível, porque é uma forma de abrir o hardware a mais utilizadores. E há quem veja genuinamente boa notícia para a comunidade: menos lock-in, mais escolha. Não é necessariamente contraditório — pode ser ambos ao mesmo tempo.

Rafael Costa: E o que fica por saber em ambos os casos é o mesmo: desempenho real em produção. Benchmarks de lançamento são benchmarks de lançamento. Voxtral em cinquenta línguas — como se comporta em línguas de menor recurso, como o português europeu comparado com o inglês? TorchTPU — a velocidade real de treino face a GPUs? Estas são as perguntas que só o uso real responde.

Sofia Almeida: Mas e o impacto destes modelos na web? Passamos agora ao efeito da IA no conhecimento — e este tema é, para mim, o mais filosófico da semana. A Wikipedia está a perder leitores por causa das respostas de IA.

Rafael Costa: E uma autora do projeto apela a um dever ético dos investigadores: defender o conhecimento aberto e a Wikipedia. O argumento é que a IA bebe das fontes abertas — treina-se em Wikipedia, resum-na — e ao dar a resposta diretamente ao utilizador, corta a viagem ao site original. O resultado: menos leitores, menos doadores, menos colaboradores, e eventualmente menos Wikipedia — que é de onde a própria IA bebe.

Sofia Almeida: É um ciclo auto-devorador. E ligado a isso, o experimento da Peec-AI, que é quase cómico se não fosse sério: cinquenta mil estatísticas inventadas — fabricadas de propósito — continuam a ser citadas pelo ChatGPT sete meses depois.

Rafael Costa: Sete meses. E o contraste com o Google é revelador: o Google deindexou em grande parte a página com as estatísticas falsas. Ou seja, os motores de busca corrigiram; o modelo de linguagem não. Porque os LLMs não consultam a web em tempo real da mesma forma — guardam padrões do treino, e uma vez que uma afirmação entrou no treino, pode demorar muito a sair, mesmo depois da fonte ser retirada.

Sofia Almeida: Nos comentários, há quem defenda que o problema é estrutural: os LLMs são máquinas de plausibilidade, não de verdade, e estatísticas falsas bem formuladas são exatamente o tipo de coisa que produzem com confiança. Há quem contra-argumente que versões com acesso à web e citação verificável atenuam o problema. E há quem responda a isso: sim, mas a maioria das interações usa a memória do modelo, não a pesquisa.

Rafael Costa: E a questão aberta aqui é grande: como se inverte a tendência de perda de tráfego para fontes primárias? Alguns propõem regras de citabilidade mais exigentes — obrigar os modelos a apontar para a origem de cada afirmação factual. Mas isso não devolve o leitor à Wikipedia; apenas adiciona uma referência que ninguém clica.

Sofia Almeida: E há quem defenda que a Wikipedia tem de se repensar como produto: não competir com a resposta instantânea, mas ser a fonte verificável por detrás dela. Se a IA é inevitável como interface, então o jogo é garantir que a IA é alimentada e auditada por fontes abertas, em vez de as substituir.

Rafael Costa: E dessa visão mais ampla da IA no conhecimento passamos a outra frente: as ferramentas de desenvolvimento, e em particular o Rust que está a reescrever tudo à sua volta.

Sofia Almeida: Cloudflare apresentou o tsrs: um port de TypeScript para Rust. Até oito vezes mais rápido e cerca de setenta por cento menos memória que o port em Go. E a equipa do Oxc está envolvida — o que é relevante, porque o Oxc já era referência em ferramentas JavaScript escritas em Rust.

Rafael Costa: Oito vezes mais rápido num type checker é, na prática, uma mudança de categoria. Para quem usa TypeScript em monorepos grandes, o tempo de verificação de tipos é uma dor real no dia a dia. Cortar isso para um oitavo muda o fluxo de trabalho.

Sofia Almeida: E há uma ironia que os comentários adoram: o TypeScript original, criado pela Microsoft, foi reescrito primeiro em Go, e agora é reescrito em Rust pela Cloudflare. Duas reescritas da mesma ferramenta em meses, cada uma mais rápida. Há quem veja nisso desperdício de esforço duplicado; há quem veja competição saudável que empurra todos para melhor. E há quem pergunte a pergunta incómoda: porque não portar o port de Go em vez de começar de novo?

