Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлены изменения для ветки KDE Plasma 6.7, релиз которой ожидается в июне. Среди недавно внесённых изменений:
На системах с драйверами i915 и Intel XE для GPU Intel в KWin включена поддержка аппаратных overlay-плоскостей (overlay plane), позволяющих отображать содержимое напрямую без прохождения через композитинг. Изменение повысило производительность и сократило энергопотребление приложений и игр, поддерживающих добавленную функциональность.
В KWin добавлены оптимизации, снижающие энергопотребление при работе с полноэкранными окнами и эффектами, на которые не влияет применение прямого вывода (direct scan-out).
В меню приложений Kicker добавлена опция для отображения списка недавно открытых каталогов. В виджетах Kicker и Dashboard предоставлена возможность удаления элементов из секции "Избранное" через их перемещение мышью за пределы виджета.
В виджет управления сетью добавлена поддержка создания дубликатов профилей сетевых соединений.
В правила переопределения атрибутов окон приложений (KWin Window Rules) добавлена возможность привязки диалоговых окон к указанному родительскому окну.
В менеджере установки приложений Discover переделано оформление области с параметрами приложений, в которую перенесена кнопка для установки.
В KDE Frameworks 6.26 повышена чёткость отрисовки пиктограмм QtQuick-приложений при использовании дробного масштабирования (например, выставлении масштаба в 150%). Добавлен провайдер для поиска в KRunner через сервис startpage.com при указании перед запросом префикса "sp", например, "sp KDE Linux".
Карл Ричелл (Carl Richell), основатель и руководитель компании System76, разрабатывающей дистрибутив Pop!_OS и среду рабочего стола COSMIC, добился внесения поправок в продвигаемый в штате Колорадо законопроект CO SB51 (Colorado Senate Bill 51), определяющий требования по верификации возраста в операционных системах. В текст законопроекта добавлено исключение, выводящее из области действия будущего закона дистрибутивы и приложения, поставляемые под открытыми лицензиями.
В поправках, утверждённых профильным комитетом Палаты представителей штата Колорадо, указано, что под действие закона не подпадают поставщики операционных систем и разработчики, распространяющие свои программные продукты под лицензиями, разрешающими копирование, распространение и внесение изменений в код. Исключение распространяется только на программные продукты, не налагающие дополнительные условия, такие как технические или юридические ограничения на установку модифицированных версий.
Законопроект верификации возраста в штате Колорадо утверждён сенатом и ожидает рассмотрения Палатой представителей и подписи губернатором. Законопроект аналогичен закону, уже действующему в штате Калифорния и предписывающему добавление в операционные системы возможности для указания возраста пользователя на этапе регистрации учётной записи и предоставления приложениям программного интерфейса для определения возраста текущего пользователя.
В соответствии с требованиями закона, загруженные и запущенные приложения должны иметь возможность получать от операционной системы информацию о возрасте в 4 градациях: младше 13 лет, от 13 до 16 лет, от 16 до 18 лет, 18 лет и старше. Разработчик приложения должен использовать полученную информацию о возрасте для соблюдения законодательства о защите детей в интернете. За невыполнение требований предусмотрены штрафы до $2500 за неумышленное и до $7500 за умышленное нарушение в отношении каждого пострадавшего ребёнка.
Несколько дней назад для рассмотрения конгрессом США был внесён законопроект, нацеленный на принятие аналогичного федерального закона о верификации возраста, действующего во всех штатах США.
Представлен релиз языка системного программирования Nim 2.2.10. Nim – статически типизированный компилируемый язык программирования с синтаксисом, вдохновлённым Python, и возможностями метапрограммирования на уровне Lisp. Язык компилируется в C, C++ и JavaScript, обеспечивая производительность на уровне C при выразительности высокоуровневых языков. Код проекта поставляется под лицензией MIT.
