diff --git a/CHANGELOG.md b/CHANGELOG.md
index ecd634e..328c018 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -18,6 +18,11 @@ Tudo o que muda de relevante no Copiado está aqui. O formato segue o
   mesma suíte uma vez por commit, e a tag publica a release no Gitea com o `.deb`, o
   `SHA256SUMS` e estas notas. O Trivy roda pela imagem oficial.
 
+### Corrigido
+
+- `gerar-deb.sh` fixa o `umask 022`: com `umask 000` (o padrão dos runners de CI) o
+  diretório `DEBIAN` saía com permissão 777 e o `dpkg-deb` recusava o pacote.
+
 ## [1.3.0] - 2026-10-03
 
 ### Alterado
diff --git a/empacotamento/gerar-deb.sh b/empacotamento/gerar-deb.sh
index a725118..7b15de2 100755
--- a/empacotamento/gerar-deb.sh
+++ b/empacotamento/gerar-deb.sh
@@ -1,6 +1,9 @@
 #!/usr/bin/env bash
 # Gera o pacote copiado_all.deb. Uso: empacotamento/gerar-deb.sh 1.2.3
 set -e
+# O dpkg-deb recusa um DEBIAN com permissão fora de 0755-0775; fixa o umask para
+# não depender do ambiente (nos runners de CI ele é 000).
+umask 022
 VERSAO="${1:?informe a versão, ex.: 1.0.0}"
 cd "$(dirname "$0")/.."
 RAIZ=$(mktemp -d)