Sofia Almeida: A resposta prática é que as arquiteturas são diferentes demais.

Rafael Costa: E o outro lado da moeda: o próprio compilador Rust em 2026 está a acelerar. Novo trait solver, o Polonius, o frontend paralelo quase em estabilização, builds mais rápidos com LLVM-23. E um objetivo que os programadores vão adorar: encolher os diretórios target — aqueles gigabytes que cada projeto Rust deixa no teu disco.

Sofia Almeida: O frontend paralelo é o que mais interessa em termos de tempo de compilação — Rust é notoriamente lento a compilar, e paralelizar a fase de front-end é uma das maiores vitórias possíveis. O Polonius, por seu lado, resolve casos clássicos do borrow checker que hoje obrigam a reestruturar código.

Rafael Costa: E o que fica por saber: a datação da estabilização. "Quase estável" não é estável, e o cronograma para o frontend paralelo chegar ao compilador estável de todos é ainda incerto. Nos comentários, a paciência é misturada com cepticismo — a comunidade Rust já ouviu promessas de compilação paralela durante anos. Mas a diferença agora é que o trabalho parece estar numa fase madura.

Sofia Almeida: E das ferramentas de desenvolvimento para o software que usamos em casa — e até para brincar. Três projetos no navegador esta semana que mostram como o browser virou plataforma para jogos e para a educação.

Rafael Costa: O primeiro: recriações 3D interativas de instruções IKEA reais — o BILLY e o LACK. E o detalhe que os fãs apreciam: as peças, a ordem e os números de hardware seguem fielmente o manual. Não é da IKEA, é um projeto independente, mas é uma recriação respeitosa. Para quem já passou vinte minutos a olhar para um desenho a preto e branco a tentar perceber se aquele parafuso vai antes ou depois, poder rodar o móvel em 3D no browser é uma revolução prática.

Sofia Almeida: O segundo: a simulação de cidade "Permit Pending". E esta é genial no conceito: é um jogo de construção de cidade onde cada edifício tem de passar por licenças, audiências públicas, queixas e ciclos eleitorais.

Rafael Costa: Que contraste com o SimCity clássico, onde construíste e pronto. Aqui, o jogo é o processo burocrático. E há uma dimensão quase satírica: você pôe um edifício, e chegam as reclamações dos vizinhos, as audiências, os atrasos. Quem já esteve do lado de processos de urbanismo reais diz que é dolorosamente realista.

Sofia Almeida: E o terceiro: o Jev Cards, um quiz contra o modelo de visão da TypeSafe, chamado Jev, que responde em cerca de três décimas de segundo. É open source, tem modo multijogador e leaderboards.

Rafael Costa: Três décimas de segundo significa que vais perder quase sempre — a menos que saibas a resposta instantaneamente. O jogo não é "vencer a IA", é sentir a diferença de velocidade entre cognition humana e máquina. E como código aberto, pode-se ver como funciona, hospedar a própria instância, competir com amigos.

Sofia Almeida: O que os três têm em comum: ninguém instala nada, não há app stores, não há plataformas fechadas. O browser abre, joga-se, aprende-se. E há quem defenda que é aí que a web aberta ganha dos nativos — zero friction, acesso universal.

Rafael Costa: O que é um contraste perfeito com a próxima história — porque as grandes plataformas estão a fechar o círculo. O Facebook passou a exigir uma subscrição para mais de dois links por mês em páginas.

Sofia Almeida: Sim, ouve-se bem: dois links por mês. A partir de 14,99 dólares por mês para mais do que isso — e os comentários contam. 49,99 dólares por oito links. E note-se: os comentários também entram na contagem. Se a página responde a alguém com um link, conta para o limite.

Rafael Costa: Na prática, qualquer página que partilhe notícias ou recursos externos fica inutilizada sem pagar. Para páginas pequenas e criadores independentes, é praticamente o fim do alcance orgânico.

Sofia Almeida: Nos comentários, há quem veja isto como a lógica inevitável das plataformas: quando o alcance orgânico já tinha sido reduzido, a próxima etapa é cobrar diretamente pela atividade básica. E há quem contra-argumente que é legítimo cobrar por um serviço — mas a objeção é que dois links por mês é uma atividade tão básica que cobrar acima disso é, na prática, cobrar por existir.