Возможности Nim включают систему макросов, работающих на AST во время компиляции, поддержку обобщённого программирования с концептами, множественную диспетчеризацию (multiple dispatch), детерминированное управление памятью с поддержкой нескольких стратегий (ARC/ORC, refc, маркировка-и-подметание), встроенную поддержку async/await для асинхронного программирования и FFI для простой интеграции с C/C++/JavaScript. Nim позиционируется как системный язык, подходящий для разработки от встраиваемых систем до веб-серверов, с акцентом на эффективность, безопасность памяти и удобство разработки.
Добавлен экспериментальный флаг "--experimental:typeBoundOps", реализующий RFC #380 и повышающий надёжность работы интерфейсов "hash", "$", "==" для именованных типов при непрямых импортах. Пример:
Исправлена ошибка, при которой "sizeof(T)" внутри шаблона "typedesc", вызываемого из when-выражения дженерика, приводил к ошибке компиляции.
Основные изменения, влияющие на обратную совместимость:
По умолчанию активирован флаг "-d:nimPreviewFloatRoundtrip". Функции "system.addFloat" и оператор "$" теперь используют алгоритм Dragonbox для генерации минимальных строковых представлений чисел с плавающей точкой с гарантиями корректного округления и обратимости преобразования. Для возврата к старому поведению доступен флаг "-d:nimLegacySprintf".
Параметр "default" в функции "tables.getOrDefault" переименован в "def" во избежание конфликтов с "system.default". Код, использующий именованные аргументы "getOrDefault(..., default = ...)", требует обновления.
При включении флага "-d:nimPreviewCheckedClose" функция "close" в модуле "std/syncio" теперь генерирует исключение при ошибках ввода-вывода.
Неизвестные предупреждения и подсказки компилятора теперь генерируют предупреждение "warnUnknownNotes" вместо ошибок.
С флагом "-d:nimPreviewAsmSemSymbol" в операторах asm/emit добавлена проверка типов для символов в обратных кавычках.
Блок "except:" без указания типа теперь вызывает панику при перехвате "Defect". Для обработки рекомендуется использовать "except Exception:" или "except Defect:". Для миграции предусмотрен флаг "--legacy:noPanicOnExcept".
С флагом "-d:nimPreviewCStringComparisons" операторы сравнения ({, >, {=, >=) для "cstring" переключены с семантики ссылок на семантику значений, аналогично "==" и "!=".
Модуль std/parsesql вынесен в отдельный nimble-пакет; для установки требуется "nimble install parsesql" или использование менеджера atlas.
С флагом "-d:nimPreviewDuplicateModuleError" импорт двух модулей с одинаковым именем становится ошибкой компиляции. Для разрешения коллизий рекомендуется использовать алиасы: "import foo as foo1".
Добавлена опция "--mangle:nim|cpp" для выбора стиля манглинга имён при включённой отладочной информации (по умолчанию - cpp).
Второй параметр функций succ, pred, inc, dec в модуле system теперь принимает тип "SomeInteger" вместо "Ordinal".
Операторы битовых сдвигов (shl, shr, ashr) применяют битовую маску к правому операнду в бэкендах C/C++/VM/JS.
Добавлено предупреждение "--warning:ImplicitRangeConversion", обнаруживающее потенциально опасные неявные преобразования к диапазонам меньшего размера (например, int -> range[0..255]), способные вызвать панику времени выполнения.
Нововведения в стандартной библиотеке:
В модуль "setutils" добавлены функции "symmetricDifference", оператор "-+-" и инлайн-версия "toggle" для эффективного вычисления симметрической разности битовых множеств.
В "strutils.multiReplace" добавлена перегрузка для замены символов из набора за один проход - полезно для санитизации строк.
В модуль std/files добавлены процедуры с поддержкой типа Path: getFilePermissions, setFilePermissions, tryRemoveFile, copyFile (с настраиваемым буфером и обработкой ссылок), copyFileWithPermissions, copyFileToDir. Экспортированы типы CopyFlag и FilePermission для тонкого контроля операций с файлами.
