Voltar à tendência do dia: PHP atualiza ferramentas web do Windows para corrigir falha que permite a invasores executar código
Ranking Poly · da tendência do dia

Algoritmos de compressão de dados: Top 10 codecs da web em 2026

O Zstandard descomprime 3,6 vezes mais rápido que o Brotli (1.550 contra 425 MB/s), com diferença de apenas 0,4% na taxa de compressão, e em outubro de 2026 foi o decodificador do Brotli que saiu com uma escrita remota fora dos limites com nota 9,8.

  • Nº 1: Zstandard (zstd)
  • 10 posições

01Lista final

As IAs líderes montaram cada uma a sua lista de dez, de forma independente. Aqui está um resultado fácil de conferir: cada posição tem um motivo, uma fonte e a lista das IAs que a incluíram.

Ordem: da maior para a menor concordância entre as IA.

Uma etiqueta forte significa que essa IA pôs o item na sua lista. Uma esmaecida, que não pôs.

  1. 1

    Zstandard (zstd)

    Decodifica a 1.550 MB/s contra 425 do Brotli, com taxa quase igual (2,896 contra 2,883). Suas poucas CVEs atingem a ferramenta de linha de comando, não o decodificador. Em recursos da web o Brotli ainda vence, 3,08 contra 2,86.

    Incluíram: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Não incluíram: ChatGPT, Wenxin.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · Nova: 1 · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Novaposição 1

      Descomprime a 200–400 MB/s com taxa de compressão de 2,5–3,5x, mas sua falha de validação de stream de 2026 elevou o risco de negação de serviço (DoS).

      Fonte ↗
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  2. 2

    gzip / DEFLATE (zlib)

    Ainda comprime 60% do JavaScript da web, contra 29% do Brotli. Descomprime a 390 MB/s com taxa de 2,743, e seu decodificador zlib tem 19 CVEs, incluindo a CVE-2022-37434, com nota 9,8.

    Incluíram: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Não incluíram: ChatGPT, Wenxin.

    Nas listas delas: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    O que cada IA notou 8
    • Metaposição 2

      82% dos sites servem gzip via zlib – no gzip do PHP e do Python, no zlib do Node, no Zlib do Ruby, em toda build do Nginx – estouro de heap pelo campo extra gigante do cabeçalho gzip, CVE-2022-37434

    • Grokposição 2

      Vinculada a quase todo runtime de linguagem e servidor web; um punhado de estouros de heap críticos (incluindo os de 2022 e 2026) ainda aparece, apesar de décadas de auditoria.

    • Geminiposição 2

      Vinculada silenciosamente aos runtimes Node.js, Python e PHP, deixando 47,1% das respostas de servidores HTTP dependentes de um modelo de memória de 30 anos.

    • Novaposição 3

      O compressor original da web, que ainda cuida de 80% do tráfego HTTP com taxa de 1,5–2x, mas sofre com falhas históricas do zlib.

      Fonte ↗
    • StepFunposição 2

      19 CVEs, e um estouro de heap no inflate() que ficou no caminho padrão do gzip do HTTP até a 1.2.12.

    • Kimiposição 2

      Embutida no PHP, no Node, no Python e no cURL – e até vinculada dentro do próprio OpenSSL; seu pior bug no inflate() recebeu nota 9,8.

    • DeepSeekposição 2

      19 CVEs desde 2002, 9 com exploits públicos, e um estouro de heap no inflate com CVSS 9,8 – o descompressor por trás do gzip, do PNG e de inúmeras pilhas HTTP.

    • Qwenposição 1

      O pulmão invisível da internet, que comprime 90% do tráfego web enquanto deixa discretamente CVEs de corrupção de memória a cada poucos anos.

      Fonte ↗
    8 IAs colocaram aqui
  3. 3

    LZ4

    O decodificador mais rápido, a 3.850 MB/s, mas com taxa de apenas 2,101, o que significa volume de dados maior que o do zstd. Algumas IAs afirmaram zero CVEs, mas a CVE-2021-3520 é um estouro de inteiro real que causa corrupção de memória.

    Incluíram: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Não incluíram: ChatGPT, Wenxin.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · Nova: 4 · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Novaposição 4

      O descompressor mais rápido, com mais de 500 MB/s, mas com taxa de só 1,5–2x; sua simplicidade evita as vulnerabilidades complexas vistas no Brotli/Zstd.

      Fonte ↗
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  4. 4

    Brotli

    A compressão mais enxuta em texto da web: 3,08:1 contra 2,56 do gzip nos recursos da Cloudflare, e 19% menor no nível 11. O preço é a CVE-2026-111497, uma escrita fora dos limites com nota 9,8 nas versões 1.0.3 a 1.2.0.

    Incluíram: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Não incluíram: ChatGPT, Wenxin.

    Nas listas delas: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Metaposição 7

      Decodificador C embutido no zlib do Node, no Bun, no brotli do Python e nas builds do PHP 8.2–8.5 para Windows – CVE-2026-111497, RCE Node2Shell/HTTP2Shell em todos os ecossistemas

      Fonte ↗
    • Grokposição 5

      A própria biblioteca que forçou reconstruções de emergência do PHP no Windows em 26 de outubro de 2026; uma escrita fora dos limites crítica no decodificador se espalhou por Node, Python, .NET e PHP.

      Fonte ↗
    • Geminiposição 9

      Embutida nativamente no PHP e no Node.js para decodificação rápida de streams, onde uma escrita fora dos limites de outubro de 2026 forçou reconstruções binárias urgentes em várias versões.

      Fonte ↗
    • Novaposição 2

      Compressor do Google, com taxa de 4–5x, usado no PHP 8.2+, mas a CVE-2026-111497 transformou a descompressão num vetor de RCE.

    • StepFunposição 7

      A entrada mais nova desta lista, e a única que recebeu um bug de execução remota de código em um decodificador embutido no Node.js, Bun, PHP e Python ao mesmo tempo.

