Git, TypeScript 7.1 e Brotli: o guia para atualizar a stack sem derrubar produção

Em resumo

Atualizar a stack em novembro de 2026 significa coordenar três frentes que mudaram ao mesmo tempo: o compilador do TypeScript↳TypeScript23 conteúdosTypeScript: ReadonlyArrayDev (Back & Front) · jun 2019Onde usar ANY no TypeScriptDev (Back & Front) · out 2025Tudo sobre o Node rodar TypeScript nativamente!Dev (Back & Front) · jul 2025Ver tudo em Dev (Back & Front) → trocou de motor e está recuperando sua API, o Git e o GitHub passaram a ter agentes de IA↳Agentes de IA42 conteúdosOpera passa a integrar ChatGPT, Claude e outros agentes de IADev (Back & Front) · mar 2026Operações mais inteligentes, decisões mais rápidas: o impacto da IA agêntica na rotina de TIAI · abr 2026Adobe aposta em orquestração de agentes de IA: o que muda para devsDev (Back & Front) · abr 2026Ver tudo em AI → escrevendo código e abrindo pull requests, e uma vulnerabilidade crítica no Brotli (CVE-2026-111497) afeta bibliotecas usadas pelo Node.js e por appliances de rede. A resposta para quem não pode parar produção é sequenciar: primeiro corrigir a falha de segurança, depois migrar o TypeScript em etapas reversíveis, só então habilitar automação agêntica com permissões mínimas.

• O Brotli entre as versões 1.0.3 e 1.2.0 tem um buffer overflow (CWE-787) com severidade 9.2 segundo a Palo Alto Networks, corrigido nas versões 1.0.10, 1.1.1 ou 1.2.1.
• TypeScript 7.0, lançado em julho de 2026, é até 10 vezes mais rápido segundo o benchmark da própria Microsoft, mas quebrou a API programática usada por ts-morph, typescript-eslint e bundlers.
• TypeScript 7.1 beta, anunciado em 20 de outubro de 2026, devolve essa API em módulos separados e traz os content mappers, que já aceleraram o type-check de um projeto Vue em 4,6 vezes segundo a InfoQ.
• GitHub Agentic Workflows saiu de preview e virou GA em 28 de outubro de 2026, com agentes rodando em contêineres isolados e permissões de escrita restritas a "safe outputs" declarados.

1. Por que a ordem das três atualizações importa

Nenhuma das três mudanças é opcional para quem mantém uma stack Node.js ou TypeScript em produção em 2026, mas elas têm urgências diferentes. A falha no Brotli é uma vulnerabilidade de rede, sem necessidade de interação do usuário, segundo a classificação CVSS 4.0 publicada pela Palo Alto Networks: attack vector NETWORK, user interaction NONE, privileges required NONE. Isso a torna candidata a exploração automatizada assim que um exploit público aparecer, mesmo que a empresa afirme não ter conhecimento de exploração ativa até a data da consulta.

Já a migração para TypeScript 7 é uma decisão de engenharia, não uma emergência: o guia de migração publicado em gist por Nafis Kabbo deixa claro que a TypeScript 6.x continua instalável em paralelo via o pacote de compatibilidade @typescript/typescript6, então não há prazo de corte. E a adoção de agentes do GitHub é uma escolha de processo, reversível a qualquer momento ao desligar o workflow.

A recomendação prática, portanto, é tratar a correção do Brotli como P0 (dias), a migração do TypeScript como projeto de sprint (semanas, com paralelismo entre versões) e os agentes do GitHub como piloto controlado (um workflow de baixo risco primeiro, como relatório diário, antes de liberar criação de pull requests).

2. A falha no Brotli: o que checar primeiro

A CVE-2026-111497 é um buffer overflow no decodificador Brotli (arquivo c/dec/decode.c) que afeta as versões 1.0.3 a 1.2.0 em qualquer plataforma, segundo o advisory da Palo Alto Networks. Um atacante remoto não autenticado pode corromper memória adjacente do decodificador, vazar conteúdo de memória, causar negação de serviço ou, potencialmente, executar código arbitrário usando um stream comprimido malicioso. O próprio advisory cita que o Brotli é usado por muitas aplicações baseadas em HTTP, incluindo o Node.js.

