Éclair 1.10.4: segunda auditoria de segurança, seis falhas corrigidas
Por Thierry Gustin
Publicado em
Atualizado em
5 min de leitura
Índice
- O que muda com o Éclair 1.10.4?
- Por que uma segunda auditoria logo depois da 1.10.3?
- O que a segunda auditoria de segurança encontrou?
- Por que se fala em passagem parcial?
- O que fazer depois de atualizar para a 1.10.4?
- Como passar para o Éclair 1.10.4?
- Onde ler o relatório de segurança completo?
- Perguntas frequentes sobre o Éclair 1.10.4
O Éclair 1.10.4, lançado em 4 de novembro de 2026, corrige as seis falhas encontradas por uma segunda auditoria de segurança: uma alta, mas na ferramenta de publicação do mantenedor e nunca no seu site, uma média ligada ao Google Drive e quatro baixas. Nenhuma é crítica. O relatório completo, em inglês, está on-line: leia o relatório de segurança (PDF, 18 páginas).
O que muda com o Éclair 1.10.4?
| Ponto | O que guardar |
|---|---|
| Código auditado | O da 1.10.3, revisto com um método mais aprofundado (perfil deep) |
| Falhas confirmadas | 6: 1 alta (ferramenta de publicação), 1 média (Google Drive), 4 baixas |
| Pistas a validar | 6 pistas que dependem da hospedagem, corrigidas no código por precaução |
| Correções | 13, cada uma com um teste que confere que o defeito não volta |
| Verificações | 964 verificações automáticas, no código e no arquivo assinado |
| Arquivo | 621 KB, atualização assinada (Ed25519) e verificada antes de qualquer mudança |
| O que você precisa fazer | Atualizar depois de um backup e conectar o Google Drive de novo, se for pedido |
O seu site público não muda nem um byte, e os seus conteúdos ficam onde estão. Na véspera, a 1.10.3 corrigiu as 15 falhas da primeira auditoria: leia o artigo sobre o Éclair 1.10.3.
Por que uma segunda auditoria logo depois da 1.10.3?
Uma correção de segurança precisa ser conferida. Por isso, a segunda auditoria retomou cada falha e cada pista da primeira, no código modificado, com novos agentes. Resultado: as correções da 1.10.3 se mantiveram.
Ela também foi mais longe. O perfil deep do método security-audit da Cloudflare acrescenta os momentos da vida de um site: logo depois de uma atualização, após a restauração de um backup, na volta à versão anterior ou numa reinstalação. Várias das novas falhas vêm justamente desses momentos.
Como a primeira, esta auditoria foi feita lendo o código-fonte e testando-o localmente, em um ambiente isolado travado pelo sistema operacional, com dados fictícios, sem acesso à rede e sem tocar em nenhum site no ar. Ela usou 54 agentes; com a primeira auditoria e as correções, são 148 agentes no total.
O que a segunda auditoria de segurança encontrou?
A segunda auditoria examinou 13 candidatos distintos. Seis foram confirmados:
- Uma alta, na ferramenta de publicação: o comando que o mantenedor usa para assinar de novo uma versão podia assinar um arquivo trocado por alguém sem a chave. Agora ele só assina um arquivo já assinado para essa versão. Esse defeito não afeta nenhum site instalado.
- Uma média, Google Drive: uma conexão feita antes da 1.10.3 não indicava qual administrador a havia criado. Um administrador excluído ou rebaixado poderia, então, continuar recebendo os backups. Essas conexões agora são removidas.
- Quatro baixas: restaurar um backup não reativa mais sessões encerradas com Desconectar todo mundo; despublicar limpa o cache mesmo se uma gravação posterior falhar; Voltar à versão anterior mantém um
.htaccessalterado depois da atualização; reconstruir o índice não republica mais um conteúdo excluído, que volta como rascunho.
As seis pistas restantes dependem da hospedagem, do navegador ou da cobrança de um serviço externo. Não dá para observá-las off-line, então foram corrigidas por precaução, assim como um último candidato sobre redirecionamentos reservados que a verificação não conseguiu decidir. O relatório descreve cada problema e a sua correção, sem nenhum detalhe de exploração.
Por que se fala em passagem parcial?
Porque é uma, e o relatório diz isso com todas as letras. Esta segunda auditoria foi encurtada de propósito para limitar o custo:
- 6 áreas de 71 foram adiadas e nunca exploradas, por exemplo os arquivos de backup armazenados ou as cotas do conector MCP;
- nenhuma revisão final da cobertura foi feita;
- as correções da 1.10.4 são cobertas por testes, mas ainda não foram auditadas.