    • Kimiposição 9

      A biblioteca mais jovem daqui e já um RCE ao vivo sem autenticação – exatamente o padrão de 'descompressão de entrada', direto da história de contexto.

    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  5. 5

    Snappy

    Decodifica a 1.500 MB/s com taxa de 2,089 e dispensa totalmente a codificação de Huffman. Sua CVE conhecida (CVE-2023-43642) está no invólucro snappy-java, não no núcleo em C++.

    Incluíram: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Não incluíram: ChatGPT, Nova.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Wenxin

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  6. 6

    XZ / LZMA

    Maior taxa aqui (3,43 em um teste SquashFS do kernel), mas com decodificação de apenas 35 MB/s. Sua pior CVE, a CVE-2024-3094, com nota 10,0, foi uma porta dos fundos plantada de propósito, não um erro de análise.

    Incluíram: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Não incluíram: ChatGPT, Nova.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Wenxin

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  7. 7

    bzip2

    Descomprime a 34–90 MB/s conforme o teste, lento demais para HTTP em tempo real. Sua escrita fora dos limites de 2019 (CVE-2019-12900) tem nota 9,8 no NVD, mas 4,4 pela Red Hat.

    Incluíram: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Não incluíram: ChatGPT, Nova.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · Kimi: ver lista · DeepSeek: ver lista · Wenxin: ver lista · Qwen: ver lista

    O que cada IA notou 8
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Wenxin

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    8 IAs colocaram aqui
  8. 8

    LZO

    Feito para decodificação em tempo real: 217 MB/s e taxa de 2,64 em um teste SquashFS, com 780 MB/s afirmados em outro lugar. Seu estouro de inteiro de 2014 (CVE-2014-4607) mostrou como código antigo e rápido em C envelhece mal.

    Incluíram: Meta, Grok, Gemini, StepFun, DeepSeek. Não incluíram: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    Nas listas delas: Meta: ver lista · Grok: ver lista · Gemini: ver lista · StepFun: ver lista · DeepSeek: ver lista

    O que cada IA notou 5
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Grok

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Gemini

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • DeepSeek

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    5 IAs colocaram aqui
  9. 9

    Zopfli

    Deixa a saída do DEFLATE 3–8% menor, com cerca de 81–100 vezes o tempo de compressão. Não acrescenta superfície de ataque ao decodificador, porque qualquer cliente gzip consegue ler sua saída.

    Incluíram: StepFun, Kimi, Qwen. Não incluíram: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    Nas listas delas: StepFun: ver lista · Kimi: ver lista · Qwen: ver lista

    O que cada IA notou 3
    • StepFun

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Qwen

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    3 IAs colocaram aqui
  10. 10

    LZW (Unix compress)

    O codificador de dicionário dos anos 1980 por trás do compress do Unix e do GIF. Sua patente expirou em 20 de junho de 2003, e os navegadores nunca o decodificaram nativamente, então hoje não traz ganho de rede.

    Incluíram: Meta, Kimi. Não incluíram: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    Nas listas delas: Meta: ver lista · Kimi: ver lista

    O que cada IA notou 2
    • Meta

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    • Kimi

      Na própria lista tem outro nome: abra a lista completa.

      ver lista
    2 IAs colocaram aqui

Mais sobre os três primeiros ↓

02Mais sobre os três primeiros

O ranking está acima. Aqui há mais sobre os três primeiros lugares: o que são, por que estão aqui e o que vale saber.

Os três são ordenados por uma combinação de taxa de compressão, velocidade de descompressão e falhas no descompressor, então a velocidade sozinha não define a ordem: o LZ4 descomprime mais rápido, mas fica em terceiro. Velocidade e taxa vêm do mesmo teste Silesia, enquanto os números de participação na web (60% contra 29%) medem outra coisa

1Zstandard (zstd)

Nº 1 — Zstandard (zstd). Nas listas de 8 de 10 IAs; posição mediana ali: 1. Descomprime cerca de 3,6 vezes mais rápido que o Brotli, com uma taxa quase igual, e suas poucas falhas ficam fora do descompressor.

Você sabia?

  • Em 2018 a Canonical testou o zstd no nível 19 com pacotes .deb do Ubuntu. A descompressão foi bem mais rápida que a do xz, mas os pacotes ficaram cerca de 6% maiores. Depois, o Arch Linux disse que a troca para o zstd tornou a descompressão 14 vezes mais rápida, com aumento de 0,8% no tamanho.

O que é
Uma ferramenta de compressão rápida lançada pelo Facebook (Meta) em 2016.
Seu diferencial
Descomprime 3,6 vezes mais rápido que o Brotli, com uma taxa quase igual.
Para quem
Indicada para servidores que querem velocidade e arquivos pequenos; fica mais fraca onde navegadores ou CDNs não têm suporte.
  • Velocidade de descompressão e taxa1.550 MB/s de descompressão, taxa 2,896

Wikipédia · Wikidata

Por que está aqui
  • No teste oficial lzbench sobre o conjunto de arquivos Silesia, o zstd 1.5.7 descompacta dados a 1.550 MB/s. O Brotli 1.1.0 chega a 425 MB/s e o zlib a 390 MB/s. Isso dá cerca de 3,6 vezes mais que o Brotli.

  • A mesma tabela dá ao zstd a melhor taxa: 2,896. O Brotli tem 2,883, o zlib 2,743, o LZ4 2,101 e o Snappy 2,089. Ele comprime a 510 MB/s, contra 290 do Brotli e 105 do zlib.

Você sabia?
  • O Zstandard pode ir abaixo do nível 1. Seus níveis vão de menos 7, o mais rápido, até 22, o mais forte, mas o mais lento para comprimir. Assim, uma única ferramenta cobre tanto a compressão leve e rápida quanto a compressão muito pesada.