Модуль std/dirs получил новые процедуры: copyDir и copyDirWithPermissions для рекурсивного копирования каталогов с сохранением атрибутов.
В бэкендах refc, JS и VM реализована поддержка функции "system.setLenUninit" для типа "string", позволяющей изменять длину строки без инициализации новой памяти при расширении.
В std/parseopt добавлена поддержка нескольких режимов парсинга аргументов командной строки через перечисление CliMode: Nim (по умолчанию), а также экспериментальные Lax и Gnu.
В std/math оператор "^" теперь поддерживает вещественные числа в качестве показателя степени.
Функции min, max и их аналоги из sequtils для openArray теперь принимают пользовательскую функцию сравнения.
Оптимизирована реализация system.substr: при наличии используется copymem (обёртка над C memcpy).
Функция system.newStringUninit помечена как свободная от побочных эффектов, что позволяет использовать её с флагом "--experimental:strictFuncs".
Инструменты и документация:
В генератор документации добавлен флаг "--raw" для отключения рендеринга разметки в JSON-выводе.
Добавлен флаг "--stdinfile" для задания имени файла при запуске кода из stdin (по умолчанию - stdinfile.nim).
Флаг "--styleCheck:warning" позволяет трактовать нарушения стилевых проверок как предупреждения, а не ошибки.
В руководство добавлена документация по прагме completeStruct.
Исправлено более 30 ошибок, в том числе:
Ошибки работы new с ref object и генерации кода для кортежей в массивах;
Проблемы с обработкой static-параметров и typedesc;
Регрессии в системах управления памятью ORC/refc, включая выравнивание объектов и избыточные вызовы nimZeroMem;
Ошибки парсинга в parseopt, parsecfg и генерации кода для бэкенда JavaScript;
Утечки и падения при использовании замыканий, итераторов и больших объектов.
Состоялся выпуск программы для оптического распознавания текста dpScreenOCR 1.5.1, использующей Tesseract. dpScreenOCR позволяет при помощи глобальной горячей клавиши и мыши захватить произвольную область экрана, текст из которой будет распознан. В зависимости от выбора пользователя, программа может копировать распознанный текст в буфер обмена, добавить его в историю или отправить внешней программе. Готовые сборки сформированы для Linux и Windows (также доступны репозитории пакетов для Debian и Ubuntu). Код программы написан на C++ и распространяется под лицензией zlib.
Компания Canonical опубликовала предварительные итоги независимого аудита безопасности инструментария uutils coreutils (Rust Coreutils), написанного на языке Rust и частично применяемого в Ubuntu вместо пакета GNU Coreutils. Аудит был выполнен компанией Zellic, имеющей опыт анализа уязвимостей в проектах на языке Rust. В ходе проверки было выявлено 113 проблем с безопасностью.
В настоящее время уже доступен отчёт (PDF, 156 страниц) с результатами первого этапа аудита, охватывающего наиболее важные утилиты из набора
uutils. На первом этапе, который был проведён с декабря 2025 по январь 2026 года, было выявлено 73 уязвимости, из которых 7 отмечены как критические, 11 - опасные, 29 - средней опасности и 26 - неопасные.
Второй этап аудита был проведён с февраля по март и охватывал второстепенные утилиты, не проверенные на первом этапе. На втором этапе было найдено 40 уязвимостей, опасность которых пока не детализируется (отчёт планируют опубликовать позднее). Информация о всех выявленных проблемах уже передана разработчикам uutils и большая часть уязвимостей была устранена в выпусках uutils 0.5-0.8 без лишней огласки и пометки связи вносимых исправлений с устранением уязвимостей.
Пакет rust-coreutils был включён по умолчанию в осеннем выпуске Ubuntu 25.10, но с учётом выявленных в ходе аудита проблем в LTS-ветке Ubuntu 26.04 возвращены утилиты cp, mv и rm из набора GNU Coreutils. Отмечается, что по состоянию на 22 апреля в данных утилитах остаётся не исправлено 8 известных состояний гонки. Остальные утилиты задействованы из выпуска rust-coreutils 0.8.0. В Ubuntu 26.10 разработчики намерены полностью перейти на rust-coreutils.
