Open WebUI, uma das interfaces self-hosted para LLMs mais amplamente implantadas, publicou a v0.11.2 em 31 de agosto às 05:48:23 UTC. As notas trazem uma declaração explícita de política: os alertas de segurança para a versão podem ser retidos por um curto período para dar tempo aos administradores de atualizar.
A política, dita sem rodeios
A divulgação tardia é uma prática real e legítima. Dê aos defensores uma vantagem; publique os detalhes depois que a correção se espalhar. O Open WebUI merece crédito por registrar a política em vez de aplicá-la em silêncio, o que é o comportamento mais comum. Mas a contrapartida também precisa ser mencionada, porque ela não é simétrica do jeito que a formulação sugere.
A quem o atraso realmente ajuda
A janela não oculta a correção. Este é um projeto de código aberto: os commits ficam públicos no momento em que a versão é publicada. Qualquer pessoa motivada pode comparar dois tags e localizar em minutos o trecho de código corrigido — esse é o caminho padrão da correção ao exploit funcional, e ele não é afetado pelo fato de um alerta ter sido ou não publicado. O que o atraso retém é a gravidade e a classe do problema, e retém isso do administrador que decide se essa atualização entra hoje à noite ou no fim do sprint. O invasor lê o diff. O defensor lê "na primeira oportunidade".
O padrão antes disso
A versão anterior, v0.11.1, foi lançada em 25 de agosto às 21:17:57 UTC. Seus alertas de segurança foram publicados cerca de cinco dias depois, em 30 de agosto. Portanto, a janela não é hipotética, e a v0.11.2 agora está na mesma स्थिति em que sua antecessora esteve — carregando conteúdo de segurança não divulgado enquanto os operadores são solicitados a confiar na instrução, e não no detalhe.
O que a leitura comum erra
Os resumos de changelog classificam esses lançamentos como manutenção, porque é assim que eles parecem: uma lista de correções de bugs no mesmo registro de ajustes de interface. Quem procura por "segurança" não encontra nada para priorizar. A informação sobre gravidade existe, o projeto a tem, e o intervalo em que ela é retida é precisamente o intervalo em que a decisão de atualizar é tomada.
A leitura prática
Em uma implantação self-hosted exposta a mais de um usuário, trate qualquer versão do Open WebUI que traga esse aviso como relevante para segurança por padrão e planeje a atualização de acordo. A ausência de um alerta publicado não é evidência de que não há nada a corrigir — as notas dizem isso explicitamente.