História
  • Em 2016 o Facebook (hoje Meta) lançou o Zstandard 1.0 sob licença BSD. Ele foi feito para ser mais rápido que o Deflate, o método por trás do zip e do gzip, que havia dado um bom equilíbrio entre velocidade e tamanho por duas décadas.

Para ter em mente
  • Para arquivos salvos uma vez e servidos muitas vezes, o Brotli no nível 11 ainda gerou os menores arquivos em um teste. Já o zstd no nível 19 comprimiu cerca de quatro vezes mais rápido.

  • O suporte nos navegadores é mais recente. O Chrome adicionou o zstd na versão 123 (2024). Na discussão do Chromium, o motor do Firefox (Gecko) ainda não tinha dado sinal, e muitas CDNs demoraram a acompanhar.

O que as pessoas dizem
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

Onde saber mais
  • Abra o README e vá até o título Benchmarks. Compare as linhas do zstd com as do Brotli, do zlib e do LZ4, e observe a velocidade de descompressão do zstd ao lado da sua taxa de compressão.

Comparar os três primeiros ↓

2gzip / DEFLATE (zlib)

Nº 2 — gzip / DEFLATE (zlib). Nas listas de 8 de 10 IAs; posição mediana ali: 2. Ainda comprime a maior parte do JavaScript da web e roda em qualquer lugar, mas é o mais lento dos três para descomprimir e tem uma falha crítica no descompressor.

Você sabia?

  • Mark Adler escreveu o código de descompressão do zlib junto com Jean-loup Gailly, que escreveu a compressão. Adler também trabalhou na missão Mars Exploration Rover, da NASA, liderando um estudo sobre o conceito que foi escolhido depois para a missão de 2003.

O que é
O método gzip clássico, presente em quase todas as linguagens e servidores web.
Seu diferencial
É o mais usado: comprime 60% do JavaScript da web, contra 29% do Brotli.
Para quem
Indicado para sistemas antigos que precisam funcionar em qualquer lugar; ruim para velocidade ou arquivos pequenos.
  • Velocidade de descompressão e taxa390 MB/s de descompressão, taxa 2,743

Wikipédia · Wikidata

Por que está aqui
  • O zlib 1.3.1 é o mais lento e o mais fraco dos três no teste oficial Silesia. Descomprime a 390 MB/s, contra 1.550 do zstd. Comprime a 105 MB/s, com taxa de 2,743.

  • O descompressor do zlib (inflate) tem uma falha grave, CVE-2022-37434, presente no zlib até a versão 1.2.12. Um campo grande no cabeçalho gzip pode causar estouro de buffer. Ela recebe nota 9,8 (crítica), e só programas que chamam inflateGetHeader são afetados.

História
  • A primeira versão pública do zlib, a 0.9, saiu em 1º de maio de 1995. Ela foi feita originalmente para a biblioteca de imagens libpng e escrita por Jean-loup Gailly e Mark Adler.

Qwen o colocaram em primeiro. O que viram nele
  • Qwen: O pulmão invisível da internet, que comprime 90% do tráfego web enquanto deixa discretamente CVEs de corrupção de memória a cada poucos anos.

Comparar os três primeiros ↓

3LZ4

Nº 3 — LZ4. Nas listas de 8 de 10 IAs; posição mediana ali: 4. O descompressor mais rápido de longe, mas sua taxa baixa significa arquivos maiores, e ele tem uma falha real no descompressor.

Você sabia?

  • O LZ4 está embutido no kernel Linux desde a versão 3.11. FreeBSD, Illumos, ZFS no Linux e ZFS-OSX também o usam para compressão em tempo real nos seus sistemas de arquivos ZFS.

O que é
Um compressor muito simples, feito para velocidade, lançado em 2011.
Seu diferencial
Descomprime a 3.850 MB/s, cerca de 2,5 vezes mais rápido que o zstd.
Para quem
Indicado para tarefas em que velocidade vale mais que tamanho; não serve para enviar arquivos pela web.
  • Velocidade de descompressão e taxa3.850 MB/s de descompressão, taxa 2,101

Wikipédia · Wikidata

Por que está aqui
  • O LZ4 1.10.0 descomprime a 3.850 MB/s, o mais rápido no teste oficial Silesia. Isso é cerca de 2,5 vezes os 1.550 MB/s do zstd. O custo é uma taxa de 2,101, contra 2,896 do zstd, então os arquivos ficam maiores.

  • O LZ4 tem uma falha no descompressor, CVE-2021-3520. Um arquivo feito de propósito pode causar estouro de inteiro e uma escrita fora dos limites. A NVD dá nota 9,8, enquanto a Red Hat dá 8,6.

    Fonte ↗ ✓ confirmado por várias IAs
Você sabia?
  • O LZ4 não tem uma etapa de codificação por entropia, ao contrário do DEFLATE, que usa codificação Huffman. Cada trecho de dados começa com um token de um byte. Ele é dividido em duas metades de 4 bits, uma para a contagem de literais e outra para o comprimento da correspondência.

História
  • Em 2011 Yann Collet lançou o LZ4 apenas uma ou duas semanas depois de o Google abrir o código do Snappy, um compressor rápido parecido. O LZ4 depois superou o Snappy em velocidade.

O que as pessoas dizem
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

Onde saber mais
  • Abra o README na seção Benchmarks. Veja como o LZ4 descomprime mais rápido e depois observe sua taxa de compressão. Essa taxa menor é o preço: arquivos maiores para enviar pela web.

Comparar os três primeiros ↓

Os três primeiros lado a lado

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
Nas listas das IAs8 / 108 / 108 / 10
Velocidade de descompressão e taxa1.550 MB/s de descompressão, taxa 2,896390 MB/s de descompressão, taxa 2,7433.850 MB/s de descompressão, taxa 2,101
Primeiro paraNovaQwen—

Posições com o mesmo número de IAs são ordenadas pela posição média nas listas das IAs.

