Представлен релиз HTTP-сервера Apache 2.4.68, в котором устранено 13 уязвимостей и внесено несколько изменений. Устранённые уязвимости (первые 6 имеют умеренный уровень опасности, а остальные низкий): CVE-2026-34355 — переполнение буфера в mod_proxy_html, проявляющееся при обращении к бэкенду, контролируемому атакующим. CVE-2026-49975 — отказ в обслуживании через исчерпание всей доступной процессу памяти. CVE-2026-44186 — бесконечное зацикливании в модуле mod_proxy_ftp, эксплуатируемое при обращении к подконтрольному атакующему FTP-серверу. CVE-2026-44119 — локальные пользователи с правами создания файлов .htaccess могут прочитать содержимое файлов с привилегиями пользователя httpd. CVE-2026-43951 — аварийное завершение процесса из-за чтения из области памяти за пределами выделенного буфера в mod_headers и mod_mime. CVE-2026-42535 — … Читать далее Релиз http-сервера Apache 2.4.68 с устранением 13 уязвимостей

Разработчики операционной системы Redox, написанной с использованием языка Rust и концепции микроядра, опубликовали отчёт о развитии проекта за май. Из достижений отмечено успешное портирование среды рабочего стола Xfce, работа которой в Redox отмечена, как более стабильная, чем порт MATE, в котором имеются нерешённые проблемы с файловым менеджером Caja. Для Redox также реализован новый планировщик задач, использующий алгоритм EEVDF (Earliest Eligible Virtual Deadline First). Новый планировщик при выборе следующего процесса для передачи выполнения учитывает процессы, которые недополучили процессорные ресурсы или получили незаслуженно много процессорного времени. В первом случае форсируется передача управления процессу, а во втором, наоборот, откладывается. Продолжена работа по улучшению … Читать далее Для ОС Redox портирована среда рабочего стола Xfce и реализован планировщик задач EEVDF

Опубликованы исходные тексты работ, победивших в двадцать девятом конкурсе IOCCC (International Obfuscated C Code Contest), участникам которого предлагалось подготовить наиболее запутанный и трудноразбираемый код на языке Си. Участвующие в конкурсе работы, с одной стороны, должны препятствовать анализу кода и пониманию сути решаемой задачи, но, с другой стороны, код должен быть интересен и чем-то примечателен (работы могут быть необычно оформлены или выделять неожиданные стороны языка Си). Размер файла с кодом программы не должен превышать 4993 байтa, а чистый код не должен превышать 2503 байта после обработки утилитой iocccsize. Среди победителей: Эмулятор компьютера с архитектурой URISC, набор команд в котором ограничивается одной … Читать далее Объявлены победители 29 конкурса по написанию запутанного кода на языке Си

Представлен выпуск пакета wayland-protocols 1.49, содержащего набор протоколов и расширений, дополняющих базовый протокол Wayland и предоставляющих возможности, необходимые для построения композитных серверов и пользовательских окружений. В новой версии: Добавлен экспериментальный протокол xx-fractional-scale, предоставляющий возможность масштабирования системы логических координат, значения в которой задаются целыми числами, для повышения точности позиционирования и увеличения разрешения логических координат до отдельных пикселей. Подобная возможность решает проблему с ограниченным разрешением системы логических координат, недостаточным для позиционирования на уровне отдельных пикселей, необходимого для полноценной реализации дробного масштабирования. В протокол «linux-dmabuf» добавлена поддержка работы на системах с несколькими GPU. На подобных системах клиент может согласовать с композитными сервером какой … Читать далее Выпуск Wayland-Protocols 1.49

Жан-Батист Лальман (Jean Baptiste Lallement), директор по инжинирингу в компании Canonical, опубликовал планы по развитию функциональности среды рабочего стола, которые намерены воплотить в осеннем выпуске Ubuntu 26.10. Выделяется четыре ключевые направления работы: Развитие окружения на основе GNOME. Обновление среды рабочего стола до выпуска GNOME 51, намеченного на 16 сентября. Переход с dbus-daemon на dbus-broker в качестве применяемой по умолчанию реализации шины D-Bus. D-Bus Broker реализован в пространстве пользователя, но использует для ускорения подсистемы ядра Linux, сохраняет совместимость с эталонной реализацией D-Bus и может быть использован для прозрачной замены dbus-daemon. D-Bus Broker учитывает ресурсы в привязке к пользователям и включает оптимизации … Читать далее Планы развития Ubuntu Desktop 26.10