O primeiro passo é descobrir se a aplicação decodifica Brotli vindo de fontes não confiáveis, seja via middleware HTTP, seja via biblioteca nativa embutida em runtime. Em ambientes com appliances de borda, o advisory orienta checar a configuração antes de aplicar qualquer patch:

# Em PAN-OS 11.2.4 ou superior, via CLI
show system setting brotli

# Se a saída mostrar "Enabled: yes", o dispositivo está exposto
# Mitigação imediata, sem reinício de serviço:
set system setting brotli-encoding disable

Para aplicações Node.js que empacotam Brotli como dependência nativa ou via biblioteca do sistema, a correção é atualizar para 1.0.10, 1.1.1 ou 1.2.1, conforme a tabela de versões afetadas do próprio advisory. Isso não exige downtime se a atualização for feita por rolling deploy, já que o Brotli é usado apenas na camada de compressão de resposta, não no estado da aplicação.

3. TypeScript 7.0 e 7.1: o que muda de fato

Segundo o anúncio da Microsoft, o TypeScript 7.0 (lançado em 8 de julho de 2026) é um porte fiel do compilador para Go, não um redesenho: a checagem de tipos permanece estruturalmente idêntica à versão 6.0. O ganho de performance é relevante. No benchmark da própria Microsoft, citado pelo devblog, o código do VS Code, com cerca de 1,5 milhão de linhas, caiu de aproximadamente 78 segundos para 7,5 segundos de type-check completo, um fator de 10x. O artigo da dev.to detalha que o ganho vem de duas fontes: execução nativa (sem overhead de JIT e runtime do Node.js) e paralelismo entre workers, cada uma respondendo por cerca de metade do ganho segundo Anders Hejlsberg.

A dor da migração para 7.0 veio de outro lado: o compilador deixou de expor a API programática usada por ferramentas como ts-morph, typescript-eslint e plugins de bundlers. Isso ficou sem solução estável por três meses, até o TypeScript 7.1 beta, anunciado em 20 de outubro de 2026 segundo a InfoQ, trazer de volta essa API dividida em entradas específicas como typescript/sync, typescript/async, typescript/fs e typescript/ast.

O 7.1 beta também introduz os content mappers, um ponto de plugin que permite que um pacote entregue ao TypeScript uma visão virtual de um arquivo não padrão, como um componente .vue ou .svelte, mapeando erros de volta para a linha original. A InfoQ relata que a equipe de Vue já portou suas ferramentas: no app administrativo da Directus, com 581 componentes Vue e 882 arquivos TypeScript, o tempo de type-check caiu de 14,19 para 3,10 segundos, uma aceleração de 4,6 vezes em relação ao vue-tsc 3.

Breaking changes que viram erro obrigatório

O guia de migração (gist de Nafis Kabbo) lista mudanças que eram apenas avisos de depreciação na 6.0 e tornam-se erro rígido na 7.0:

// tsconfig.json antes (quebra em 7.0)
{
 "compilerOptions": {
 "target": "es5",
 "baseUrl": "./src",
 "moduleResolution": "node",
 "paths": { "@app/*": ["app/*"] }
 }
}

// depois (compatível com 7.0 e 7.1)
{
 "compilerOptions": {
 "target": "es2022",
 "moduleResolution": "nodenext",
 "rootDir": "./src",
 "outDir": "./dist",
 "types": ["node"],
 "paths": { "@app/*": ["./src/app/*"] }
 }
}

Também mudam defaults silenciosos: strict passa de false para true, rootDir deixa de ser inferido e passa a ser o diretório do tsconfig.json, e types deixa de descobrir pacotes @types automaticamente, exigindo listagem explícita. Projetos que não ajustarem rootDir e outDir explicitamente podem ver a saída aninhar como dist/src/index.js em vez de dist/index.js, quebrando scripts de deploy sem lançar nenhum erro de compilação.