03Vale a pena saber

O que as IAs perceberam ao montar a lista.

A diferença de taxa entre zstd e Brotli depende do conjunto de teste: 0,4% no Silesia (2,896 contra 2,883), mas 7% nos recursos da Cloudflare (2,86 contra 3,08), onde o dicionário web embutido do Brotli ajuda.

Perceberam:
Incluíram: Meta, Grok, StepFun, DeepSeek. Não incluíram: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
Fonte ↗

Ir do nível 1 ao nível 11 do Brotli eleva a taxa de 2,53 para 3,88 no enwik8, enquanto a velocidade de compressão cai de 111,72 MB/s para 0,35 MB/s.

Perceberam:
Incluíram: ChatGPT. Não incluíram: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
Fonte ↗

A CVE-2026-111497 atingiu todas as versões do Brotli de 1.0.3 a 1.2.0, em todas as plataformas. Chegou aos ambientes de execução por cópias embutidas em pacotes do Node.js, do Bun, do PHP e do Python.

Perceberam:
Incluíram: Meta, Grok, StepFun, Kimi. Não incluíram: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
Fonte ↗

Os números em MB/s divergem de teste para teste: a tabela do zstd dá 1.550 contra 425 MB/s para zstd e Brotli, enquanto o mantenedor do zstd informa cerca de 700 contra 500 MB/s em páginas da web.

Perceberam:
Incluíram: Meta, StepFun, DeepSeek. Não incluíram: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
Fonte ↗

04O que as pessoas perguntam

O que é um algoritmo de compressão?

Um método que guarda dados em menos bits eliminando redundância. Codecs sem perdas, como o zstd, reduzem o conjunto de teste Silesia na taxa de 2,896 e o restauram exatamente.

Fonte ↗
Como funcionam os algoritmos de compressão?

Eles trocam sequências repetidas por referências a trechos anteriores (LZ77) e depois codificam o resultado por entropia, com Huffman ou FSE. O Brotli também usa um dicionário embutido de cerca de 120 KB com fragmentos comuns da web.

Qual é o algoritmo de compressão mais poderoso?

Em taxa de compressão, LZMA/xz e Brotli nas configurações máximas. O Brotli no nível 11 chega a 3,88:1 no enwik8, mas comprime a apenas 0,35 MB/s.

Por que os testes de compressão divergem?

Os resultados mudam conforme o conjunto de dados, o nível e a máquina. O mesmo par zstd e Brotli na decodificação mede 1.550 contra 425 MB/s em um teste e cerca de 700 contra 500 MB/s em outro.

Fonte ↗

05Como contamos

Em palavras simples, sem fórmulas.

1A pergunta

Top 10 algoritmos de compressão de dados para a web, por eficiência de rede versus superfície de ataque à memória

2Onde se aplica

padrões web globais e engenharia de protocolos de rede

3O que analisamos

  • Velocidade de descompressão e redução do volume transferido em relação ao HTTP puro
  • Complexidade estrutural de análise e densidade histórica de vulnerabilidades nos decodificadores de referência em C
  • Teste oficial do Zstandard (lzbench, conjunto Silesia, i7-9700K) — taxa de compressão e velocidade de compressão e descompressão em MB/s para zstd, Brotli, zlib, LZ4 e Snappy
  • Teste de recursos da web da Cloudflare (via OpenReplay) — taxa média de compressão em recursos reais da web: gzip 2,56, zstd 2,86, Brotli 3,08
  • HTTP Archive, Web Almanac 2024 — qual codec de fato comprime as respostas da web coletadas por rastreamento
  • National Institute of Standards and Technology (NVD) / OpenCVE — CVEs de corrupção de memória e de negação de serviço (DoS) no decodificador de referência em C de cada codec

4Quem classificou

As IAs líderes: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Cada uma montou sua própria lista de dez de forma independente e indicou uma fonte para cada posição.

5Como as posições foram definidas

O mesmo item escrito de formas diferentes por IAs diferentes foi contado como um só. Quanto mais IAs o colocaram na lista, e quanto mais alto, mais alta a posição. "Acordo das IAs" mostra quantas IAs tinham o item na própria lista. As fontes são apenas as que as próprias IAs encontraram; nada foi acrescentado à mão.

06A lista de cada IA

🇺🇸 ChatGPT10 posições · 3 notas

A mesma pergunta, respondida só por ChatGPT. A lista final acima combina todas as IAs.

  1. 1
    Brotli (br)

    O vencedor voltado à web tem uma nota incômoda: um fluxo malformado expôs uma falha de decodificador com CVSS 3.1 e nota 9,8.

  2. 2
    Zstandard (zstd)

    Uma alternativa moderna e rápida pode decodificar a quase 479 MiB/s em um teste de corpus publicado, embora isso não seja uma garantia específica de HTTP.

  3. 3
    Gzip / DEFLATE

    O campeão de compatibilidade continua convincente: em um benchmark de texto, gzip -6 e zstd 3 produziram a mesma saída de 1,48 MB, mas o zstd terminou a compressão mais rápido.

  4. 4
    LZ4

    Em um teste de corpus misto, o LZ4 decodificou a 742,106 MiB/s, ilustrando o apelo da velocidade quando a economia de banda é secundária.

    Fonte ↗
  5. 5
    Snappy

    O Snappy prioriza velocidade de descompressão e integração simples em vez de espremer cada byte de um payload.

    Fonte ↗
  6. 6
    Deflate (fluxo DEFLATE bruto)

    Remover o wrapper do gzip não muda a codificação DEFLATE subjacente, mas muda o contrato de empacotamento e as expectativas de interoperabilidade.

  7. 7
    LZMA / XZ

    A taxa pode ser excelente, mas um teste de texto publicado levou 1.771 ms para comprimir 10,07 MB com o xz -6.

