В ядре Linux выявлены две уязвимости, по своей сути аналогичные несколько дней назад раскрытой уязвимости Copy Fail, но проявляющиеся в других подсистемах — xfrm-ESP и RxRPC. Серии уязвимостей присвоено кодовое имя Dirty Frag (также встречается упоминание Copy Fail 2). Уязвимости позволяют непривилегированному пользователю получить права root, перезаписав данные процесса в страничном кэше. Доступен эксплоит, работающий во всех актуальных дистрибутивах Linux. Информация об уязвимости раскрыта до публикации исправлений, но есть обходной метод блокирования проблемы. Dirty Frag охватывает две разные уязвимости: первая в модуле xfrm-ESP, используемом для ускорения операций шифрования в IPsec с использованием протокола ESP (Encapsulating Security Payload), а вторая в … Читать далее Уязвимости Dirty Frag, изменяющие страничный кэш для получения root в любых дистрибутивах Linux

После трёх месяцев разработки представлен релиз свободной реализации API OpenGL и Vulkan — Mesa 26.1.0. Первый выпуск ветки Mesa 26.1.0 имеет экспериментальный статус — после проведения окончательной стабилизации кода будет выпущена стабильная версия 26.1.1. В Mesa 26.1 доступна поддержка графического API Vulkan 1.4 в драйверах ANV для GPU Intel, RADV для GPU AMD, NVK для GPU NVIDIA, HoneyKrisp (hk) для GPU Apple, Turnip для GPU Qualcomm, PanVK для GPU ARM Mali, в программном растеризаторе lavapipe (lvp) и в режиме эмулятора (vn). В драйверах v3dv (GPU Broadcom VideoCore для Raspberry Pi 4+) и dzn (реализация Vulkan поверх Direct3D 12) поддерживается Vulkan … Читать далее Релиз Mesa 26.1, свободной реализации OpenGL и Vulkan

Компания Valve опубликовала чертежи, модели и проектные данные корпуса игрового контроллера Steam Controller и док-станции Steam Controller Puck. Данные предложены в форматах STP и STL, и распространяются под лицензией CC BY-NC-SA 4.0 (Creative Commons Attribution-NonCommercial-ShareAlike 4.0), разрешающей копирование, распространение, использование в своих проектах и создание производных работ, но при условии указания авторства, сохранения лицензии и использования только для некоммерческих целей. Дополнительно можно отметить отчёт с анализом предпочтений пользователей сервиса доставки игр Steam за апрель. Доля активных пользователей Steam, использующих платформу Linux, в апреле составила 4.52%. Для сравнения в марте этот показатель был 5.33%, в феврале — 2.23%, в январе — … Читать далее Valve опубликовала CAD-файлы корпуса Steam Controller. Популярность Linux-систем в Steam

Разработчик M A Muqtadir, принимающий участие в работе над темой оформления Ubuntu Yaru и дистрибутивом Vanilla OS, представил первые результаты эксперимента по воссозданию пользовательской оболочки Unity c использованием современных компонентов стека GNOME и протокола Wayland. Продемонстрированный прототип построен на базе композитного менеджера Wayfire, использующего Wayland и позволяющего формировать нетребовательные к ресурсам интерфейсы пользователя c 3D-эффектами в стиле 3D-плагинов к Compiz. Боковая и верхняя панели, всплывающие диалоги и интерфейс Dash для навигации по установленным приложениям реализованы при помощи надстройки gtk4-layer-shell и виджетов, предоставляемых библиотекой libadwaita. Напомним, что разработчики проекта UBports развивают пользовательскую оболочку Lomiri (последнее обновление в 2025 году), ответвившуюся от … Читать далее Воссоздание пользовательской оболочки Unity с использованием Wayfire и Libadwaita

Компания Google опубликовала релиз web-браузера Chrome 148. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 149 запланирован на 2 июня. Основные изменения в Chrome 148 (1, 2, 3, 4): Продолжено развитие AI-режима, позволяющего взаимодействовать с AI-агентом из адресной строки … Читать далее Релиз Chrome 148

Удостоверяющий центр Digicert раскрыл информацию об инциденте с безопасностью, в результате которого злоумышленники смогли получить сертификаты, пригодные для формирования цифровых подписей к драйверам и приложениям для платформы Windows. Атакующие смогли организовать выполнение своего кода на двух компьютерах сотрудников Digicert, отправив в чат службы поддержки сообщения о проблеме c приложением ZIP-архива со скриншотами. Внутри архива был размещён исполняемый файл в формате scr, содержащий вредоносный код. В ходе первой атаки, проведённой 2 апреля, четыре попытки доставки вредоносного кода были блокированы внутренними системами обеспечения безопасности, но одна оказалась успешной. Проблема была выявлена и блокирована 3 апреля. После получения жалоб от сторонних исследователей безопасности … Читать далее Атакующие получили 27 сертификатов, скомпрометировав ПК сотрудников удостоверяющего центра Digicert