4. Convivendo com duas versões do TypeScript ao mesmo tempo

A estratégia recomendada pelo guia de migração é manter as duas versões instaladas durante a transição, usando um pacote de compatibilidade que remapeia nomes:

{
 "devDependencies": {
 "typescript": "npm:@typescript/typescript6@^6.0.0",
 "typescript-7": "npm:typescript@^7.0.0"
 }
}

Com esse arranjo, ferramentas que ainda dependem da API 6.x (como linters e transformadores customizados) continuam funcionando sob o alias typescript, enquanto o build real roda pela 7.x via npx --package typescript-7 tsc. A InfoQ reforça essa recomendação para quem usa Vue, Svelte ou Angular: manter instalação dupla até que a ferramenta do framework publique um build compatível com 7.1.

Para quem só precisa do ganho de performance no CI sem adotar o compilador novo em produção, o guia do SitePoint sobre a RC do 7.0 sugere rodar tsgo --noEmit em paralelo ao tsc tradicional, comparando os códigos de diagnóstico emitidos antes de trocar definitivamente o pipeline. Essa dupla checagem evita que uma divergência de comportamento do compilador novo passe despercebida direto para produção.

5. Agentes de IA no Git: o que o GitHub liberou

Segundo a documentação do GitHub, os GitHub Agentic Workflows definem automações em arquivos markdown com instruções em linguagem natural, compiladas para arquivos .lock.yml do GitHub Actions. A diferença para automação tradicional é que o agente interpreta contexto e propõe ações, em vez de executar passos fixos. O changelog do GitHub confirma que o recurso saiu de preview e ficou geralmente disponível em 28 de outubro de 2026.

A segurança do modelo depende de três camadas, segundo a documentação: permissões somente leitura por padrão, execução em contêineres com firewall, e qualquer ação de escrita (criar issue, comentário, pull request) só passa por saídas declaradas como "safe outputs" no frontmatter do workflow, checadas por um processo de detecção de ameaças antes de serem aplicadas. Um exemplo mínimo de workflow, retirado da documentação:

---
on: daily
permissions:
 contents: read
 issues: read
 pull-requests: read
 copilot-requests: write
network: defaults
tools:
 github:
 toolsets: [default]
safe-outputs:
 create-issue:
---

# Daily Repo Status Report
Revise a atividade recente do repositório e crie uma issue resumindo
o que mudou nas últimas 24 horas, bloqueios e próximos passos.

O custo é medido em AI Credits (AIC), onde 1 AIC equivale a 0,01 dólar segundo a documentação, com teto padrão de 1.000 AIC por execução, configurável via max-ai-credits no frontmatter. Os comandos gh aw logs e gh aw audit RUN-ID permitem auditar consumo de tokens e custo estimado por execução antes de a fatura do provedor chegar.

O changelog do GitHub cita um caso da Accenture: um time que adotou esses workflows reduziu erros de produção de cerca de 11 mil por dia para menos de 1.000, com a IA autorando 91% dos commits do time e a velocidade medida mais do que dobrando. São números de um único relato de cliente, não uma média do produto, e não vêm acompanhados de metodologia pública de medição.

6. Segurança da cadeia de suprimentos: o pano de fundo que conecta tudo

O guia da Cloudsmith sobre segurança de cadeia de suprimentos em 2026 descreve a transição de SBOMs estáticos (fotografias geradas no fim de um build e arquivadas) para governança agêntica, em que SBOMs viram sistemas consultáveis em tempo real. Isso importa diretamente para quem atualiza dependências: o mesmo guia cita que uma aplicação corporativa típica é composta por 80% de código de terceiros, e que desenvolvedores usando assistentes de IA puxam pacotes de código aberto rapidamente, muitas vezes sem revisão manual de risco, o que o texto chama de "bypass da governança tradicional".