  8. 8
    Bzip2

    Sua abordagem por ordenação de blocos pode reduzir o tamanho em relação ao gzip em alguns corpora, mas o decodificador é muito mais lento que os codecs rápidos modernos no teste citado.

  9. 9
    LZHAM

    Sua presença em comparações amplas de codecs o torna uma boa referência de alta compressão, mas não é uma escolha padrão de codificação de conteúdo HTTP.

    Fonte ↗
  10. 10
    LZHAM / modos de alta compressão da família LZMA

    No extremo, a taxa extra costuma custar muito mais tempo e memória do encoder, o que o torna uma opção ruim como padrão para respostas web sensíveis à latência.

    Fonte ↗

O que ChatGPT percebeu

Zstandard e LZ4 podem ser atraentes quando o custo de CPU importa: o teste de corpus misto citado registra 478,733 MiB/s de descompressão para o zstd e 742,106 MiB/s para o LZ4, com o LZ4 entregando uma taxa pior nesse teste.

O incidente do Brotli de outubro de 2026 lembra que a taxa de compressão do encoder não diz nada sobre o decodificador rejeitar com segurança entradas malformadas.

O risco de um algoritmo de descompressão não se mede só pela contagem de CVEs: um único bug de decodificador na causa raiz pode afetar muitos pacotes de linguagem, e negações de serviço e corrupções de memória têm consequências diferentes.

🇺🇸 Meta10 posições

A mesma pergunta, respondida só por Meta. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL (libssl, libcrypto)

    Embutido no Node.js, Python, PHP 8.x, .NET 8/9/10 – 69,3% da web PHP ainda roda nele, 14 vulnerabilidades corrigidas em setembro de 2026, incluindo a CVE-2026-84782, CVSS 8,2, vazamento de heap no DTLS

  2. 2
    zlib (libz)

    82% dos sites servem gzip via zlib – no gzip do PHP e do Python, no zlib do Node, no Zlib do Ruby, em toda build do Nginx – estouro de heap pelo campo extra gigante do cabeçalho gzip, CVE-2022-37434

  3. 3
    libcurl

    Alimenta a descompressão automática do cURL + CURLOPT_ENCODING no PHP, que disparou a RCE do Brotli; o Guzzle define "" por padrão – 33 CVEs num scan de SBOM, 6 críticas numa auditoria

    Fonte ↗
  4. 4
    libxml2

    Parser de XML no DOM do PHP, lxml do Python e .NET – 17 vulnerabilidades na 2.9.10 segundo o cvedetails, 4 negações de serviço no Ubuntu USN-7974-1, CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    Motor de regex por trás do preg_ do PHP, do re do Python e do Nginx – CVE-2007-1660, estouro de buffer por várias formas de classe de caracteres; CVE-2008-2371, estouro de heap no pcre_compile

  6. 6
    SQLite (libsqlite3)

    Banco de dados embutido no PDO do PHP, no sqlite3 do Python e no sqlite do Node – CVE-2026-51297, RCE por uso após liberação na análise de JSON; CVE-2019-5018, CVSS 8,1, remota via SQL malformado

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Decodificador C embutido no zlib do Node, no Bun, no brotli do Python e nas builds do PHP 8.2–8.5 para Windows – CVE-2026-111497, RCE Node2Shell/HTTP2Shell em todos os ecossistemas

    Fonte ↗
  8. 8
    libpng

    Decodificador PNG no GD do PHP, no Pillow do Python e no System.Drawing do .NET – 5 CVEs no lote de outubro de 2025: CVE-2025-64505/64506/64720/65018/66293, estouro de heap

    Fonte ↗
  9. 9
    libjpeg-turbo

    Codec JPEG no GD do PHP, no Pillow do Python e no sharp do Node – CVE-2018-20330, estouro de inteiro e de heap no tjLoadImage via pitchheight de BMP

  10. 10
    Expat (libexpat)

    Parser de XML no xml.parsers.expat do Python, no xml2js do Node e no XML do PHP – CVE-2022-40674, uso após liberação de heap; CVE-2023-52426 etc., alimenta feeds RSS/Atom

🇺🇸 Grok10 posições · 1 notas

A mesma pergunta, respondida só por Grok. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL

    O cavalo de trabalho criptográfico por trás de praticamente toda conexão HTTPS; mais de 110 CVEs registradas, com um fluxo constante de problemas de memória de alta gravidade mesmo em 2026.

  2. 2
    zlib

    Vinculada a quase todo runtime de linguagem e servidor web; um punhado de estouros de heap críticos (incluindo os de 2022 e 2026) ainda aparece, apesar de décadas de auditoria.

  3. 3
    libcurl

    A biblioteca cliente HTTP embutida no PHP, no Python, em muitos complementos do Node e em inúmeros backends; fluxo contínuo de CVEs de segurança de memória, algumas de alta gravidade em 2026.

  4. 4
    libxml2

    Núcleo de análise de XML para PHP, Python, muitas pilhas Java e Ruby; fonte persistente de problemas de uso após liberação e de buffer, que regularmente recebem CVSS 7–9.

  5. 5
    Brotli (libbrotli)

    A própria biblioteca que forçou reconstruções de emergência do PHP no Windows em 26 de outubro de 2026; uma escrita fora dos limites crítica no decodificador se espalhou por Node, Python, .NET e PHP.

    Fonte ↗
  6. 6
    libpng

    Decodificador de imagem onipresente, ainda exigido por quase todo runtime web que serve ou processa PNGs; o histórico de estouros de buffer continua, em volume menor que o dos parsers acima.

    Fonte ↗
  7. 7
    SQLite

    Embutida em praticamente todo runtime de linguagem e em muitos frameworks web; problemas de segurança de memória são mais raros que nos parsers de rede, mas ainda aparecem e têm alto impacto quando isso acontece.

  8. 8
    libjpeg / libjpeg-turbo

    Caminho de decodificação JPEG presente em quase toda pilha web de processamento de imagens; estouros críticos periódicos o mantêm na lista de observação.

