Энтузиаст перевёл исходный код 3D-шутера Quake образца 1996 года, а также многопользовательскую редакцию Quakeworld и моды на язык Luau и смог запустить их внутри игрового мира Roblox. Работа была выполнена при помощи AI-модели Claude Fable (затраты на токены составили $3000). Код порта опубликован под лицензией GPLv2.
Портированы оба многопользовательских движка Quake - NetQuake для совместного прохождения уровней и QuakeWorld для сражения с другими людьми. Возможно использование игровых ресурсов из shareware-версии Quake, полной версии Quake или LibreQuake. Реализована поддержка запуска немодицифированных модов QuakeC. Растеризатор Quake заменён на использование Roblox EditableMesh для отрисовки геометрии и lightmap для расчёта освещения. Сетевой стек на базе UDP заменён на систему сетевых событий Roblox (RemoteEvents).
Из специфичных для Roblox изменений добавлены аватары (игроки в Quake выглядят как персонажи Roblox), меню Roblox c управлением через сенсорный экран, управление матчами c возможностью запускать голосования во время матча, меню администратора для изменения правил игры, статистика с рейтингом лидеров, режим цензурированной отрисовки для детей.
Компания Google запланировала на 31 августа удаление из каталога Chrome Web Store всех остающихся дополнений, использующих вторую версию манифеста Chrome, определяющего возможности и ресурсы, доступные для дополнений, написанных с использованием API WebExtensions. Уже установленные дополнения останутся на системах пользователей, но не смогут получать обновления и их нельзя будет переустановить в случае удаления из браузера.
В опубликованном неделю назад выпуске Chrome 150 была удалена поддержка флага kExtensionManifestV2Disabled, позволявшего вернуть возможность установки дополнений с второй версией манифеста из каталога Chrome Web Store. В выпуске Chrome 151, намеченном на 28 июля, будет удалён параметр AllowLegacyMV2Extensions, позволяющий вручную в режиме разработчика загружать дополнения на базе второй версии манифеста.
На смену второй версии манифеста Chrome пришла третья версия, разработанная в рамках инициативы по упрощению создания безопасных и высокопроизводительных дополнений. Основноенедовольство третьей версией манифеста вызвано переводом в режим только для чтения API webRequest, позволявшего подключать собственные обработчики, имеющие полный доступ к сетевым запросам и способные на лету модифицировать трафик. Вместо API webRequest в третьей версии манифеста добавлен ограниченный по своим возможностям API declarativeNetRequest, предоставляющий доступ к встроенному движку для фильтрации, самостоятельно обрабатывающему правила блокировки, не разрешающему использовать собственные алгоритмы фильтрации.
Разработчики дистрибутива Linux Mint объявили о стабилизации поддержки протокола Wayland в среде рабочего стола Cinnamon. В кодовой базе, на основе которой формируется будущий стабильный выпуск Cinnamon 6.8 практически достигнут паритет в функциональности при работе с использованием X11 и Wayland. В Cinnamon 6.8 будет полностью поддерживаться как работа с использованием X11, так с Wayland. Намеченный на декабрь выпуск Linux Mint 23 станет первым, в котором поддержка Wayland в Cinnamon не будет рассматриваться экспериментальной.
Среди недавних улучшений в Cinnamon:
При использовании Walyand обеспечен корректный выбор размера и позиционирование новых окон, всплывающих диалогов и контекстных меню.
При работе через Walyand реализовано корректное переключение фокуса ввода.
Устранены многие ошибки в Cinnamon, muffin, cinnamon-session и Xwayland, приводившие к аварийному завершению работы при использовании Wayland.
Улучшена поддержка многомониторных конфигураций и KVM-переключателей мониторов в окружении c Wayland.
В приложениях, использующих Wayland или запускаемых через Xwayland, а также в композитном сервере и десктоп-сеансе задействовано аппаратное ускорение графики, реализованное через Wayland-протоколы wl_drm и zwp_linux_dmabuf_v1, а также аппаратно ускоренную работу GBM поверх EGL на видеокартах NVIDIA.
Предоставлена полная поддержка экранов с высокой плотностью пикселей (HiDPI) при использовании Wayland. Решены проблемы с масштабированием пиктограмм и курсоров мыши. Устранены ошибки, проявлявшиеся в приложениях на движке Chromium, таких как Slack и VSCode.
При использовании Wayland реализована работа индикаторов прогресса выполнения операции, например, показа прогресса копирования файлов в кнопке на панели.
Обеспечен запуск базовых приложений, запускаемых через pkexec, в качестве Wayland-клиентов без применения Xwayland.