O artigo da ox.security complementa com um ponto operacional: a partir de 11 de setembro de 2026, o Cyber Resilience Act da União Europeia exige aviso de incidente em até 24 horas e notificação completa em até 72 horas para vulnerabilidades ativamente exploradas em produtos digitais. Uma vulnerabilidade como a do Brotli, presente em dependências transitivas, só permite cumprir esse prazo se houver inventário de onde cada versão de biblioteca está implantada, algo que SBOMs estáticos arquivados não entregam.

Onde as fontes discordam

Sobre a existência de um binário separado do compilador Go, há uma divergência de datas que importa para quem segue guias antigos: o gist de migração (publicado em julho de 2026, já sobre a versão estável) afirma que não há binário tsgo separado na 7.0 estável, que esse nome existe só no pacote nightly @typescript/native-preview. Já o guia do SitePoint, escrito em junho de 2026 sobre a Release Candidate, trata tsgo como o comando principal de migração e cita um pacote @typescript/native. A explicação mais provável, segundo a cronologia das próprias fontes, é que tsgo e os nomes de pacote mudaram entre a RC e o lançamento estável; quem for seguir um tutorial deve conferir o nome exato do pacote na página oficial de releases antes de rodar qualquer comando, como o próprio SitePoint recomenda.

Sobre o ganho de memória, as fontes também não batem em número exato: o SitePoint cita uma meta de projeto de 60% a 70% menos pico de memória, enquanto o benchmark da Microsoft citado pela InfoQ fala em "quase metade" de memória para o benchmark do MUI e ganhos menores (ordem de 1,2x) em bases mais pesadas como o próprio VS Code. Não há, nas fontes lidas, um número único de redução de memória válido para todos os projetos.

Sobre o caso da Accenture citado pelo GitHub, não há dados públicos de como a métrica de "91% dos commits autorados por IA" foi calculada, nem se é comparável entre organizações de tamanhos diferentes. Trate como relato de cliente, não como benchmark reprodutível.

O que fazer agora

1. Audite hoje se alguma aplicação ou appliance de borda decodifica Brotli de fontes externas. Se usar PAN-OS 11.2.4 ou superior com Brotli habilitado, desative via set system setting brotli-encoding disable enquanto o patch definitivo não é aplicado; se for biblioteca Node.js, atualize para 1.0.10, 1.1.1 ou 1.2.1 por rolling deploy, sem necessidade de parar o serviço.
2. Se seu projeto já rodou TypeScript 6.0 e limpou os avisos de depreciação, avance para 7.0 ou 7.1 beta testando em paralelo com a versão antiga via o alias @typescript/typescript6. Se depende de ts-morph, typescript-eslint ou bundlers que usam a API do compilador, espere a 7.1 sair da beta (prevista para fins de novembro de 2026 segundo a InfoQ) antes de remover a versão 6.x do pipeline.
3. Se seu framework for Vue, Svelte ou Angular, mantenha instalação dupla de TypeScript 6 e 7 até a ferramenta do framework confirmar build compatível com a API da 7.1; o caso do Vue Language Tools v4 alpha mostra que a migração é viável, mas ainda está em alpha.
4. Se for adotar GitHub Agentic Workflows, comece por um workflow de leitura (relatório diário de status) antes de liberar safe-outputs de escrita como criação de pull request; configure max-ai-credits abaixo do padrão de 1.000 AIC e audite o consumo com gh aw audit nas primeiras execuções.
5. Se sua organização lida com produtos digitais vendidos na União Europeia, trate o inventário de dependências (incluindo bibliotecas nativas como Brotli) como projeto permanente, não como checklist de auditoria anual: o prazo de 24 horas do Cyber Resilience Act só é cumprível com um SBOM operacional e consultável, não com um documento arquivado no fim do build.

Fontes: Microsoft TypeScript DevBlogs · GitHub Docs (Agentic Workflows) · Palo Alto Networks Security Advisories · GitHub public roadmap · Gist de Nafis Kabbo (TypeScript 7.0 Migration Guide) · Cloudsmith · InfoQ · DEV Community (George Kobaidze) · GitHub Changelog · SitePoint · ox.security