Zabbix 8.0 RC2: correções de segurança na API e a última chance de homologar antes da LTS

O Zabbix 8.0.0rc2 foi publicado em 21 de outubro de 2026, três semanas depois do RC1. A expectativa de mercado é a versão final (LTS) em novembro. Release candidate não é pra produção — mas é exatamente a fase em que um provedor deve testar, porque o que você achar agora ainda pode virar correção antes da versão que você vai rodar pelos próximos anos.

O que o RC2 corrige que importa

A lista de correções do RC2 tem um bloco de segurança que, sozinho, já justifica não ficar parado em versão de teste antiga:

• Injeção SQL via parâmetros groupBy e sortfield nos métodos *.get da API.
• Chave de sessão fixa no código corrigida.
• Usuário de baixo privilégio não consegue mais alterar objetos via configuration.import.
• Scripts de pré-processamento não podem mais modificar objetos JavaScript globais.
• Entrada de user parameter do plugin Docker sanitizada, evitando leitura arbitrária de arquivo.

Se você já tem um laboratório com o RC1, atualize. Se tem alguma integração apontando pra ele com usuário real, mais ainda.

O que chegou de novo e vale testar com dado de provedor

• ClickHouse como backend de histórico, agora com faixa de versões suportadas definida (ClickHouse 26.3 a 26.9).
• Item net.if.get no agente, pra descoberta de interfaces de rede, e vfs.fs.get/vfs.dev.get pra disco.
• Controle de chaves por expressão regular no agente (AllowKeyRegexp/DenyKeyRegexp).
• Variável ZBX_FEATURE_FLAGS, que desliga módulos, tipos de mídia e autenticação HTTP no sistema todo — útil pra endurecer a instalação.
• No frontend: widget de dispersão, exportação de dashboard e exportação do log de auditoria em CSV.

Roteiro de homologação em uma semana

1. Clone do banco de produção (ou um recorte representativo) num servidor separado, nos requisitos novos: PHP 8.2, PostgreSQL 15+, MySQL/Percona 8.4 ou MariaDB 10.11.
2. Upgrade e tempo de migração — anote quanto demorou. É esse número que define a janela de manutenção real.
3. Integrações primeiro. Todo script, bot de Telegram, ERP ou painel que fala com a API: lembre que o acesso à API vem desligado por padrão nas funções de usuário, e que massupdate e hostinterface.replacehostinterfaces saíram.
4. Templates de rede: OLT, ONU, concentrador, switch — descoberta, contagem de itens e triggers batendo com produção.
5. Alertas de ponta a ponta: dispare um problema de verdade e confira se a mensagem chega com o mesmo conteúdo (macros antigas foram removidas).
6. Carga: deixe o laboratório coletando por alguns dias e compare fila de pollers e uso de banco com o servidor atual.

Encontrou algo? Reporte agora

Problema achado no RC ainda pode ser corrigido antes do 8.0.0; achado depois vira espera pelo 8.0.1. Se preferir que alguém conduza essa homologação com você antes da LTS chegar, fale com a gente.

Fontes: Zabbix — Release Notes 8.0.0rc2, Zabbix — Upgrade notes 8.0.