Спустя ровно год с момента основания форка X.Org Server представлен выпуск XLibre 25.1.6. Выпуск ознаменовал перевод ветки 25.1 в разряд стабильных (прошлые обновления имели качество бета-версий и предназначались для тестирования). XLibre применяется по умолчанию в дистрибутивах Artix Linux, GhostBSD, OpenMandriva и Vendefoul Wolf. Для Arch Linux, Debian, DragonFly BSD, Fedora, FreeBSD, Gentoo Linux, GNU Guix, Linux Mint, MX Linux, RHEL, Slackware, Ubuntu и Void Linux сообществом поддерживаются пакеты для замены X.Org Server на XLibre. Основные изменения в ветке XLibre XServer 25.1: Добавлена поддержка библиотеки libseat и фонового процесса seatd, предоставляющих возможности для управления сеансом и организации доступа к совместно используемым … Читать далее Стабильный выпуск XLibre XServer 25.1, форка X.Org Server

Проект GNOME опубликовал еженедельный отчёт, в котором отмечено портирование приложения File Previewer (sushi), используемого в GNOME для предпросмотра содержимого файлов, на библиотеку GTK4, компоненты оформления интерфейса libadwaita, бэкенд изолированной загрузки изображений Glycin и язык построения интерфейса Blueprint. В File Previewer также реализована поддержка тёмной темы оформления и плавающих панелей инструментов, модернизирован код для использования модулей EcmaScript. Для JavaScript-движка GJS, применяемого в GNOME Shell, Polari и GNOME Documents, развивается фреймворк gjsify, добавляющий поддержку языка TypeScript. Из последних достижений в gjsify отмечена возможность выполнения компилятора TypeScript внутри GJS, что позволяет обойтись без Node.js для запуска tsc. Добавлена встроенная команда «gjsify install», которую … Читать далее GNOME File Previewer перешёл на GTK4, в GJS улучшена поддержка TypeScript

Сообщество энтузиастов развивает Opengram — открытую реализацию серверной части мессенджера Telegram. Проект представляет собой самостоятельный сервер, реализующий протокол MTProto (поддерживается layer до 216), который может использоваться для замены официальной серверной инфраструктуры Telegram при развёртывании на собственном оборудовании. Поддерживаются официальные клиенты Telegram (Telegram Desktop, мобильные приложения) после изменения в них адреса дата-центра и публичного RSA-ключа сервера. Opengram является форком проекта mytelegram. Код Opengram написан на языке C# (.NET 9) и распространяется в исходных текстах без указания лицензии. Изначальный проект mytelegram поставляется под лицензией Apache 2.0, которая в соответствии с пунктом 4a требует включения копии текста лицензии при распространении производных работ. Сервер … Читать далее Энтузиасты развивают Opengram, сервер для протокола Telegram

Сообщество энтузиастов развивает Opengram — открытую реализацию серверной части мессенджера Telegram. Проект представляет собой самостоятельный сервер, реализующий протокол MTProto (поддерживается layer до 216), который может использоваться для замены официальной серверной инфраструктуры Telegram при развёртывании на собственном оборудовании. Поддерживаются официальные клиенты Telegram (Telegram Desktop, мобильные приложения) после изменения в них адреса дата-центра и публичного RSA-ключа сервера. Opengram является форком проекта mytelegram. Код Opengram написан на языке C# (.NET 9) и распространяется в исходных текстах (лицензия не указана, но изначальный проект mytelegram поставляется под лицензией Apache 2.0). Сервер построен на наборе микросервисов, запускаемых через Docker Compose: шлюз MTProto-подключений, сервер авторизации и обмена … Читать далее Энтузиасты развивают Opengram, открытый сервер для протокола Telegram

Андреас Клинг (Andreas Kling), основатель web-браузера Ladybird, объявил об изменении процесса разработки проекта. Ladybird отныне прекращает приём публичных pull-запросов и переходит к продвижению изменений в кодовую базу только через сопровождающих. Все уже открытые публичные pull-запросы будут закрыты. Исходный код Ladybird продолжит поставляться под лицензией BSD. Сообщения о проблемах, уязвимостях и тестировании работы с сайтами продолжат приниматься без изменения. Сторонние энтузиасты также смогут принимать участие в обсуждениях, связанных с поддержкой стандартов и архитектурой проекта. В качестве причин прекращения принятия публичных pull-запросов упоминается подготовка к первому альфа-выпуску, требующая более строгого распределения ответственности за вносимые изменения. По мнению создателей Ladybird код должен приниматься … Читать далее Изменение процесса разработки и прогресс в развитии браузера Ladybird