  9. 9
    Expat (libexpat)

    Parser de XML leve, ainda usado por muitas pilhas em C e extensões de linguagem; superfície menor que a do libxml2, mas não imune à corrupção de memória.

  10. 10
    PCRE / PCRE2

    Motor de expressões regulares embutido no PHP, no Nginx e em muitos runtimes; a lógica complexa de correspondência já gerou vários problemas de memória de alta gravidade ao longo dos anos.

O que Grok percebeu

OpenSSL, zlib e libcurl continuam entre os três componentes de software mais implantados do planeta; o histórico combinado de CVEs mostra que o código C de alto desempenho segue sendo o principal risco residual, mesmo dentro dos ecossistemas de linguagens 'seguras em memória'.

🇺🇸 Gemini10 posições · 1 notas

A mesma pergunta, respondida só por Gemini. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL (libcrypto / libssl)

    Protege o tráfego TLS em mais de 80% dos servidores HTTPS, mas uma única verificação de limites ausente em 2014 vazou a memória privada da web inteira.

  2. 2
    zlib (libz)

    Vinculada silenciosamente aos runtimes Node.js, Python e PHP, deixando 47,1% das respostas de servidores HTTP dependentes de um modelo de memória de 30 anos.

  3. 3
    cURL (libcurl)

    Carrega bilhões de chamadas automáticas de API de backend por dia, mas um único estouro de heap no SOCKS5 em 2023 expôs microsserviços modernos a sequestro remoto.

    Fonte ↗
  4. 4
    libxml2

    Analisa documentos não confiáveis por trás do lxml do Python, do Nokogiri do Ruby e do DOM do PHP, acumulando mais de 100 falhas históricas de segurança de memória pelo caminho.

  5. 5
    PCRE / PCRE2

    Executa expressões regulares em regras de reescrita do Nginx e no motor preg do PHP, onde padrões de recursão aninhada disparam com frequência escritas de heap fora dos limites.

  6. 6
    glibc (GNU C Library)

    Forma a camada de chamadas de sistema raiz de todo contêiner web Linux padrão, onde um estouro no ld.so, o vinculador dinâmico, concedeu root local sem autenticação.

  7. 7
    SQLite (libsqlite3)

    Incorpora um motor SQL completo dentro do PDO do PHP, do sqlite3 do Python e dos runtimes Node.js, criando caminhos de corrupção de memória por meio de tabelas virtuais elaboradas.

  8. 8
    ICU (libicu)

    Gerencia a colação Unicode nos módulos intl do Node.js e do PHP com tabelas de análise tão intrincadas que estouros de inteiros levam a execução arbitrária de código.

  9. 9
    Brotli (libbrotli)

    Embutida nativamente no PHP e no Node.js para decodificação rápida de streams, onde uma escrita fora dos limites de outubro de 2026 forçou reconstruções binárias urgentes em várias versões.

    Fonte ↗
  10. 10
    ImageMagick (libMagickCore)

    Entrega avatares e mídias enviados por usuários a decodificadores C legados, disparando incidentes recorrentes de corrupção de memória e injeção remota de comandos.

    Fonte ↗

O que Gemini percebeu

Linguagens de servidor de alto nível garantem segurança de memória no código da aplicação, mas delegar a análise de bytes a bibliotecas C/C++ fundamentais significa que mais de 80% das vulnerabilidades de execução remota de código ocorrem abaixo da fronteira do runtime da linguagem.

🇺🇸 Nova5 posições · 2 notas

A mesma pergunta, respondida só por Nova. A lista final acima combina todas as IAs.

  1. 1
    Zstandard (Zstd)

    Descomprime a 200–400 MB/s com taxa de compressão de 2,5–3,5x, mas sua falha de validação de stream de 2026 elevou o risco de negação de serviço (DoS).

    Fonte ↗
  2. 2
    Brotli

    Compressor do Google, com taxa de 4–5x, usado no PHP 8.2+, mas a CVE-2026-111497 transformou a descompressão num vetor de RCE.

  3. 3
    Gzip (DEFLATE)

    O compressor original da web, que ainda cuida de 80% do tráfego HTTP com taxa de 1,5–2x, mas sofre com falhas históricas do zlib.

    Fonte ↗
  4. 4
    LZ4

    O descompressor mais rápido, com mais de 500 MB/s, mas com taxa de só 1,5–2x; sua simplicidade evita as vulnerabilidades complexas vistas no Brotli/Zstd.

    Fonte ↗
  5. 5
    Zlib (gzip/deflate)

    Biblioteca central do Gzip, com falhas históricas de leitura fora dos limites (CVE-2022-37434), mas ainda a aposta mais segura para sistemas legados.

O que Nova percebeu

As zero CVEs e a descompressão de 512 MB/s do LZ4 fazem dele a escolha de alto desempenho mais segura, mas sua taxa de 1,6x limita a economia de banda.

O Zstd oferece o melhor equilíbrio entre velocidade (321 MB/s) e taxa (2,87x), mas sua falha de DoS de 2026 prova que até algoritmos modernos não são imunes a ataques de casos extremos.

🇨🇳 StepFun10 posições · 1 notas

A mesma pergunta, respondida só por StepFun. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL (libssl / libcrypto)

    330 CVEs registradas e um único aviso de janeiro de 2026 que trouxe 12 de uma vez – toda conexão HTTPS da web passa por ela.

    Fonte ↗
  2. 2
    zlib (libz)

    19 CVEs, e um estouro de heap no inflate() que ficou no caminho padrão do gzip do HTTP até a 1.2.12.

  3. 3
    libcurl

    PHP, Python e Ruby a distribuem, e o estouro de heap no SOCKS5 que recebeu nota 9,8 da NVD.