Уязвимости в системных утилитах опасны тем, что они используется в скриптах, запускаемых с правами root. Например, устранённая в выпуске uutils coreutils 0.3.0 уязвимость в утилите rm могла быть эксплуатирована при ежедневном запуске из cron скрипта /etc/cron.daily/apport, который выполняется с правами root и рекурсивно удаляет содержимое каталога /var/crash, доступного на запись всем пользователям в системе.
Среди уязвимостей, помеченных в первом отчёте критическими:
Уязвимость в утилите chroot, вызванная обработкой опции "--userspec" после вызова chroot(), но до сброса привилегий. На системах с glibc резолвинг имён через функцию getpwnam() приводит к чтению файла /etc/nsswitch.conf, применяемого в NSS (Name Service Switch), и динамической загрузке указанных в нём библиотек с модулями NSS (libnss_*.so.2). Так как до обработки NSS выполяется вызов chroot() файл /etc/nsswitch.conf загружается относительно нового корня, но NSS-библиотеки загружаются до сброса привилегий. Если пользователь имеет доступ на запись к новому корню, то он может подставить свои NSS-библиотеки и добиться выполнения кода с правами root.
Изменение прав доступа к файлу после сбоя создания именованного канала (FIFO) утилитой mkfifo - если указать в качестве аргумента существующий файл, то mkfifo вернёт ошибку, но при этом аварийно не завершит работу, а выполнит вызов set_permissions() и изменит права доступа к существующему файлу. С учётом umask 022 уязвимость позволяет поменять права доступа к файлу на 644 (rw-r-r-) и получить доступ к файлам, для которых не было разрешено чтение.
Обход ограничений "--preserve-root" в утилите chmod, запрещающих выполнение рекурсивных операций относительно корня ФС. Уязвимость (CVE-2026-35338) вызвана тем, что в коде проверялось только точное совпадение пути с "/" и не выполнялась канонизация файлового пути. Для обхода проверки достаточно использовать путь вида "/../" или символическую ссылку на корень. Уязвимость опасна тем, что при возможности подставить свой путь в системный скрипт вызывающий команду chmod, можно добиться рекурсивного изменения прав доступа для всех файлов в ФС.
В утилите rm допускалась обработка любых сокращений опции "--no-preserve-root" ("--n", "--no", "--no-p", "--no-pres" и т.п.) для отключения защиты от выполнение рекурсивной операции с корнем (например, можно указать "rm -rf --n /" и удалить по ошибке все данные. В GNU Coreutils подобные сокращённые опции запрещены.
Обход ограничений "--preserve-root" в утилите rm, запрещающих выполнение рекурсивных операций относительно корня ФС, через подстановку символической ссылки на "/".
Отсутствие полноценной защиты от указания каталогов, начинающихся с точки. Например, при выполнении "rm -rf ." утилита выведет ошибку, но при указании "rm -rf ./" или "rm -rf .///" молча удалит текущий каталог.
Ошибка в коде разбора аргументов утилиты kill позволяет отправить сигнал всем процессам в системе при указании идентификатора процесса "-1" (kill -1).
В остальном большая часть уязвимостей относится к классу TOCTOU (Time-Of-Check-To-Time-Of-Use), подразумевающему наличие состояния гонки, позволяющего изменить данные в момент после проверки корректности информации, но до выполнения операции с ними, например, подменить файл на символическую ссылку в момент между завершением проверки и началом выполнения операции. В контексте использования утилит cp и mv в системных скриптах, запускаемых с правами root, подобные уязвимости позволяют скопировать или перезаписать произвольные файлы.
Доступна стабильная версия набора базовых системных утилит GNU Coreutils 9.11, в состав которого входят такие программы, как sort, cat, chmod, chown, chroot, cp, date, dd, echo, hostname, id, ln и ls.