Джарред Самнер (Jarred Sumner), создатель и основной разработчик серверной JavaScript-платформы Bun, создал Git-ветку, в которой приступил к переписыванию Bun с языка Zig на Rust. Переписывание ведётся с использование AI-ассистента Claude, для которого сформировано отдельное руководство по портированию. По словам Джарреда пока это лишь эксперимент, а не официальный порт, и высока вероятность, что дальше эксперимента дело не зайдёт и переписанный код не будет использован. Портирование ещё не завершено, и на текущем этапе весь интерес к проекту сосредоточен на том, что бы оценить насколько работоспособным получится порт, будет ли он проходить набор тестов основного проекта и сложно ли будет сопровождать новый код. … Читать далее Автор платформы Bun проводит эксперимент по переписыванию с Zig на Rust

Произошёл массовый сбой в работе доменной зоны «DE», применяемой в Германии. Проблемы возникли из-за ошибки в настройке DNSSEC для корневой зоны «DE», совершённой организацией DENIC, отвечающей за домен первого уровня «DE». С 5 мая 22:30 по 6 мая 1:30 (MSK) попытка резолвинга доменов в зоне «DE» через DNS-серверы, применяющие DNSSEC для проверки достоверности данных, завершалась ошибкой. На DNS-серверах, применяющих DNSSEC, сбой наблюдался и при резолвинге доменов, напрямую не использующих DNSSEC. Проблема затронула многие DNS-резолверы провайдеров и публичные DNS-сервисы, такие как 1.1.1.1 и 8.8.8.8. В качестве временной меры компания Cloudflare в своём DNS-сервисе 1.1.1.1 отключила проверку подлинности через DNSSEC для доменов … Читать далее Доменная зона DE на несколько часов была выведена из строя из-за DNSSEC

Состоялся релиз Node.js 26.0.0, платформы для выполнения сетевых приложений на языке JavaScript. Node.js 26.0 отнесён к веткам с длительным сроком поддержки, но данный статус будет присвоен только в октябре, после проведения стабилизации. Поддержка Node.js 26.x будет осуществляться до мая 2029 года. Сопровождение прошлой LTS-ветки Node.js 24.x будет осуществляться до 30 апреля 2028 года, а позапрошлой 22.x — до 30 апреля 2027 года. Сопровождение LTS-ветки 20.x прекращено 30 апреля 2026 года, а промежуточной ветки Node.js 25.x будет прекращено 1 июня 2026 года. Основные улучшения: Включён по умолчанию API Temporal, предлагающий альтернативный набор методов для работы с датами и временем. API позволяет … Читать далее Опубликована платформа Node.js 26.0.0

Разработчики языка программирования PHP направили в организацию OSI (Open Source Initiative) уведомление о добровольном выводе из обращения лицензии PHP License 3.01. Заявлено, что после нескольких лет работы код инструментария PHP полностью переведён на лицензию BSD-3 и в проекте больше не осталось кода под старой лицензией PHP License 3.01. Текст новой версии лицензии PHP License заменён на копию лицензии BSD-3. Ранее интерпретатор PHP и движок Zend Engine распространялись под разными лицензиями PHP License и Zend Engine License. Переход на общую лицензию BSD-3 упростит условия лицензирования, обеспечит совместимость с GPL и решит давние проблемы, сохранив при этом все права пользователей и разработчиков. … Читать далее Проект PHP перешёл на лицензию BSD-3 и изъял из обращения лицензию PHP License

Опубликован выпуск Unix-подобной операционной системы ToaruOS 2.3, написанной с нуля и поставляемой со своим ядром, загрузчиком, стандартной Си-библиотекой, пакетным менеджером, компонентами пространства пользователя и графическим интерфейсом с композитным оконным менеджером. Изначально проект развивался в Иллинойсском университете как исследовательская работа в области создания новых композитных графических интерфейсов, но затем трансформировался в отдельную операционную систему. Код проекта написан на языке Си и распространяется под лицензией BSD. Для загрузки подготовлен live-образ, размером 7.4 МБ, который можно протестировать в QEMU, VMware или VirtualBox. В основе ToaruOS лежит ядро, использующее гибридную модульную архитектуру, сочетающую монолитную основу и средства для использования загружаемых модулей, в виде которых … Читать далее Выпуск операционной системы ToaruOS 2.3

