Django 6: novidades, lançamento e perspectivas futuras

O Django 6.0.6, lançado em 3 de junho de 2026, é uma atualização crítica de segurança e estabilidade, não apenas uma versão pontual. Ela corrige cinco vulnerabilidades confirmadas, incluindo CVE-2026-6873 (colisão de namespace de salt de cookie assinado) e CVE-2026-7666 (potencial transmissão de e-mail não criptografado via STARTTLS). Essa versão sucede o lançamento inicial do Django 6.0 em 3 de dezembro de 2025 e coexiste com a versão LTS Django 5.2.15, ainda suportada até abril de 2028. O ciclo de lançamentos segue o padrão tradicional do projeto: novas versões de recurso a cada ~8 meses, com suporte de longo prazo garantido por três anos.

A série Django 6.X está ativa e em evolução contínua: o Django 6.1-alpha1 foi lançado em 20 de maio de 2026, com previsão de versão final para agosto de 2026. Entre os recursos confirmados estão os 'Model field fetch modes' (FETCH_ONE, FETCH_PEERS, RAISE), que visam resolver efetivamente o problema de N+1 queries sem depender de `select_related` ou `prefetch_related` manuais; novas opções de `on_delete` em `ForeignKey` que permitem exclusões nativas no nível do banco de dados; e a expansão do sistema de 'Mailers', já introduzido no Django 6.0. Também há abandono formal do suporte a PostgreSQL 14 (cujo fim de vida upstream ocorre em novembro de 2026) e a MariaDB < 10.11.

Essas mudanças impactam diretamente a segurança operacional e a manutenibilidade de aplicações em produção. A remoção de Python 3.10/3.11 e MariaDB 10.5 exige atualizações de infraestrutura, não são apenas upgrades opcionais. O suporte nativo a CSP reduz riscos de XSS sem depender de middlewares terceiros. Já o novo sistema de 'Mailers' padroniza o envio de e-mails com base na API moderna do Python (`smtplib`, `email`), eliminando ambiguidades de argumentos posicionais que causavam bugs difíceis de rastrear. Para equipes que usam Django em ambientes regulatórios (como LGPD ou PCI-DSS), correções como as do CVE-2026-8404 (Cache-Control/Vary) são obrigatórias, não recomendáveis.

Desenvolvedores precisam revisar código que usa `send_mail()` ou `EmailMessage` com argumentos posicionais: esses chamados agora geram `TypeError`. Também devem testar migrações de modelos com `ForeignKey.on_delete`, as novas opções como `CASCADE_DB` exigem compatibilidade com o SGBD. Quem usa PostgreSQL 14 deve planejar upgrade para 15 ou 16 antes de agosto de 2026. O recurso 'fetch modes' exige adaptação de lógica de carregamento de relacionamentos: o modo `RAISE` lança exceção ao encontrar dados ausentes, exigindo tratamento explícito. Já o Django 7.0-beta (lançado em 2 de janeiro de 2026) ainda não é indicado para produção, mas seus rumores sobre Async ORM 2.0 e 'AI-Native Templates' já influenciam decisões arquitetônicas em projetos iniciados após meados de 2026.