Ключевые новшества:
В утилитах cut, nl, unexpan и expand реализована поддержка многобайтовых символов.
В утилиту cut добавлены опции "-w", "-F" и "-O" для совместимости с другими системами.
В утилитах cat и yes при работе в Linux задействован ввод/вывод без буферизации (zero-copy), в некоторых тестах наблюдается ускорение работы в 15 раз.
В "cksum --check" улучшено экранирование имён файлов.
В утилите date реализован разбор дат в формате "dd.mm.yy".
Оптимизированы операции "shuf -i", которые стали выполняться до 2 раз быстрее.
До 2.6 раз ускорена работа "wc -m" при обработке многобайтовых символов.
На ARM-системах с инструкциями NEON выполнение "wc -l" ускорено до 4.5 раз.
В PackageKit, D-Bus-прослойке, унифицирующей операции управления пакетами, выявлена уязвимость Pack2TheRoot (CVE-2026-41651), позволяющая непривилегированному пользователю установить или удалить произвольный пакет и получить root-доступ к системе. Проблема проявляется начиная с версии 1.0.2 (2014 год) и устранена в выпуске PackageKit 1.3.5.
Проблему выявили исследователи из компании Deutsche Telekom при помощи AI-модели Claude Opus. Подготовлен рабочий эксплоит, действующий в большинстве дистрибутивов с PackageKit, но его и детальную информацию об уязвимости планируют опубликовать позднее, чтобы дать пользователям время обновить свои системы. Возможность эксплуатации уязвимости продемонстрирована в
Ubuntu Desktop 18.04/24.04.4/26.04, Ubuntu Server 22.04 - 24.04,
Debian Desktop 13.4, RockyLinux Desktop 10.1 и Fedora 43 Desktop/Server. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch,
Fedora, FreeBSD.
Уязвимость вызвана состоянием гонки при обработке флагов транзакций в фоновом процессе PackageKit, позволяющем подменить параметры операции в момент между прохождением авторизации и до запуска операции с пакетом. Атакующий может отправить D-Bus-запрос для выполнения операции, допустимой для непривилегированного пользователя, после чего следом отправить повторный D-Bus-запрос. Если повторный запрос придёт до фактического начала выполнения разрешённой операции, можно добиться переопределения флагов уже начатой транзакции и изменения прокэшированного состояния.
Таким образом, уже начатая разрешённая транзакция будет выполнена с не исходными параметрами, а с подменёнными параметрами, переданными во втором запросе. Подменив информацию об устанавливаемом пакете можно вместо разрешённого пакета установить любой другой пакет, в том числе локально сохранённый атакующим. Установка пакета выполняется с правами root, поэтому для получения root-доступа в системе атакующий может добавить в пакет собственный scriptlet, автоматически запускаемый перед или после установки.
В кодовую базу Firefox добавлен движок блокирования рекламы adblock-rust, развиваемый разработчиками браузера Brave. Несколько месяцев назад переход Brave на обновлённый adblock-rust позволил снизить потребление памяти на 75% по сравнению с ранее используемым движком блокирования рекламы (в конфигурации по умолчанию потребление памяти снизилось на 45 МБ). Экономия достигается благодаря задействованию вместо структур Vecs и HashMaps формата FlatBuffers для компактного хранения правил блокировки. Движок написан на языке Rust и распространяется под лицензией MPL 2.0.
Аdblock-rust поддерживает блокировку сетевых запросов, косметические фильтры, подмену ресурсов на страницах, расширенный синтаксис правил uBlock Origin, блокировку по списку хостов в формате /etc/hosts и валидацию CSS для отключения правил косметических фильтров с некорректным синтаксисом CSS. Движок оформлен в виде подключаемой библиотеки, компилируемой в машинный код или представление WebAssembly. Подготовлены обвязки для языков Rust, JavaScript и Python.