O relatório não afirma, portanto, que a 1.10.3 ou a 1.10.4 foram cobertas por inteiro. Ele recomenda retomar a auditoria nessas áreas e depois auditar a 1.10.4. O essencial: nenhuma falha crítica nas duas auditorias, e todas as falhas confirmadas estão corrigidas.
O que fazer depois de atualizar para a 1.10.4?
Na maioria dos casos, nada. Só um caso pede uma ação sua: se você conectou o Google Drive antes da 1.10.3, a conexão é removida, e a página Segurança avisa você.
- Abra Segurança › Backups no Google Drive.
- Clique em Conectar o Google Drive e digite o código exibido em google.com/device.
- Confira a frequência dos backups e clique em Salvar.
Os backups já enviados continuam no seu Drive. Outras mudanças que vale conhecer:
- As imagens de IA recusadas pelo filtro do fornecedor (FLUX, Ideogram) agora contam no seu orçamento mensal de IA, como qualquer imagem cobrada.
- Se
data/site.phpsumir, o instalador fica travado até você apagardata/install-window.phppor FTP. Reinstalar mantém as suas contas, chaves e conteúdos. - Os seus arquivos de dados e os arquivos de backup são criados privados desde o início.
Como passar para o Éclair 1.10.4?
A partir da 1.10.0, a atualização é feita em um clique:
- Em Segurança › Backup, clique em Baixar backup.
- Abra Administração › Atualizações.
- Marque “Tenho um backup recente do meu site” e clique em Atualizar para a versão…
A atualização é assinada e verificada antes da menor mudança, com volta automática se algo der errado. A versão oferecida hoje inclui todas essas correções.
Na 1.9 ou antes, use o FTP uma última vez: o arquivo espera por você na página Baixar, e o guia Atualizar, fazer backup, mudar de hospedagem detalha cada etapa. Todas as versões estão no registro de mudanças, e as proteções do Éclair no guia Segurança.
Onde ler o relatório de segurança completo?
O relatório cobre as duas auditorias e as versões 1.10.3 e 1.10.4. Ele está em inglês, em PDF, com 18 páginas. Você vai encontrar o método, o ambiente isolado, cada falha com a sua correção, as proteções consideradas sólidas e os limites do exercício.
Baixar o relatório de segurança (PDF em inglês, 18 páginas)
Uma pergunta sobre o relatório ou uma dúvida sobre a sua hospedagem? Escreva para mim pela página de contato.
Perguntas frequentes sobre o Éclair 1.10.4
O meu site estava exposto à falha alta?
Não. Ela afetava a ferramenta que o mantenedor usa para gerar e assinar as versões, nunca um site instalado. As suas atualizações continuam assinadas e verificadas antes da menor mudança.
Preciso conectar o Google Drive de novo?
Só se a sua conexão for anterior à 1.10.3. Nesse caso, a página Segurança avisa você: clique em Conectar o Google Drive e digite o código em google.com/device. Os seus backups antigos continuam no seu Drive.
A segunda auditoria verificou tudo?
Não, e o relatório diz isso: é uma passagem parcial. Seis áreas não foram exploradas, e as correções da 1.10.4 ainda não foram auditadas. Nenhuma das duas auditorias encontrou falha crítica.
Por que o relatório está em inglês?
É o idioma do registro oficial e do código do Éclair. O relatório descreve cada problema e a sua correção, sem detalhes de exploração, e este artigo resume o essencial.
Quanto custa atualizar para a 1.10.4?
Nada: o Éclair continua gratuito, com licença AGPL-3.0. Única mudança no orçamento: as imagens de IA recusadas pelo fornecedor agora contam no seu orçamento mensal.
Leia também
Migrar do WordPress para o Éclair CMS sem perder um endereço
Migrar do WordPress para o Éclair CMS com o Eclair Export: conteúdos, imagens, SEO, menus e redirecionamentos, uma simulação e um relatório para o cliente.
Éclair 2.3 e Eclair Export 1.1: migrar do WordPress ficou fácil
O Éclair 2.3 e o Eclair Export 1.1 mudam um site WordPress em um só envio: uma chave, um clique, sem download nem FTP. Esquemas e guia passo a passo.
Criar um site de A a Z com o Agente IA Éclair CMS
O guia completo para criar um site profissional com o Agente IA Éclair CMS: cada etapa, os atritos eliminados, as capturas de tela e o link para baixar.