Rafael Costa: E o que os observadores antecipam: migração de criadores para canais próprios — newsletters, sites, feeds abertos. O custo de usar plataformas fechadas subiu a ponto de ter alternativa própria fazer sentido. É uma tendência que já vinha, e isto pode acelerá-la.

Sofia Almeida: Do lado da Apple, uma história mais banal mas que vai doer a muita gente: o iPadOS 27 está a estragar apresentações.

Rafael Costa: O bug: com o AirPlay, quando mudas de aplicação durante uma apresentação, o iPad mostra o ecrã inteiro em vez de apenas a apresentação. Ou seja, se estiveres a apresentar no Keynote ou no PowerPoint e precisares de mudar de app — para ver as notas, ou qualquer coisa — o público vê tudo. Incluindo as notas da apresentação e os resultados de inquéritos.

Sofia Almeida: E isto não é um bug estético. Num contexto de docência ou de apresentação profissional, expor notas privadas ou resultados de uma votação anónima antes do momento certo pode ser embaraçoso ou mesmo comprometer o exercício. Professores e formadores dependem do modo de apresentação para controlar o que se vê.

Rafael Costa: A expectativa dos comentários é que a Apple corrija num patch — é um bug funcional, não uma decisão de design. Mas entretanto, quem apresenta com um iPad tem de ter cuidado extra: não sair da app de apresentação, ou usar um segundo ecrã de confiança.

Sofia Almeida: E falando de quem manda nas plataformas — vamos ao poder e à regulação. O Ofcom, o regulador britânico, admitiu de facto a derrota no caso 4chan.

Rafael Costa: A razão é estrutural: os tribunais americanos raramente executam decisões de censura britânicas quando há conflito com a Primeira Emenda. Ou seja, o regulador pode decidir o que quiser sobre um site americano, mas se o site está nos EUA e os tribunais americanos não executam, a decisão fica em papel.

Sofia Almeida: É um caso-limite da jurisdição na internet. O Reino Unido quer aplicar as suas regras de segurança online a plataformas globais; os EUA dizem que a Primeira Emenda protege o discurso, mesmo o discurso que os europeus consideram ilegal. E no caso 4chan, o Ofcom reconheceu que não tem forma de fazer cumprir.

Rafael Costa: Há quem defenda que isto mostra o limite da regulação unilateral: leis nacionais não alcançam a internet global. Há quem diga que a consequência é que a regulação vai ter de ser feita por pressão económica — App Stores, processadores de pagamento — que são alavancas americanas também, o que só transfere o poder de um tipo de ator para outro.

Rafael Costa: E há quem note a ironia: a Primeira Emenda, pensada para proteger o cidadão do Estado, é usada para proteger plataformas e comunidades inteiras de reguladores estrangeiros.

Sofia Almeida: E do lado das ferramentas — o VoidAccess. Uma ferramenta open source que automatiza OSINT da darknet: da consulta à construção de grafos. E tem um filtro NSFW incluído.

Rafael Costa: O autor trabalha na Opper, portanto é alguém do mundo técnico profissional a publicar tooling. E a questão que surge nos comentários é: uma ferramenta destas baixa drasticamente a barreira de entrada para investigação na darknet. Isso é bom para jornalistas e investigadores de segurança — e é potencialmente problemático para quem quere vigiar, assediar ou fazer stalking. A ferramenta em si é neutra, como qualquer martelo.

Sofia Almeida: E a pergunta que fica por saber é a mesma em ambos os casos: que regras se aplicarão a ferramentas destas? O Ofcom não consegue fazer cumprir contra o 4chan; quem regula o software de OSINT? É a mesma ausência de jurisdição clara.

Rafael Costa: E dos limites da lei passamos aos limites do corpo e da memória — três histórias que tocam a vida real de forma mais direta do que as anteriores.

Sofia Almeida: A primeira é um alerta de saúde sério: a abstinência de benzodiazepinas pode durar meses e ser mais intensa do que a abstinência de opiáceos.