В Firefox движок adblock-rust отключён по умолчанию, имеет статус экспериментальной возможности и может быть активирован начиная с выпуска Firefox 149. Интерфейс пользователя и предопределённые списки блокировки пока отсутствуют. После интеграции в Firefox движок начал применяться проектом Waterfox, который реализовал виджет для управления блокировкой и добавил настройки в конфигуратор, подключающие такие фильтры, как EasyList, EasyPrivacy, AdGuard Tracking Protection, EasyList Cookie.
Для включения встроенного блокировщика рекламы в Firefox на странице about:config следует выставить параметр "privacy.trackingprotection.content.protection.enabled = true", после чего добавить требуемые наборы фильтров. Например, для использования фильтров EasyList и EasyPrivacy на странице about:config необходимо добавить параметр:
Рабочий стол обновлён до выпуска GNOME 50, в котором удалён код для поддержки X11, реализована новая система сохранения сеансов, переработан интерфейс родительского контроля, улучшена поддержка нецелых уровней масштабирования и механизма VRR (Variable Refresh Rate), реализована поддержка Wayland-протокола color-management-v2 для управления цветом.
По умолчанию задействованы видеопроигрыватель Showtime (вместо Totem) и GNOME Resources (вместо старого приложения для отслеживания потребления ресурсов). Добавлена возможность использования встроенной в GNOME Shell поисковой системы для запуска поиска в web через браузер и поиска snap-приложений.
Улучшена интеграция с рабочим столом приложений в формате snap, используя XDG Desktop Portal для управления доступа приложений к ресурсам вне изолированного окружения. Например, из snap-приложения можно инициировать открытие файлов и каталогов из любой части ФС в файловом менеджере и других десктоп-приложениях. Также можно запрашивать доступ к камере, уведомлениям и USB-устройствам. Права доступа snap-приложений к внешним ресурсам контролируются через конфигуратор GNOME.
В конфигуратор в секцию "Privacy & Security" добавлена панель "Telemetry" для настройки системы накопления и отправки телеметрии Ubuntu Insights, через которую реализован периодический сбор метрик. В панели можно проконтролировать статус отправки телеметрии и просмотреть отправляемые отчёты. Система является опциональной и включается по желанию пользователя в мастере начальной настройки (GNOME Initial Setup). При обновлении версии Ubuntu реализован вывод запроса активации телеметрии.
Минимальные системные требования в Ubuntu Desktop 26.04 повышены с 4 до 6 ГБ ОЗУ (прошлое изменение было в 2018 году, когда требования к ОЗУ увеличились с 1 до 4 ГБ). Для работы также требуется как минимум двухядерный CPU с частотой 2 GHz и 25 ГБ места на постоянном хранилище. Для Ubuntu Server 26.04 минимальные требования составляют 1.5 ГБ ОЗУ и 4 ГБ на накопителе.
Повышена стабильность и производительность при использовании Wayland на системах с GPU NVIDIA.
Расширены возможности по использованию полнодискового шифрования, не требующего ввода пароля разблокировки диска при загрузке, благодаря хранению информации для расшифровки ключей в TPM (Trusted Platform Module). Реализованы возможности для восстановления ключей, применяемых при полнодисковом шифровании на базе TPM. Добавлена поддержка добавления и удаления PIN-кодов или паролей после установки. В конфигуратор добавлена опция для перешифровки диска.
Изменено оформление диалогов, выводимых системой вывода запросов полномочий, требующих у пользователя подтверждения доступа, например, при обращении из snap-пакетов к файлам в домашнем каталоге. Динамическое предоставление доступа организовано с использованием механизма AppArmor.
Проведена работа по унификации установки и обновления пакетов. App Center рассматривается как единое приложение для управления всеми видами приложений, независимо от формата, в котором они поставляются.