    Fonte ↗
  4. 4
    libxml2

    116 CVEs, e um estouro de inteiro que se espalhou para PHP e Swift ao mesmo tempo.

    Fonte ↗
  5. 5
    PCRE2

    Os preg_* do PHP e os blocos location do nginx são regex em C – 19 CVEs só no produto PCRE2, 66 na família PCRE mais ampla.

    Fonte ↗
  6. 6
    SQLite3

    87 CVEs no contador – e uma página do mantenedor argumentando que a maioria delas não se aplica a você.

  7. 7
    Brotli (decodificador C do Google)

    A entrada mais nova desta lista, e a única que recebeu um bug de execução remota de código em um decodificador embutido no Node.js, Bun, PHP e Python ao mesmo tempo.

  8. 8
    libexpat

    70 CVEs no parser de XML em streaming que a biblioteca padrão do Python e uma longa cauda de serviços C++ vinculam.

  9. 9
    libjpeg-turbo

    Todo avatar enviado na web passa por um decodificador JPEG em C com 17 CVEs por trás.

  10. 10
    glibc (GNU C Library)

    A base de todo processo PHP, Node.js, Python, Ruby e .NET no Linux – 168 CVEs num espelho, 13 em outro, para a mesma consulta.

O que StepFun percebeu

O cURL é o caso mais claro de discordância na medição: o projeto conta 146 correções de segurança no histórico e seu autor afirma que só duas CVEs de gravidade ALTA foram publicadas desde 2021, enquanto um analisador independente (AISLE) encontrou seis CVEs adicionais que os sistemas de IA de ponta deixaram passar por completo.

🇨🇳 Kimi10 posições · 1 notas

A mesma pergunta, respondida só por Kimi. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL

    Uma biblioteca C por trás de cerca de 90% do tráfego criptografado da web, com um histórico ininterrupto de avisos de CVE de 2002 a 2026.

  2. 2
    zlib

    Embutida no PHP, no Node, no Python e no cURL – e até vinculada dentro do próprio OpenSSL; seu pior bug no inflate() recebeu nota 9,8.

  3. 3
    libcurl

    A biblioteca cliente HTTP por trás da extensão cURL do PHP arrasta outras cinco bibliotecas C para cada instalação – e continua lançando suas próprias CVEs.

    Fonte ↗
  4. 4
    libxml2

    O parser de XML do PHP absorveu cinco CVEs de corrupção de memória só em uma atualização de 2025 – usos após liberação, confusão de tipos e um estouro de pilha.

  5. 5
    libexpat

    O parser SAX dentro do Python e de inúmeras ferramentas corrigiu 14 vulnerabilidades numa única versão de junho de 2026.

  6. 6
    nghttp2

    A implementação de referência em C do HTTP/2 – vinculada ao cURL e ao PHP – é dona das classes de CVE Rapid Reset e de inundação de CONTINUATION.

    Fonte ↗
  7. 7
    PCRE2

    Toda chamada preg_* do PHP roda este motor de regex em C – cujo compilador JIT transformou padrões criados em leituras fora dos limites com CVSS 9,1.

    Fonte ↗
  8. 8
    SQLite

    Dentro do PHP, do Python e de todo navegador – tão limpa que as CVEs 'críticas' de 2026 abertas contra ela foram desmentidas como lixo gerado por IA.

  9. 9
    Brotli (libbrotli)

    A biblioteca mais jovem daqui e já um RCE ao vivo sem autenticação – exatamente o padrão de 'descompressão de entrada', direto da história de contexto.

  10. 10
    GnuTLS

    O TLS padrão da família RHEL: um double free na verificação de certificados, achado pelo Project Zero, é a sua classe de bug característica.

O que Kimi percebeu

A própria contagem de CVEs está se deteriorando como medida: a NVD passou a um enriquecimento seletivo em meio a 44.509 divulgações em 2025 (alta de 263% em volume desde 2020), e em 2026 CVEs fabricadas do SQLite receberam nota 9,8–10,0 antes de serem desmentidas.

🇨🇳 DeepSeek10 posições

A mesma pergunta, respondida só por DeepSeek. A lista final acima combina todas as IAs.

  1. 1
    OpenSSL 2026

    296 CVEs, 40 com nota 9,0+ e 27 na faixa 7,0–8,9 – nenhuma outra biblioteca C compartilhada combina essa presença na implantação com essa densidade de histórico de corrupção de memória remota.

  2. 2
    zlib 2026

    19 CVEs desde 2002, 9 com exploits públicos, e um estouro de heap no inflate com CVSS 9,8 – o descompressor por trás do gzip, do PNG e de inúmeras pilhas HTTP.

  3. 3
    libxml2 2026

    133 CVEs registradas – um parser de XML com mais falhas documentadas de corrupção de memória do que a maioria dos kernels de sistemas operacionais, carregado silenciosamente por runtimes de PHP, Python e Ruby.

  4. 4
    libcurl 2026

    O cliente HTTP universal: 18 CVEs corrigidas numa única versão de junho de 2026, incluindo um bug de memória de 25 anos, e está embutido nos runtimes PHP, Node.js e Python.

  5. 5
    glibc 2026

    162 CVEs na glibc, a biblioteca C básica do Linux: a dependência compartilhada mais profunda possível, incluindo um estouro de buffer na pilha em ld.so acessível em programas setuid.

  6. 6
    libpng 2026

    Toda imagem PNG que passa por um runtime web toca o libpng; só em 2026 surgiram um estouro de buffer na heap e um uso após liberação no tratamento de chunks.

    Fonte ↗
  7. 7
    libjpeg-turbo 2026

    17 CVEs numa biblioteca que decodifica quase todo JPEG da web; um estouro de buffer na heap em 2026, na amostragem ascendente combinada, mostra que a superfície de ataque da decodificação de imagens segue ativa.

    Fonte ↗
  8. 8
    PCRE2 2026

    O motor de regex dentro do PHP e de muitos servidores web; em 2026 surgiram uma escrita fora dos limites causada por estouro de inteiro e uma falha de corrupção de memória no JIT, no pcre2_jit_match.