Добавлена команда "cinnamon-list-windows" для упрощения получения списка всех открытых окон и определения их позиции, размера, данных о HiDPI и связанных с ними приложениях и бэкендах.
В композитном сервере Muffin обеспечено округление до целых чисел координат и размеров всех графических элементов библиотеки Clutter для более точного позиционирования и чёткой отрисовки апплетов и компонентов рабочего стола.
Добавлена поддержка юнитов systemd для пользовательских сеансов (graphical-session.target), активируемых для запуска сопутствующих сервисов в привязке к графическому сеансу.
Сформирован выпуск динамически управляемого межсетевого экрана firewalld 2.5.0, реализованного в форме обвязки над пакетными фильтрами nftables и iptables. Firewalld запускается в виде фонового процесса, позволяющего динамически изменять правила пакетного фильтра через D-Bus, без необходимости перезагрузки правил пакетного фильтра и без разрыва установленных соединений. Проект уже применяется во многих дистрибутивах Linux, включая RHEL 7+, Fedora 18+ и SUSE/openSUSE 15+. Код firewalld написан на языке Python и распространяется под лицензией GPLv2.
Для управления межсетевым экраном используется утилита firewall-cmd, которая при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб (например, для открытия доступа к SSH нужно выполнить "firewall-cmd --add --service=ssh", для закрытия SSH - "firewall-cmd --remove --service=ssh"). Для изменения конфигурации межсетевого экрана также может использоваться графический интерфейс firewall-config (GTK) и апплет firewall-applet (Qt). Поддержка управления межсетевым экраном через D-BUS API firewalld имеется в таких проектах, как NetworkManager, libvirt, podman, docker и fail2ban.
Ключевые изменения:
В графическом интерфейсе firewall-config реализована поддержка автоматического переключения на тёмную тему оформления в GNOME.
Обеспечено отражение в логах изменений конфигурации.
Добавлен сервис solr для одноимённого поискового движка, основанного на Apache Lucene (TCP-порт 8983).
Реализовано срабатывание таймаутов при обработке правил фильтрации, разрешено указание таймаутов для опций "--add-disable", "--ingress-zone" и "--egress-zone".
Проведена оптимизация производительности операций проверки зон и правил.
В rpm-пакете из списка зависимостей удалён пакет dbus-x11.
После запрета размещения в каталоге Flathub приложений, сгенерированных при помощи AI, один из разработчиков решил проверить, не лишился ли Flathub из-за подобного запрета ценных участников. Для этого была изучена судьба проектов, отмеченных тегом "AI Slop", который начал применяться во Flathub январе этого года для пометки проектов, файл-манифест для которых создан при помощи AI или разработчики которых использовали AI при общении с рецензирующими.
В выборку попали 120 репозиториев проектов, добавленных с января по 1 апреля. После изучения последних коммитов в данных репозиториях выяснилось, что что с мая по июль активность наблюдалась лишь в 32 из них (27%), а 88 (73%) были заброшены или удалены. Многие проекты перестали обновляться почти сразу после подачи заявки во Flathub.
В результате конфликта с лидером проекта OpenMandriva разработчик Давиде Беатричи (Davide Beatrici), имевший доступ к репозиториям с правами администратора, совершил вредительство, которое привело к повреждению инфраструктуры разработки и нарушению работоспособности систем некоторых пользователей. Беатричи удалил часть GitHub-репозиториев, используемых для разработки компонентов OpenMandriva, а также совершил вредоносные действия в репозитории Cooker, в котором ведётся разработка нестабильной ветки дистрибутива. В частности, он опубликовал пустой пакет, который переводил в категорию устаревших все пакеты GNOME и Cosmic (при помощи тега "Obsoletes:"), что могло нарушить работоспособность систем пользователей, использующих данные среды рабочего стола.
Отмечается, что команда разработчиков OpenMandriva провела аудит активности Беатричи и не выявила других вредоносных действий, помимо вышеупомянутых. В настоящее время ведётся работа по восстановлению удалённых репозиториев и возвращению работоспособности пакетов, переведённых в разряд устаревших. Действия Беатричи стали реакцией на череду событий, возникших после удаления из чата его товарища, отличавшегося токсичным поведением.
Давиде Беатричи известен как один из главных разработчиков приложения для голосового общения Mumble и у команды OpenMandriva не было оснований не доверять ему. Беатричи не внёс большой вклад в разработку OpenMandriva, но выступал с инициативой перевода инфраструктуры разработки с GitHub на принадлежащий ему сервер с платформой OneDev. Инициатива была воспринята неоднозначно, так как часть разработчиков была против перевода репозиториев на систему, контролируемую одним участником, и дело не продвинулось дальше создания зеркал на OneDev.