В пакетных менеджерах Nix и Lix выявлена уязвимость, позволяющая выполнить код с правами фонового процесса, который в NixOS и многопользовательских установках выполняется под пользователем root. Проблема (CVE не присвоен) проявляется в фоновом процессе nix-daemon, применяемом для организации доступа непривилегированных пользователей к сборочным операциям и хранилищу пакетов. Уязвимость возникает из-за отсутствия ограничения рекурсивной обработки директорий в коде для разбора архивов NAR (Nix Archive), что можно использовать для инициирования исчерпания стека сопрограмм и перезаписи содержимого кучи (heap), размещённой после стека без сторожевых страниц памяти. Проблема может быть эксплуатирована любым пользователем, способным устанавливать соединения к nix-daemon. По умолчанию все пользователи имеют такую возможность, … Читать далее Уязвимости в Nix и Lix, позволяющие поднять привилегии в системе

Опубликован релиз дистрибутива OmniOS Community Edition r151058, основанного на наработках проекта Illumos, продолжающего развитие ядра, сетевого стека, файловых систем, драйверов, библиотек и базового набора системных утилит OpenSolaris. OmniOS примечателен предоставлением поддержки гипервизоров bhyve и KVM, виртуального сетевого стека Crossbow, файловой системы ZFS и средств запуска легковесных Linux-контейнеров. Дистрибутив может применяться для построения масштабируемых web-систем, виртуализации и создания систем хранения. Среди изменений в новом выпуске: Предложены новые фреймворки для поддержки интерфейсов GPIO, I2C и SMBus — в ядро добавлены драйверы i2cnex и kgpio, в пространство пользователя библиотеки libi2c.so.1 и libxpio.so.1, а также утилиты i2cadm и gpioadm. На базе новых фреймворков реализованы … Читать далее Выпуск дистрибутива OmniOS CE r151058, построенного на технологиях OpenSolaris

Представлен релиз HTTP-сервера Apache 2.4.67, в котором устранено 11 уязвимостей и внесено несколько исправлений. Наиболее опасная уязвимость (CVE-2026-23918) вызвана двойным освобождением памяти в модуле mod_http2 и потенциально может привести к удалённому выполнению кода на сервере через манипуляции с протоколом HTTP/2. Уязвимость проявляется только в выпуске 2.4.66. Проблеме присвоен уровень опасности 8.8 из 10. Ещё одна уязвимость (CVE-2026-24072) с уровнем опасности 8.8 присутствует в модуле mod_rewrite и позволяет локальным пользователям хостинга, имеющим право создавать файлы «.htaccess», прочитать содержимое любых файлов в системе с привилегиями пользователя под которым запущен процесс httpd. Менее опасные уязвимости: CVE-2026-28780 — переполнение буфера в mod_proxy_ajp, которое может … Читать далее В Apache httpd 2.4.67 устранена уязвимость в HTTP/2, не исключающая удалённое выполнение кода

Компания Amazon представила движок безопасного исполнения скриптов REX (Trusted Remote Execution), допускающий только разрешённые для каждого конкретного скрипта операции. Например, если скрипт рассчитан на разбор логов, то ему будет предоставлен только доступ на чтение лога, а несанкционированные попытки удаления или изменения файлов заблокируются. Код REX написан на языке Rust и открыт под лицензией Apache 2.0. REX может применяться для контроля и ограничения операций, выполняемых скриптами, генерируемыми AI-агентами в процессе выполнения запросов системной автоматизации. При помощи REX владелец хоста может блокировать выполнение нецелевых действий и управлять тем, какие именно операции разрешены, независимо от запросов, поступающих AI-агенту. Подобный подход даёт возможность защититься … Читать далее Amazon опубликовал REX, среду для контролируемого выполнения скриптов

Автор открытого редактора кода Notepad++ обратил внимание на появление неофициального порта «Notepad++ for macOS«, использующего без разрешения товарный знак Notepad++ и логотип проекта. Порт не имеет никакого отношения к основному проекту, но на своём сайте копирует оформление официального сайта Notepad++, использует на странице загрузки название «Notepad++ 1.0.5», а на странице с информацией о проекте упоминает создателя Notepad++ среди автора порта. По мнению создателя Notepad++ подобные действия вводят пользователей в заблуждение и создают впечатление, что порт для macOS является частью официального проекта, созданного при участии и с ведома автора Notepad++. Код порта написан сторонним энтузиастом с использованием AI-ассистента Claude. В репозитории … Читать далее Автор Notepad++ потребовал переименовать порт для macOS из-за нарушения товарного знака

