zlib: libz.a limpio sin UBSan (-O2 -fno-sanitize=undefined)

b3:2623a403 (antes tenía 77 refs __ubsan_handle_*). Sin -O explícito, zig cc emite el runtime UBSan
que el .a estático arrastra → rompía el link estático de todo lo que enlaza -lz (git/curl/mandoc/
pciutils…). Fix de raíz: -O2 (apropiado para lib de compresión) + opt-out explícito. No está en el
camino de reproducibilidad selfhost/rust (verificado); los ~45 dependientes sellados siguen cacheados,
los rebuilds futuros toman el libz.a limpio y ya no necesitan workarounds ad-hoc.

recipes/zlib.toml

@@ -29,6 +29,10 @@ link     = "static"
 # libz.a→/usr/lib, zlib.pc→/usr/lib/pkgconfig (layout que materialize_build_deps overlaya en /usr).
 # CFLAGS=-fPIC: el libz.a lleva objetos PIC ⇒ enlazable dentro de .so (Mesa liga libz en sus
 # bibliotecas compartidas; sin PIC: «R_X86_64_PC32 ... recompile with -fPIC»). PIC es superset.
-configure = "CFLAGS=-fPIC ./configure --prefix=/usr --static"
+# -O2 -fno-sanitize=undefined: sin un -O explícito zig cc emite llamadas al runtime UBSan
+# (__ubsan_handle_*) que el libz.a estático arrastra ⇒ TODO lo que lo enlace estático (git, curl,
+# mandoc, pciutils…) fallaba con «undefined reference to __ubsan_handle_*». -O2 (build optimizado,
+# apropiado para una lib de compresión) + el opt-out explícito dejan el libz.a limpio (2026-07-10).
+configure = "CFLAGS='-fPIC -O2 -fno-sanitize=undefined' ./configure --prefix=/usr --static"
 compile   = "make -j\"$(nproc)\""
 install   = "make install DESTDIR=/out"