В связанном с инцидентом заявлении лидера OpenMandriva, указано, что вместе с Беатричи к проекту OpenMandriva присоединились два его знакомых. Один из них через некоторое время стал вести себя оскорбительно по отношению к другим разработчикам и пользователям, некоторые из которых после этого покинули проект. Недопустимое поведение не было замечено сразу, так как по большей части проявлялось в личной переписке. После нападок на одного из участников в matrix-чате и в обсуждениях на GitHub, лидер проекта удалил абьюзера из чата.
Удаление вызвало недовольство двух участников, включая Беатричи, которые в знак протеста покинули проект. Не видя смысла поддерживать зеркала в инфраструктуре, контролируемой Беатричи, лидер проекта решил отключить для них доступ. В ответ Беатричи злоупотребил остающимися у него правами администратора и скатился до вредительства.
Компания Anthropic объявила о предоставлении сопровождающим и ключевым разработчикам открытых проектов бесплатного 6-месячного доступа к своим сервисам в соответствии с тарифным планом Claude Max 20x ($200 в месяц для платных подписчиков), который включает в 20 раз больше ресурсов, чем тариф Pro, и предоставляет без дополнительных подписок доступ к Claude Code и Claude Cowork.
Требования к участникам открытых проектов, которые могут отправить заявку на получение бесплатной 6-месячной подписки Claude Max 20x:
Авторы и сопровождающие открытых библиотек, пакеты с которыми насчитывают более 200 тысяч загрузок из каталогов, таких как npm, PyPI, crates.io и RubyGems, или которые используются как минимум в 500 репозиториях или в 100 зависимых пакетах.
Ключевые разработчики крупных открытых проектов, имеющие право коммита или входящие в число сопровождающих. В качестве примеров уровня проектов упомянуты CPython, Rust, Node.js, Apache, CNCF, Kubernetes, ядро Linux, Django и Rails.
Активные участники разработки, от которых было принято более 100 pull-запросов в не аффилированные с ними проекты.
Создатели сообществ, в разработке которых участвуют 20 и более сторонних разработчиков, от которых принимались pull-запросы за последний год.
Репозитории, применяемые в работе критически важной инфраструктуры (вес 0.4+ в рейтинге OpenSSF).
Следом за портированием Linux на Sega MegaDrive реализована возможность запуска ядра Linux с набором утилит Busybox на игровой консоли Atari Jaguar, выпущенной в 1993 году. Приставка комплектовалась CPU Motorola 68000, поставлялась с 2 МБ ОЗУ и в качестве постоянного хранилища могла использовать картриджи, объёмом до 6 МБ. Устройство было оснащено двумя сопроцессорами: Tom (GPU c 32-разрядной архитектурой RISC + 64-разрядный процессор обработки видео + 64-разрядный процессор для выполнения логических операций) и Jerry (DSP с 32-разрядной архитектурой RISC для работы со звуком).
По аналогии с портом для Sega MegaDrive для выполнения ядра Linux на CPU Motorola 68000, не имеющем аппаратного модуля управления памятью (MMU), штатное ядро 7.2.0-rc1 было собрано в применяемом для микроконтроллеров режиме "NOMMU", позволяющем использовать плоскую модель памяти с линейным адресным пространством (ранее наработки для работы без MMU развивались в форке ядра uClinux, но затем были приняты в основной состав ядра в форме опции "NOMMU"). Проблема с нехваткой оперативной памяти была решена иначе, через задействование механизма execute-in-place (XIP), позволяющего напрямую выполнять код ядра из ПЗУ без копирования в оперативную память.
ОЗУ на устройстве отражено по адресу 0x000000, а ПЗУ (картридж) - по адресу 0x80000, соответственно компоненты ядра Linux были разделены на две отдельные области памяти: секции .rodata и .text с константами и кодом были размещены на картридже, а секции .data и .bss с изменяемыми данными в оперативной памяти. Так как CPU 68000 ищет таблицу векторов прерываний по адресу 0x0, а ядро фактически размещается на картридже, содержимое которого отражено по адресу 0x80000, дополнительно был применён хак с копированием векторов прерываний в ОЗУ.
Проблема с отсутствием таймера в CPU Motorola 68000 была решена через задействование таймеров, используемых в DSP для синтеза звука. Данные таймеры были применены для генерации прерываний для активации планировщика задач. Для вывода сообщений ядра во время загрузки был написан отдельный драйвер консоли, осуществлявший вывод с симуляцией параллельного порта через выводы TXD и RXD, управляемые через DSP-процессор.