Предложен дополнительный стек виртуализации virt-hwe (Hardware Enablement), компоненты которого два раза в год будут обновляться до новых версий по мере формирования обновлений Ubuntu 26.04.x по аналогии с тем как в подобных обновлениях предлагаются новые версии ядра Linux. В состав набора virt-hwe включены пакеты qemu-hwe, libvirt-hwe, seabios-hwe и edk2-hwe. Для переключения между двумя вариантами пакетов для вирутализации в состав включена утилита ubuntu_virt_helper.
В инсталляторе Ubuntu Server реализована автоматическая установка OEM- и HWE-метапакетов с драйверами и приложениями, необходимыми для корректной работы имеющегося оборудования.
В репозиторий добавлен пакет authd для настройки централизованной аутентификации через облачных провайдеров идентификации, таких как MS Entra ID и Google Cloud Identity.
В утилите sudo-rs, поставляемой вместо sudo, включена по умолчанию индикация ввода пароля (появление звёздочек по мере набора). Для возвращения старого поведения в /etc/sudoers следует выставить настройку "Defaults !pwfeedback".
Для пакетов на языке Rust реализована опциональная поддержка инструментария cargo-auditable, прикрепляющего к исполняемому файлу метаданные об используемых при компиляции версиях зависимостей. При обнаружении уязвимости в зависимости подобная информация позволяет отследить подверженность данной уязвимости используемых исполняемых файлов. Поддержка аудита реализована для пакетов alacritty,
bat, du-dust, eza, fd-find, hyperfine, ripgrep, sd и sudo-rs.
В состав включены компилятор и библиотеки DPC++ (Data Parallel C++) для создания гетерогенных приложений на языке SYCL (надстройка над C++).
В библиотеке libfprint расширена поддержка датчиков отпечатков пальцев и реализована поддержка протокола SDCP (Secure Device Connection Protocol).
Для систем с GPU AMD и Intel включена по умолчанию поддержка аппаратного кодирования и декодирования видео через VA-API.
В ядре cgroupfs по умолчанию теперь монтируется с опциями "nsdelegate, memory_recursiveprot, memory_hugetlb_accounting". В systemd удалена поддержка cgroup v1 и переведены в разряд устаревших скрипты сервисов System V (прослойка для совместимости с подобными скриптами пока сохранена).
По умолчанию обеспечено монтирование внешних носителей в каталог /run/media вместо /media.
Удалены сервисы blkmapd и nfs-blkmap, применявшиеся для NFS.
Прекращена поддержка систем IBM Z z14 (LinuxONE II) и более ранних поколений.
Для архитектуры ARM64 реализована возможность установки исправлений к ядру Linux на лету (Livepatch) без перезагрузки.
Реализована полная поддержка профиля архитектуры RISC-V RVA23 (RISC-V Application), в который включены расширения для векторных операций и гипервизоров. В настоящее время лишь ограниченное число плат RISC-V поддерживают векторные расширения профиля RVA23, а большинство доступных на рынке устройств соответствуют профилю RVA20.
На стороне хоста и гостевых систем добавлена поддержка конфиденциальных виртуальных машин, использующих для шифрования памяти расширения AMD SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) и Intel TDX (Trust Domain Extensions).
В репозиторий добавлены пакеты с СУБД DocumentDB 0.108, открытой компанией Microsoft. В репозитории "main" обеспечена полная поддержка СУБД MariaDB. Прекращена сборка пакетов с PostgreSQL для архитектуры i386.
В Kerberos добавлена поддержка загрузки файлов конфигурации из каталога "/etc/krb5.conf.d".
В Kubuntu задействованы выпуски KDE Plasma 6.6, KDE Gear 25.12.3, Qt 6.10 и KDE Frameworks 6.24.0. По умолчанию используется сеанс KDE на основе Wayland. В репозитории остаётся пакет "plasma-session-x11" для создания сеанса на базе X-сервера, но он больше не поддерживается командой Kubuntu.
