diff --git a/recipes/zlib.toml b/recipes/zlib.toml
index 6a27b33c..44403327 100644
--- a/recipes/zlib.toml
+++ b/recipes/zlib.toml
@@ -29,6 +29,10 @@ link     = "static"
 # libz.a→/usr/lib, zlib.pc→/usr/lib/pkgconfig (layout que materialize_build_deps overlaya en /usr).
 # CFLAGS=-fPIC: el libz.a lleva objetos PIC ⇒ enlazable dentro de .so (Mesa liga libz en sus
 # bibliotecas compartidas; sin PIC: «R_X86_64_PC32 ... recompile with -fPIC»). PIC es superset.
-configure = "CFLAGS=-fPIC ./configure --prefix=/usr --static"
+# -O2 -fno-sanitize=undefined: sin un -O explícito zig cc emite llamadas al runtime UBSan
+# (__ubsan_handle_*) que el libz.a estático arrastra ⇒ TODO lo que lo enlace estático (git, curl,
+# mandoc, pciutils…) fallaba con «undefined reference to __ubsan_handle_*». -O2 (build optimizado,
+# apropiado para una lib de compresión) + el opt-out explícito dejan el libz.a limpio (2026-07-10).
+configure = "CFLAGS='-fPIC -O2 -fno-sanitize=undefined' ./configure --prefix=/usr --static"
 compile   = "make -j\"$(nproc)\""
 install   = "make install DESTDIR=/out"