Для сборки компонентов пространства пользователя был задействован инструментарий Buildroot с патчами от проекта LinuxMD. Для экономии памяти при инициализации напрямую вызывалась командная оболочка "/bin/busybox sh", функция malloc в библиотеке uClibc была заменена на упрощённый вариант malloc-simple, не сохраняющий дополнительные метаданные,
а вместо полноценного загрузчика, такого как U-Boot, выполнялась прямая передача управления ядру командой "jmp $80000".
Опубликован релиз дистрибутива Deepin 25.2, развивающего собственный рабочий стол Deepin Desktop Environment (DDE), а также около 40 пользовательских приложений, среди которых музыкальный проигрыватель Deepin Music, видеоплеер Deepin Movie, инсталлятор и центр установки программ Deepin Store. Проект основан группой разработчиков из Китая, но трансформировался в международный проект и поддерживает русский язык. Репозиторий дистрибутива включает более 8000 пакетов. Все наработки распространяются под лицензией GPLv3. Размер загрузочных iso-образов 6.5 ГБ (amd64, arm64, riscv64 и loongarch64).
Компоненты рабочего стола и приложения разрабатываются с использованием языков C/C++ и Go. Графический интерфейс построен с использованием библиотеки Qt. Ключевой особенностью рабочего стола Deepin является панель, которая поддерживает несколько режимов работы. В классическом режиме осуществляется более явное отделение открытых окон и предлагаемых для запуска приложений, отображается область системного лотка. Эффективный режим чем-то напоминает Unity, смешивая индикаторы запущенных программ, избранных приложений и управляющих апплетов (настройка громкости/яркости, подключённые накопители, часы, состояние сети и т.п.). Интерфейс запуска программ предоставляет два режима - просмотр избранных приложений и навигация по каталогу установленных программ.
Значительно повышена стабильность экспериментального десктоп-окружения Treeland Desktop Environment, построенного на базе композитного сервера Treeland Window Compositor, отличающегося высокой производительностью анимированных эффектов и поддержкой управления жестами на тачпаде. Добавлены возможности для управления устройствами ввода, настройки параметров экрана, персонализации и управления энергопотреблением. Расширены средства для многомониторных конфигураций - появился режим клонирования вывода на несколько экранов, продления содержимого на другой экран, выставления разных разрешений экрана и коэффициентов масштабирования для подключённых мониторов. Обеспечена корректная работа динамических обоев рабочего стола и перехода в ждущий режим или отключения экрана при неактивности.
Расширены возможности поиска. Добавлены настройки индексации файлов, позволяющие включать, отключать и обновлять индексы в разделе расширенной конфигурации файлового менеджера. Ускорен поиск по именами файлов. Добавлена опция для включения при индексации оптического распознавания текста на изображениях, что может быть полезным для поиска скриншотов и отсканированных документов. В результатах поиска для наглядности реализован показ отрывков текста и участков изображений, совпадающих с заданными в запросе ключевыми словами. Улучшено извлечение содержимого документов при поиске. Внесены изменения для повышения точности поиска.
В файловом менеджере оптимизирована работа с совместными сетевыми хранилищами, повышена безопасность монтирования и отмонтирования, улучшена работа с внешними накопителями.
В среде рабочего стола DDE (Deepin Desktop Environment) в панели задач в режиме раздельного показа окон реализовано отображение разных пиктограмм для разных окон одного приложения.
В настройках экрана предоставлена возможность объединения нескольких рядом расположенных мониторов в один неразрывный логический экран, на котором, например, можно показывать презентации или визуализировать данные с систем мониторинга.
Реализован умный режим выбора зеркал для загрузки обновлений, автоматически предлагающий наиболее близкое зеркало или позволяющий пользователю вручную выбрать зеркало после тестирования скорости загрузки с разных зеркал.
Оптимизированы операции, связанные с запуском программ, использованием сенсорного экрана, работой панели задач, выставлением фокуса ввода, показом всплывающих уведомлений и переключением между окнами. Оптимизирована логика определения доступных сетей и переключения между сетями в конфигурациях с несколькими сетевыми адаптерами.
Обновлены пакеты с ядром, поставляемые с ветками 6.6 и 6.18. Обновлены версии Qt6, initramfs, ALSA, PipeWire, libvirt, os-config, deepin-debug-config, OpenSSL, OpenSSH, curl, poppler, xorg-server, xwayland, ffmpeg и других базовых пакетов.
В эмуляторе терминала оптимизировано выполнение команд и применение темы оформления.
В архиваторе оптимизирована обработка архивов, переделаны диалоги ввода пароля и улучшено извлечение файлов с длинными именами.
В почтовом клиенте улучшен перенос учётных записей.