    Fonte ↗
  9. 9
    SQLite 2026

    O banco de dados padrão do PHP e de runtimes móveis e web; uma página FTS5 malformada pode disparar uma leitura fora dos limites e um estouro de buffer na heap no mecanismo de busca em texto completo.

  10. 10
    nghttp2 2026

    A pilha HTTP/2 em C por trás do cURL, do Node.js e de muitos proxies reversos; o tratamento de frames malformados gerou uma negação de serviço remota e uma CVE de validação de estado em 2026.

    Fonte ↗
🇨🇳 Wenxin10 posições

A mesma pergunta, respondida só por Wenxin. A lista final acima combina todas as IAs.

  1. 1
    zlib

    Implantado em 99% de todos os servidores web e runtimes como implementação base do DEFLATE, com mais de 12 falhas de memória documentadas com CVSS 8.0+ em 20 anos de uso público

  2. 2
    Núcleo de execução do PHP (implementação em C)

    Alimenta 70% dos sites do mundo nos servidores web, com três novas falhas de corrupção de memória sem autenticação, com CVSS 9.0+, divulgadas publicamente só em outubro de 2026

  3. 3
    OpenSSL

    Biblioteca de terminação TLS usada por 98% de todos os servidores web HTTPS, com um longo histórico de falhas remotas críticas de memória, incluindo a leitura fora dos limites CWE-125 do Heartbleed, de 2014

  4. 4
    libc (glibc)

    Biblioteca padrão C do sistema da qual dependem todos os runtimes web do Linux, com falhas críticas como o Ghost de 2016 (CVE-2015-0235), que permitiu execução remota de código sem autenticação

  5. 5
    libbrotli

    Biblioteca decodificadora do Brotli, agora embutida no .NET, no Node.js e nos servidores Apache, com um PoC público de RCE (CVE-2026-111497) publicado no GitHub um dia antes de 27 de outubro de 2026

    Fonte ↗
  6. 6
    libcurl

    Biblioteca de transferência de URL embutida em quase todo runtime do lado do servidor que faz requisições HTTP de saída, com 27 falhas documentadas de corrupção de memória com CVSS 8.0+ em seu histórico

    Fonte ↗
  7. 7
    SQLite

    Biblioteca de banco de dados embutido, pré-instalada no PHP, Python, Node.js e Ruby, com um histórico consistente de falhas remotas de memória na análise de SQL não confiável

  8. 8
    libxml2

    Biblioteca de análise de XML usada por quase todos os frameworks web do lado do servidor, responsável por dezenas de falhas históricas de XXE remoto e estouro de buffer no processamento de XML não confiável

  9. 9
    zstd (libzstd)

    Biblioteca de compressão moderna, de nova geração, agora incluída no Nginx de 2026, no Node.js 22+ e em runtimes web atuais, com apenas 3 CVEs críticas documentadas até hoje, devido à sua base de código mais jovem

    Fonte ↗
  10. 10
    libpng

    Biblioteca de decodificação de imagens PNG embutida em todas as linguagens de backend que processam imagens enviadas por usuários, com 18 falhas críticas públicas de estouro de buffer desde a sua primeira versão, em 1995

    Fonte ↗
🇨🇳 Qwen10 posições · 1 notas

A mesma pergunta, respondida só por Qwen. A lista final acima combina todas as IAs.

  1. 1
    zlib

    O pulmão invisível da internet, que comprime 90% do tráfego web enquanto deixa discretamente CVEs de corrupção de memória a cada poucos anos.

    Fonte ↗
  2. 2
    OpenSSL (libssl)

    A base criptográfica que protege a web, mas sua enorme base de código C é um alvo perpétuo de corrupções catastróficas de heap, como o Heartbleed.

    Fonte ↗
  3. 3
    libcurl

    O motor universal de transferência de dados para runtimes de backend, recentemente flagrado tratando estados de dependência de streams HTTP/2 com lógica perigosa de uso após liberação.

    Fonte ↗
  4. 4
    libxml2

    O parser que processa payloads SOAP e XML não confiáveis, desencadeando o estouro de buffer na heap do PHP2Shell, de outubro de 2026, nos wrappers de stream.

    Fonte ↗
  5. 5
    libuv

    O batimento assíncrono do Node.js, que gerencia pools de threads e E/S de arquivos, às vezes tropeçando em condições de corrida no gerenciamento de memória em nível C.

    Fonte ↗
  6. 6
    libsqlite3

    O motor de banco de dados mais implantado do mundo, que executa em silêncio máquinas de estado de SQL complexas dentro de frameworks web, sem limites seguros de memória.

    Fonte ↗
  7. 7
    libpng

    O decodificador de imagem que confia implicitamente nos cabeçalhos de pixels, permitindo historicamente grandes corrupções de heap a partir de um único upload malformado.

    Fonte ↗
  8. 8
    libjpeg

    Transformando transformadas discretas de cosseno em buffers de memória, esta biblioteca resistiu a décadas de wraparounds de inteiros em cabeçalhos de imagem não confiáveis.

    Fonte ↗
  9. 9
    libicu

    Gerencia a imensa complexidade da colação Unicode em C, expondo ocasionalmente estouros de buffer profundos ao analisar strings internacionais malformadas.

    Fonte ↗
  10. 10
    PCRE (Perl Compatible Regular Expressions)

    Avaliar padrões de regex recursivos em C convida ao backtracking catastrófico e a estouros de pilha quando alimentado com strings de busca criadas com malícia.

    Fonte ↗

O que Qwen percebeu

As correções de emergência do PHP de outubro de 2026 mostram que linguagens seguras em memória como o PHP ainda delegam a análise de bytes de rede não confiáveis a bibliotecas nativas em C, como o Brotli e o libxml2, criando um atrito sistêmico.