Компания Google внесла изменения в объявление о выпуске Chrome 149, в котором раскрыла сведения об устранении 429 уязвимостей. 22 уязвимости отмечены как критические, а 87 — как опасные. Критические проблемы позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, упомянуто только, что большая часть критических проблем вызвана переполнением буфера или обращением к уже освобождённой памяти в компонентах ANGLE, Ozone, Chromecast, Chromoting, GFX и процессе для взаимодействия с GPU. Наибольший размер вознаграждения за уязвимость составил 97 тысяч долларов. Дополнительно можно отметить публикацию июньского отчёта об уязвимостях в Android, в котором упомянуто 124 … Читать далее В Chrome устранено 429 уязвимостей, а в Android — 124

Опубликован выпуск инструментария Emscripten 6.0, позволяющего компилировать код на C/C++ и других языках, для которых имеются фронтэнды на базе LLVM, в универсальный низкоуровневый промежуточный код WebAssembly. Полученный результат можно использовать для интеграции с JavaScript-проектами, запуска в web-браузере, использования в Node.js или создания обособленных многоплатформенных приложений, запускаемых при помощи wasm runtime. Код проекта распространяется под лицензией MIT. В компиляторе используются наработки проекта LLVM, а для генерации WebAssembly и оптимизации задействована библиотека Binaryen. Основной целью Emscripten заявлено создание инструмента, позволяющего выполнять в Web код независимо от языка программирования, на котором этот код изначально написан. В компилируемых приложениях могут использоваться вызовы стандартных библиотек … Читать далее Доступен Emscripten 6.0, компилятор из C/C++ в WebAssembly

Alibaba, одна из крупнейших китайских IT-компаний, опубликовала открытую платформу Open Code Review с реализацией гибридной архитектуры рецензирования, сочетающей строгие методы проверки с гибкими возможностями больших языковых моделей. Проект основан на коде применяемой в Alibaba внутренней системы рецензирования изменений, написан на языке Go и распространяется под лицензией Apache 2.0. Система поддерживает интеграцию с различными большими языковыми моделями, допускает привязку комментариев к конкретным строкам в коде и содержит встроенные наборы правил для выявление типовых проблем и уязвимостей, таких как ошибки при синхронизации потоков, межсайтовый скриптинг и подстановка SQL-кода. Проверка на основе правил предоставляется для языков Java, TypeScript, Go, Python, Kotlin, C++ и … Читать далее Компания Alibaba опубликовала инструментарий Open Code Review для рецензирования кода

Компания Roku, производящая телевизоры, телеприставки и устройства для умного дома, представила открытую операционную систему Roku LT OS, нацеленную на использование в специализированных инженерных проектах и встраиваемые системах. Roku LT OS позволяет создавать собственные решения, способные работать в окружениях с ограниченными ресурсами и жёсткими требованиями к задержкам и предсказуемому времени выполнения операций. Код проекта написан на языке Си и распространяется под лицензией Apache 2.0. Поддерживается создание прошивок для чипов ESP32 и STMicro, а также запуск Roku LT OS поверх Linux. Для разработки решений на базе Roku LT OS поставляется SDK и примеры прошивок, а в качестве обучающего руководства предложен видеокурс. Roku … Читать далее Производитель телевизоров Roku опубликовал открытую операционную систему Roku LT OS

Компания Microsoft анонсировала первую публично доступную экспериментальную сборку дистрибутива Azure Linux 4.0, подготовленную для запуске в виртуальных машинах и контейнерах. В дальнейшем обещают опубликовать экспериментальные сборки для WSL (Windows Subsystem for Linux) и AKS (Azure Kubernetes Service). Ветка Azure Linux 4 преподносится как универсальное решение, оптимизированное для платформы Azure и пригодное для использования во всех связанных с ней сферах, от виртуальных машин и контейнеров до узлов в кластере Kubernetes и систем разработчиков. Специфичные для дистрибутива изменения поставляются под лицензией MIT. По сравнению с Azure Linux 3.0 новая ветка переведена с собственной пакетной базы на использование пакетов из дистрибутива Fedora 43. … Читать далее Microsoft анонсировал универсальный дистрибутив Azure Linux 4.0