В просмотрщике документов реализована построчная прокрутка с помощью стрелок управления курсором.
Обновлены конфигуратор методов ввода, голосовой блокнот, просмотрщик логов, системный монитор и другие компоненты.
Опубликованы корректирующие выпуски X.Org Server 21.1.24 и DDX-компонента (Device-Dependent X) xwayland 24.1.13, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 2 уязвимости, которые потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH.
Исправленные уязвимости:
CVE-2026-55999 - переполнение буфера в реализации архитектуры 2D-ускорения Glamor, затрагивающее функцию glamor_font_get(), выполняющую построение текстурного атласа шрифта через отрисовку каждого глифа в общем буфере. Проблема вызвана тем, что размер буфера определялся на основе заданных в шрифте параметров, а при создании копируемых в буфер данных использовались индивидуальные метрики каждого глифа. Для эксплуатации уязвимости атакующий может подготовить специально оформленный файл в формате PCF, в котором заданы неверные метрики глифа, выходящие за пределы выделенного для них размера памяти. Переполнение возникает на системах, использующих бэкенд glamor (Xorg с драйвером modesetting и Xwayland) при отрисовке текста проблемным шрифтом.
CVE-2026-56000 - обращение к памяти после её освобождения в функции CommonMakeCurrent() при обработке GLX contextTags. Проблема вызвана тем, что при использовании функции realloc() данные массива cl->contextTags перемещались в новый буфер, но в обиходе оставался указатель, ссылающийся на старый буфер.
Для инициирования перемещения буфера клиент мог занять все выделенные для GLX-контекста элементы массива, после чего создать ещё один дополнительный контекст.
Дополнительно можно отметить выпуск библиотеки libXfont 2.0.8, используемой в X-сервере. В обновлении устранены 3 уязвимости (CVE-2026-56001, CVE-2026-56002, CVE-2026-56003), приводящие к переполнению буфера при разборе специально оформленных шрифтов в формате PCF.
Компания Valve опубликовала релиз проекта Proton 11.0-1, основанного на кодовой базе проекта Wine и нацеленного на обеспечение запуска в Linux игровых приложений, созданных для Windows и представленных в каталоге Steam. Выпуск 11.0-1 отмечен как первый стабильный релиз ветки 11.0. Наработки проекта распространяются под лицензией BSD.
Proton позволяет напрямую запускать в Linux-клиенте Steam игровые приложения, поставляемые только для Windows. Пакет включает в себя реализацию DirectX 8/9/10/11 (на базе пакета DXVK) и DirectX 12 (на базе vkd3d-proton), работающие через трансляцию вызовов DirectX в API Vulkan, предоставляет улучшенную поддержку игровых контроллеров и возможность использования полноэкранного режима независимо от поддерживаемых в играх разрешений экрана. Для увеличения производительности многопоточных игр поддерживаются механизмы "esync" (Eventfd Synchronization) и "futex/fsync".
До версии 2.7.1 обновлена прослойка DXVK, транслирующая вызовы в API Vulkan. VKD3D-Proton, ответвление от vkd3d, созданное Valve для улучшения поддержки Direct3D 12 в Proton, обновлено до состояние репозитория от 10 апреля.
Проект LineageOS ввёл в строй новый раздел со статистикой использования прошивок. Заявлено, что проект насчитывает почти 1.5 млн активных установок, из которых только 26% (374 тысячи) приходится на официальные сборки, а 74% (1.1 млн) затрагивают неофициальные сборки, собранные сторонними проектами. В рейтинге устройств лидирует не смартфон, а Waydroid - окружение для запуска Android-приложений в Linux. На втором месте смартфон Xiaomi Mi 8, который по числу установок более чем в 2 раза отстаёт от Waydroid.
Наибольшее число установок приходится на США (339 тысяч установок), Китай (298 тысяч), Бразилию (280 тысяч), Россию (62 тысячи) и Вьетнам (55 тысяч). В России и в США 2/3 установок произведено не на смартфоны: в США пользуются популярностью установки в Waydroid, Nintendo Switch и Raspberry Pi, а в России почти все установки приходятся на запуск в Waydroid. В Китае, Бразилии и Вьетнаме большая часть установок приходится на смартфоны: в Китае по числу установок с большим отрывом лидирует Xiaomi Mi 8, в Бразилии - Motorola moto g7, а во Вьетнаме - Samsung Galaxy S7.
Общий рейтинг применения LineageOS:
Waydroid - 231 тысяча установок.
Xiaomi Mi 8 - 111 тысяч.
Motorola moto g7 power - 50 тысяч.
Samsung Galaxy S7 - 42 тысячи.