Rafael Costa: E isto desafia a intuição de muita gente. No imaginário popular, os opiáceos são o pior dos dois mundos. Mas clinicamente, para quem fez uso de longa duração ou por prescrição contínua, o desconforto dos benzodiazepínicos pode estender-se durante meses — e alguns relatam que é pior.

Sofia Almeida: O ponto da história é a cautela com prescrições de longa duração. Os benzodiazepínicos são úteis a curto prazo — para crises de ansiedade, para insónia pontual — mas a prescrição contínua cria uma dependência física cuja saída é longa e dura. Nos comentários, há relatos pessoais de quem passou por isso, e o tom é unânime em sublinhar que ninguém deve parar abruptamente — a redução tem de ser gradual e supervisionada.

Rafael Costa: E o que fica por saber: como é que a medicina vai reformular as diretrizes de prescrição. Se a evidência da duração e da intensidade da abstinência é clara, as práticas de prescrição têm de acompanhar — e essa mudança institucional é lenta.

Sofia Almeida: A segunda história é sobre educação na era da IA. Steve Krouse colocou uma pergunta que mais pais vão fazer nos próximos anos: o que é que eu ensino ao meu filho?

Rafael Costa: E recorreu a um livro de Neil Postman, "The End of Education" — um clássico dos anos noventa — para repensar os objetivos da educação. E é uma escolha interessante: Postman argumentava que a educação não é sobre competências técnicas, é sobre dar aos jovens uma narrativa, um propósito, uma razão para aprender. Na era da IA, quando as máquinas fazem cada vez mais do que se ensinava na escola, essa pergunta do propósito torna-se urgente.

Sofia Almeida: Nos comentários, o debate divide-se entre dois campos. Uns dizem: se a IA faz o trabalho cognitivo de entrada, a educação tem de se concentrar no que a IA não faz — julgamento, gosto, responsabilidade, a capacidade de decidir o que vale a pena fazer. Outros contra-argumentam: não se pode julgar o que se não sabe fazer; as fundamentais continuam a importar, mesmo que as máquinas as executem melhor. Não se torna um bom diretor de orquestra sem saber ler partitura.

Rafael Costa: E há um terceiro campo que aponta para o Postman: a questão não é o que se ensina, é para quê. Se o objetivo da escola era preparar para o emprego, e o emprego está em mutação radical, então o objetivo tem de ser repensado antes do currículo. É uma pergunta filosófica disfarçada de pergunta pedagógica.

Sofia Almeida: E a terceira história é uma despedida. Bob Cringely morreu a 3 de outubro de 2026. Para quem acompanhou a indústria tecnológica durante décadas, o nome é sinónimo de jornalismo tecnológico com perspectiva histórica.

Rafael Costa: E o tom da memória que circula é afetivo: trinta anos de colaboração com o autor da nota. O projeto Pronto, uma carreira que atravessou o jornalismo e a televisão, e uma corrente de ideias de startups que nunca passaram de conversas — mas que marcaram uma geração de pessoas na indústria.

Sofia Almeida: E há algo apropriado em fechar aqui: uma vida dedicada a contar as histórias da tecnologia, num episódio que contou histórias da tecnologia. A diferença é que ele olhava para trás com perspectiva; nós olhamos para a última semana com urgência.

Rafael Costa: E é isso que fica do episódio: o PHP a avisar da sua janela de emergência, as chaves da eMudhra a forçar bloqueios em cascata, os nós do Tor comprometidos e um negociador do lado errado, o Monzo a provar que a contingência real existe, a Mistral e a Google a abrirem a IA, a Wikipedia a perder o tráfego que a alimenta, o Rust a reescrever as ferramentas, os browser a virar plataforma de brincadeira, o Facebook a cobrar pelos links e o iPad a trair os apresentadores — e entre tudo isso, o Ofcom a

Rafael Costa: descobrir os limites da lei, uma ferramenta de OSINT a baixar barreiras, um alerta sobre benzodiazepinas, uma pergunta sobre educação, e a memória de Bob Cringely.

Sofia Almeida: Tudo numa semana. Obrigado por nos ouvirem — eu sou a Sofia Almeida.

Rafael Costa: E eu sou o Rafael Costa. Até à próxima, e desliguem o session.upload_progress.