Компания Google опубликовала релиз web-браузера Chrome 149. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 150 запланирован на 30 июня. Основные изменения в Chrome 149 (1, 2, 3, 4): В конфигуратор в секцию «Система» («System») добавлены настройки для управления … Читать далее Релиз Chrome 149

Раскрыта информация об уязвимости «HTTP/2 Bomb«, затрагивающей различные реализации протокола HTTP/2 и позволяющей добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) и Cloudflare Pingora в конфигурации по умолчанию. Уязвимость использует метод, напоминающий zip-бомбу, применяемую к функциональности сжатия заголовков в HTTP/2. Идея в том, что запрос может содержать тысячи сжатых заголовков, таких как «Cookie», без прикреплённых данных, каждый из которых в запросе представлен однобайтовой ссылкой в индексе HPACK, но на сервере требует полноценного выделения памяти под весь заголовок. Уровень расходования памяти в различных HTTP-серверах варьируется от … Читать далее Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти

В библиотеке libinput, предоставляющей унифицированный стек ввода для Wayland и X.Org Server, выявлена уязвимость (CVE не назначен), позволяющая добиться выполнения кода с правами root через подключение локальным пользователем виртуального устройства ввода, сэмулированного в пользовательском пространстве через uinput или uhid. Проблема устранена в выпусках 1.31.3 и 1.30.4. Уязвимость присутствует в udev-обработчике libinput-device-group и вызвана отсутствием должного экранирования спецсимволов в атрибутах, получаемых от устройств и передаваемых в подсистему udev в форме «ключ=значение». Через подстановку символа перевода строки («n») в атрибут, можно добиться добавления своего правила udev, например, через выполнение uinput-команды UI_SET_PHYS(«pocn‹SECOND_KEY›=‹value›»). Для выполнения произвольных команд с правами root достаточно подобным способом подставить … Читать далее Уязвимость в libinput, позволяющая повысить свои привилегии в системе

Опубликован релиз прокси-сервера Privoxy 4.2.0, предназначенного для создания персональных фильтров web-контента. При помощи Privoxy можно вырезать рекламные вставки, отбрасывать отслеживающие Cookie, удалять всплывающие диалоги, блокировать загрузку стороннего JavaScript-кода и вносить необходимые пользователю произвольные изменения в web-страницы. Privoxy поддерживает установку как на локальные системы отдельных пользователей, так и на серверы для создания централизованной инфраструктуры фильтрации контента в локальной сети. Код проекта написан на языке Си и распространяется под лицензией GPLv2+. Готовые сборки подготовлены для Linux (deb) и Windows. Из расширенных возможностей Privoxy можно отметить: возможность привязки тегов для изменения поведения фильтров в зависимости от отдельных клиентских и серверных HTTP-заголовков; режим инспектирования … Читать далее Выпуск фильтрующего прокси Privoxy 4.2.0

Администраторы почтовых серверов на базе Fedora Linux обратили внимание на возникновение проблем с работой почтового клиента Microsoft Outlook после обновления дистрибутива. Диагностика проблемы показала, что в новой версии пакета с IMAP/POP3-сервером Dovecot 2.4.3 в настройках по умолчанию была запрещена аутентификация по протоколам IMAP и POP3 с передачей пароля в открытом виде в сеансах без применения шифрования. У пользователей Outlook была включена опция для обращения к почтовому серверу с использованием шифрования, но почтовый клиент при её выставлении продолжал использовать сетевой порт 110 для POP3, вместо смены номера порта на 995, применяемого для TLS-сеанса к серверу POP3, и не использовал расширение STARTTLS … Читать далее Fedora Linux помог выявить проблему с безопасностью в почтовом клиенте Outlook

После выхода обновления утилиты для синхронизации файлов rsync 3.4.3 с исправлением 6 уязвимостей, отмечено появление регрессий, нарушающих работоспособность ранее используемых конфигураций. Помимо этого непонимание и недовольство вызвало добавление за последние две недели в репозитории rsync около 50 изменений, подготовленных с использованием AI-модели Claude. Некоторые пользователи связали появление регрессий с генерацией низкокачественных исправлений уязвимостей при помощи AI. Некоторые из регрессий в rsync 3.4.3: Начали завершаться с ошибкой команды для инкрементального создания резервных копий, в которых было указано несколько опций «—compare-dest»; Стало невозможно собрать rsync на системах с ядрами Linux до версии 5.6 из-за задействования системного вызов openat2 (коммит 1, коммит 2); … Читать далее Регрессии в rsync 3.4.3 и принятие изменений, подготовленных с использованием AI