Motorola moto g7 play - 39 тысяч.
Xiaomi Mi 10T и Xiaomi Redmi K30S Ultra - 38 тысяч.
Samsung Galaxy S7 Edge - 27 тысяч.
Xiaomi Mi 6 - 26 тысяч.
Только в 8.8% установок используется последняя версия LineageOS 23.2, а в 8.1% и 5.4% - версии 22.2 и 21.1, для которых оперативно формируются обновления с устранением уязвимостей.
73.4% установок приходится на устаревшие версии 20.0 (29.9%), 18.1 (23.7%), 17.1 (14.3%) и 19.1 (5.5%). Для веток LineageOS 18, 19 и 20 бэкпортирование патчей с устранением уязвимостей продолжается и на данный момент для них доступны исправления из июльского обновления Google. Для веток LineageOS 14, 15, 16 и 17 процесс бэкпортирования существенно усложнён из-за изменений в кодовых базах. Для веток LineageOS 16 и 17 пока доступны обновления по состоянию на ноябрь 2025 года. Для веток LineageOS 14 и 15 в ближайшие время планируют адаптировать патчи за ноябрь 2025 года.
Из других недавних достижений LineageOS можно отметить начало разработки LineageOS 24 на базе Android 17 и появление web-интерфейса для установки прошивки через браузеры на движке Chromium, поддерживающие API WebUSB. Возможна перепрошивка в режимах ADB (Recovery mode),
Fastboot (Fastboot / Fastbootd) и Odin (Samsung).
Также упоминается значительное обновление приложения Updater, в котором задействован новый интерфейс, использующий концепцию дизайна Material 3 Expressive. Осуществлён переход на использование по умолчанию режима потоковой установки пакетов A/B OTA-обновлений, которые распаковываются в неактивный системный раздел по мере загрузки, без предварительного сохранения в файл, что снизило потребление памяти и ускорило установку обновлений.
Во FreeBSD устранено 22 уязвимости, из которых одна потенциально позволяет удалённо выполнить код с правами root, а 13 дают возможность повысить свои привилегии в системе. Уязвимости устранены в обновлениях FreeBSD 15.1-RELEASE-p1, FreeBSD 15.0-RELEASE-p11, 14.4-RELEASE-p7 и 14.3-RELEASE-p16.
Наиболее опасная уязвимость (CVE-2026-49420) вызвана переполнением буфера в библиотеке libalias, применяемой в работающем на уровне ядра пакетном фильтре ipfw и в выполняемом в пространстве пользователя фоновом процессе natd для трансляции адресов отправляемых или принимаемых сетевых пакетов. Переполнение возникало в обработчике протокола RTSP (Real Time Streaming Protocol), который перезаписывал исходящие сетевые пакеты с использованием буфера фиксированного размера без проверки того, помещается ли в него результат перезаписи пакета.
Во время обработки на NAT-шлюзе специально оформленного RTSP-трафика может возникнуть переполнение стека, потенциально способное привести к удалённому выполнению кода на уровне ядра или процесса natd, выполняемого в системе с правами root.
В качестве обходных путей для блокирования уязвимости можно блокировать загрузку модуля ядра alias_smedia.ko и убрать упоминание обработчика libalias_smedia.so из файла конфигурации /etc/libalias.conf. Если не используется протокол RTSP на межсетевом экране можно заблокировать трафик на сетевые порты 554 и 7070 в правилах, указанных до срабатывания правил NAT.
Уязвимости, приводящие к получению прав root непривилегированным локальным пользователем:
CVE-2026-49415 - состояние гонки в системном вызове execve, позволяющее локальному пользователю при выполнении исполняемых файлов с флагом SUID root модифицировать адресное пространство процесса через procfs или linprocfs в небольшое временное окно, возникающее после настройки нового виртуального адресного пространства процесса, но до обновления данных о его владельце.
CVE-2026-49422 - обращение к уже освобождённой памяти (Use-after-free) в модуле ядра tcp_rack.ko с реализацией алгоритма определения потери TCP-пакетов RACK (Recent ACKnowledgment). Уязвимость можно эксплуатировать для повышения привилегий через манипуляции с локальным сокетом.
CVE-2026-49419 - переполнение счётчика ссылок за нижнюю границу (underflow) в реализации механизма изоляции Jail. Через манипуляции c jail-окружениями с использованием jail-дескрипторов при помощи функций jail_set и jail_get атакующий может добиться сброса счётчика ссылок и освобождения памяти под структуру, которая продолжает использоваться в ядре, что потенциально может быть эксплуатировано для повышения своих привилегий.
