Em 9 de outubro de 2026, Stuart Henderson publicou no feed da lista oss-sec um aviso sobre o OpenJPEG, biblioteca de código aberto para codificação e decodificação de imagens JPEG 2000. Segundo a publicação, um estouro de heap (heap overflow) foi corrigido em um commit da branch principal do repositório, mas a falha permanece nas releases 2.5.3 e 2.5.4. A própria publicação associa o commit de correção ao repositório do projeto, e a leitura direta da fonte original é o único modo de confirmar detalhes técnicos como a função afetada e o vetor de entrada.
O texto também informa que o repositório deve ser considerado sem manutenção. Segundo o trecho citado, commits podem surgir de tempos em tempos, conforme o interesse e a disponibilidade de colaboradores, mas nenhum colaborador se sente responsável por revisar regularmente tickets ou pull requests no momento. Essa condição importa porque uma correção na branch principal não significa que exista uma release com o conserto disponível.
Para quem usa o OpenJPEG indiretamente, por meio de bibliotecas, ferramentas de conversão ou pipelines de documentos e imagens, o ponto prático é verificar a versão instalada e se o fornecedor de cada componente já incorporou a correção. A Rota Nacional não corrige bibliotecas de terceiros nem garante que essa dependência esteja atualizada em sistemas do cliente, e este conteúdo não descreve nenhuma capacidade da plataforma sobre essa vulnerabilidade.