Опубликован выпуск проекта Dropbear 2026.90, развивающего сервер и клиент SSH, получивший распространение в беспроводных маршрутизаторах и компактных дистрибутивах, подобных OpenWrt. Dropbear отличается низким потреблением памяти, возможностью отключения лишней функциональности на этапе сборки и поддержкой сборки клиента и сервера в одном исполняемом файле по аналогии с busybox. При статическом связывании с uClibc исполняемый файл Dropbear занимает всего 110kB. Dropbear поддерживает перенаправление X11, совместим с файлом ключей OpenSSH (~/.ssh/authorized_keys) и может создавать мультисоединения с пробросом через транзитный хост. Код проекта написан на языке Си и распространяется под лицензией, близкой к MIT. В новой версии исправлено несколько проблем с безопасностью: Неполное устранение в … Читать далее Выпуск Dropbear SSH 2026.90 с устранением уязвимостей

Опубликован выпуск торрент-клиента qBittorrent 5.2.0, написанного с использованием тулкита Qt и развиваемого в качестве открытой альтернативы µTorrent, приближенной к нему по интерфейсу и функциональности. Среди возможностей qBittorrent: интегрированный поисковый движок, возможность подписки на RSS, поддержка многих BEP-расширений, удалённое управление через web-интерфейс, режим последовательной загрузки в заданном порядке, расширенные настройки для торрентов, пиров и трекеров, планировщик пропускной способности и IP-фильтр, интерфейс для создания торрентов, поддержка UPnP и NAT-PMP. Код проекта написан на языке С++ и распространяется под лицензией GPLv2+. Сборки формируются для Linux, Windows и macOS. Среди изменений: Предоставлена возможность настройки цветов панелей с прогрессом загрузки и картой загрузки. Добавлена опция … Читать далее Выпуск qBittorrent 5.2.0

Разработчики проекта VideoLAN опубликовали первый предварительный выпуск библиотеки dav2d с реализацией альтернативного свободного декодировщика формата кодирования видео AV2. Код проекта написан на языке Си с ассемблерными вставками и распространяется под лицензией BSD. Реализована поддержка архитектур x86, x86_64, ARM64, Loongarch, PPC и RISC-V. Dav2d оптимизирован для достижения максимальной производительности и заявлен как самый быстрый из существующих декодировщиков AV2 для всех поддерживаемых платформ. Предполагается, что предложенная в dav2d программная реализация AV2 позволит компенсировать отсутствие аппаратных декодировщиков на ранней стадии продвижения кодека AV2. По своим целям и архитектуре новая библиотека dav2d напоминает существующий проект dav1d и отличается реализацией кодека AV2 вместо AV1. Некоторые … Читать далее Проект VideoLAN опубликовал dav2d, декодировщик для видео в формате AV2

Доступен релиз проекта Brython 3.14.1 (Browser Python) с реализацией языка программирования Python 3 для web-браузеров, позволяющей использовать Python вместо JavaScript для разработки скриптов для Web. Код проекта написан на языке Python и распространяется под лицензией BSD. Подключив библиотеки brython.js и brython_stdlib.js, web-разработчик может использовать язык Python для определения логики работы сайта на стороне клиента, применяя Python вместо JavaScript. Для включения Python-кода на страницы используется тег ‹script› с mime-типом «text/python». Допускается как встраивание кода на страницу, так и загрузка внешних скриптов (‹script type=»text/python» src=»test.py»›). Из скрипта предоставляется полный доступ к элементам и событиям DOM. Помимо доступа к стандартной библиотеке Python предлагаются … Читать далее Выпуск Brython 3.14.1, реализации языка Python для web-браузеров

Разработчики дистрибутива Linux Mint начали публикацию обновлённых iso-образов, поставляемых с более новыми версиями ядра Linux. Для выпущенной в январе версии Linux Mint 22.3, изначально поставляемой с ядром 6.14, опубликовано HWE-обновление (Hardware Enablement) с версией ядра 6.17, перенесённой из Ubuntu 24.04.4 LTS. Предполагается, что публикация подобных промежуточных обновлений iso-образов решит возникающие у пользователей проблемы с поддержкой нового оборудования, на фоне продления цикла подготовки релизов и решении опубликовать следующий выпуск Linux Mint в конце декабря 2026 года, а не вначале сентября. Источник: http://www.opennet.ru/opennews/art.shtml?num=65350 Читать далее Linux Mint начал публиковать HWE-сборки с более новым ядром