CVE-2026-49429 - переполнение буфера в OpenZFS, позволяющее локальному пользователю с ZFS-правами "userused" повысить свои привилегии через манипуляции с ioctl ZFS_IOC_USERSPACE_MANY.
CVE-2026-49427, CVE-2026-49428 - уязвимости в реализации объектов разделяемой памяти "largepage", приводящие к обращению к уже освобождённой памяти в ядре, что может быть эксплуатировано для повышения своих привилегий через манипуляции с функцией sendfile с флагом SF_NOCACHE или функциями open и fspacectl с флагом O_TRUNC.
CVE-2026-49421 - некорректная обработка флага AT_RESOLVE_BENEATH в системных вызовах unlinkat и funlinkat может использоваться для удаления файлов за пределами базовой директории в конфигурациях с ограниченным доступом к ФС.
CVE-2026-49418 - обращение к памяти после её освобождения в подсистеме виртуальной памяти, возникающее при вызове функции msync(MS_INVALIDATE) для маппинга памяти устройства. Атакующий, имеющий доступ к устройству с поддержкой маппинга в память, может использовать уязвимость для повышения своих привилегий.
CVE-2026-49416 - целочисленное переполнение в драйвере консоли vt, позволяющее локальному пользователю потенциально повысить свои привилегии через отправку ioctl CONS_HISTORY, указав слишком большой размер.
CVE-2026-49413 - уязвимость в Linuxulator, позволяющая непривилегированному пользователю подставить свою разделяемую библиотеку через переменную окружения LD_PRELOAD в исполняемый файл с флагом suid и выполнить свой код с привилегиями данного исполняемого файла.
CVE-2026-49412 - обращение к уже освобождённой памяти в обработчике опции IPV6_MSFILTER в сокетах, позволяющее повысить свои привилегии.
CVE-2026-45258 - проблемы с реализацией поддержки маппинга памяти (mmap) в драйвере sound, позволяющие читать и записывать данные в области памяти ядра через манипуляции с устройством /dev/dsp, по умолчанию доступным всем на запись.
CVE-2026-45257 - уязвимость в модуле ядра ktls, позволяющая перезаписать в страничном кэше любой файл, доступный на чтение атакующему. Перезаписав подобным образом suid root файл, например, /bin/su, атакующий может получить права root в системе (эксплоит).
Менее опасные уязвимости:
CVE-2026-49430, CVE-2026-49431 - уязвимости в OpenZFS, приводящие к повреждению памяти ядра и возможности выставления флага "$hasrecvd", не имея на это полномочий.
CVE-2026-49426 - некорректное создание записей аудита для вызовов ptrace. Может использоваться атакующим для обхода систем обнаружения вторжений.
CVE-2026-49423 - удалённая DoS-уязвимость в подсистеме ядра KTLS, эксплуатируемая через отправку специально оформленных TLS-пакетов. Проблема проявляется только на системах использующих KTLS для ускорения обработки TLS (kern.ipc.tls.enable=1).
CVE-2026-49424 - утечка 104 байт из неинициализированного стека ядра в реализации системного вызова waitid() в Linuxulator.
CVE-2026-49425 утечка данных из неинициализированного стека ядра в подсистеме compat32.
CVE-2026-58081, CVE-2026-58082 - переполнения буфера в библиотеке iconv, которые могут быть использованы для атаки на приложения, использующие iconv для преобразования не заслуживающих доверия внешних данных в кодировках HZ, UTF-7, VIQR, ZW и ISO-2022.
Доступен выпуск проекта fheroes2 1.1.17, который воссоздаёт движок игры Heroes of Might and Magic II с нуля. Код проекта написан на C++ и распространяется под лицензией GPLv2. Для запуска игры требуются файлы с игровыми ресурсами, которые можно получить из оригинальной игры Heroes of Might and Magic II. В составе проекта поставляется скрипт для автоматической загрузки и извлечения ресурсов из демоверсии игры, которых достаточно для работы.
Добавлен режим автоматического тестирования карт в редакторе, позволяющий запускать автоматическое прохождение сценариев AI-игроками и наблюдать за развитием игры без участия пользователя.
В редактор добавлена возможность переключения между объектами одной группы с помощью прокрутки колеса мыши.
Улучшено поведение искусственного интеллекта: герои теперь используют возможность оставаться в замках для получения бонуса к передвижению, эффективнее сражаются против призванных фантомов и корректно применяют заклинание "Телепорт" на существах под действием "Берсерка".
Ускорены ходы AI без изменения логики его поведения.
Добавлено плавное инерционное перемещение камеры на карте приключений.
Внесены улучшения в режим "Битва" и исправлены различные проблемы интерфейса.
Рави Шарма (Ravi Sharma) из команды Ubuntu Foundations Team подвёл итоги работы, проведённой за последний год для обеспечения полноценной поддержки архитектуры ARM64 в Ubuntu. Отмечается, что благодаря улучшению инструментария и инфрастурктуры, а также продвижению изменений в основной состав ядра Linux, за год удалось решить специфичные для ARM64 проблемы, такие как распространение пакетов через отдельный репозиторий, отсутствие поддержки live-патчей для ядра, ограниченные возможности для любителей компьютерных игр и недоступность Secure Boot на ноутбуках с чипами Qualcomm Snapdragon.
Основные достижения:
Пакеты для архитектуры ARM64 перенесены из портов (ports.ubuntu.com) в основной архив Ubuntu (archive.ubuntu.com), что позволило задействовать для их распространения ту же инфраструктуру, что используется для архитектуры x86_64. Пакеты для ARM64 теперь доставляются через первичную систему зеркал, что повысило скорость и надёжность при их загрузке. Миграция потребовала внесения изменений в пакеты cloud-init, live-build, livecd-rootfs и ubuntu-release-upgrader. Изменения вошли в состав Ubuntu 26.04 и в процессе бэкпортирования для Ubuntu 24.04 LTS.
Cервис Livepatch, позволяющий вносить исправления в ядро Linux на работающей системе без перезагрузки, распространён на системы на базе архитектуры ARM64. Ранее Live-патчи распространялись только для архитектуры x86_64, так как в ядре Linux для архитектуры ARM64 отсутствовала поддержка надёжных трассировок стека (CONFIG_HAVE_RELIABLE_STACKTRACE) для выявления активности, связанной с обработкой прерываний, а в инструментарии objtool и kpatch отсутствовали полноценные возможности для оценки состояния до и после применения патча. Поддержка Live-патчей для ARM64 предоставлена для Ubuntu 26.04 LTS и Ubuntu Core 26.
Сформирован стабильный snap-пакет с клиентом Steam, собранный для архитектуры ARM64. Так как клиент Steam для Linux доступен только для архитектуры x86, для его запуска на системах ARM64 задействован слой эмуляции на базе пакета FEX. При эмуляции поддерживается проброс GPU и использование Wine, Proton, DXVK и vkd3d для выполнения компьютерных игр, собранных для архитектуры x86_64 и распространяемых через каталог Steam. Работа snap-пакета протестирована на ноутбуках с чипами Qualcomm Snapdragon X Elite, NVIDIA DGX Spark и Radxa Orion O6.
Добавлена поддержка ноутбуков на базе чипов Qualcomm Snapdragon X Elite, таких как Lenovo Thinkpad X13s/T14s и Dell XPS 9345. Изначально поддержка данных устройств была добавлена в базовый iso-образ для систем ARM64, но его невозможно было использовать для загрузки в режиме Secure Boot из-за использования отдельных конфигураций Device Tree, которые прошивка ноутбуков не передавала ядру Linux. Необходимые настройки Device Tree загружались загрузчиком GRUB из отдельного файла, который не охватывался цифровой подписью.
Для решения проблемы ядро и база данных Device Tree были объединены в одном монолитном EFI-файле, похожем на UKI (Unified Kernel Image), подписанном цифровой подписью дистрибутива. Для загрузки этого файла была создана новая EFI-прослойка "stubble", при загрузке определяющая модель устройства через SMBIOS, выбирающая нужные данные Device Tree и подставляющая их в ядро, не нарушая цепочку доверия Secure Boot. Ведётся работа над реализацией поддержки ноутбуков на чипах Snapdragon X2 Elite.
Подготовлен прототип загрузочного образа на базе Ubuntu 26.04 для ноутбуков на ARM64 SoC CIX P1, который в отличие от Snapdragon позволяет определять конфигурацию через таблицы ACPI без применения Device Tree.
Компания Google анонсировала публикацию официальных сборок Chrome для Linux-систем на базе архитектуры ARM64, что позволит запускать в ARM64-сборках Ubuntu браузер Chrome, содержащий CDM-модуль (Content Decryption Module) Widevine, который недоступен в Chromium. Поставка Widevine даст возможность без сторонних патчей просматривать медиаконтент, защищённый авторскими правами (DRM), размещаемый на таких сервисах, как Netflix, Spotify и Disney+. Кроме того, поддержку Widevine намерены интегрировать в snap-пакеты с Firefox и Spotify.
Добавлены новые сборки приложений, доступные в формате snap для архитектуры ARM64. Среди прочего, для ARM64 началась публикация snap-пакетов с OnlyOffice, FreeCAD и Teams for Linux.