В Edubuntu полностью переписаны инсталлятор и меню администратора, которые теперь включают два бэкенда (GTK4 и Qt6), выбираемых в зависимости от типа рабочего стола, а также содержат модуль Cockpit для web-интерфейса. В поставку включены программа для чтения электронных книг Foliate, rss-ридер Paperboy, видеопроигрыватель GNOME Showtime (вместо Totem), Arduino IDE, Raspberry Pi Imager, редактор химических структур GChemPaint, система заметок GNOME Notes (вместо Gnote). Удалены завязанные на GTK2 пакеты, такие как chemtool.
В Ubuntu Budgie задействован выпуск Budgie Desktop 10.10.2, переведённый на использование Wayland и использующий по умолчанию композитный сервер labwc. В качестве мультимедийного проигрывателя по умолчанию задействован VLC, а в качестве панели - Crystal Dock. Изменено оформление верхней панели. В меню приложений интегрирована секций с избранным контентом.
В Xubuntu продолжает поставляться Xfce 4.20. Из панели по умолчанию удалён плагин с индикаторами, а большинство приложений переведены на KStatusNotifier для отображения пиктограмм в системном лотке.
В Ubuntu Cinnamon задействована среда рабочего стола Cinnamon 6.4.13. Приложение gnome-font-viewer заменено на font-manager, лучше поддерживающий темы оформления Cinnamon.
В Ubuntu Studio предложены три переключаемые варианта компоновки рабочего стола - классический с верхней панелью, в стиле macOS с глобальным меню и в стиле Windows 10 с нижним меню. Инсталлятор и система настройки звука переписаны на Python с раздельными бэкендами для GTK4 и Qt6. В конфигуратор звука добавлена поддержка FFADO для устройств FireWire и возможности для настройки частоты дискретизации и размера буферов для PipeWire.
Добавлен звуковой плагин Loopino (LV2/CLAP/VST2) для загрузки, обрезки и зацикливания звуковых файлов. Добавлен апплет для изменения настроек PipeWire из системного лотка. Добавлен драйвер snd-hdspe для звуковых карт AIO, AIO Pro, RME HDSPe MADI, AES и RayDAT. Добавлен пакет DistroAV для передачи звука и видео в OBS Studio, используя технологию NDI. Обновлены версии пакетов OBS Studio 32.1.0, FreeShow 1.5.9, QPrompt 2.0.1,
RaySession 0.17.4,
Patchance 1.3.2,
Geonkick 3.7.0,
BChoppr 1.12.8,
harpwise 6.34.4 и
blender 5.0.1.
В браузерном движке Gecko выявлена уязвимость (CVE-2026-6770), позволяющая формировать уникальные идентификаторы для отслеживания открытия из одного браузера разных сайтов. Проблема проявляется во всех браузерах на основе Firefox, включая Tor Browser, и работает даже в режиме приватного просмотра. Идентификаторы действуют в рамках текущего процесса браузера и сбрасываются после перезапуска браузера. Уязвимость устранена в выпусках Firefox 150/140.10.0 и Tor Browser 15.0.10.
Для формирования идентификатора достаточно на разных сайтах создать через API IndexedDВ одну и ту же последовательность БД, после чего оценить порядок следования этих БД в результате вызова метода indexedDB.databases(). Для разных экземпляров браузера порядок перечисления БД будет отличаться, но для одного - повторяться.
Подобный порядок сохраняется до перезапуска браузера и воспроизводится независимо от открываемого сайта.
Например, после создания БД "a,b,c,d,e,f,g,h,i,j,k,l,m,n,o,p,r" в одном экземпляре Firefox метод indexedDB.databases() всегда будет возвращать
"g,c,p,a,l,f,n,r,d,j,b,o,h,e,m,i,k", а в другом экземпляре - "j,b,o,h,e,m,i,k,f,n,r,d,g,c,p,a,l". При создании 16 БД можно получить около 44 бит энтропии для идентификации. На генерацию идентификатора не влияет очистка локальных браузерных хранилищ и обновление цепочки Tor-узлов кнопкой "New Identity" в Tor Browser. Метод также может использоваться для идентификации пользователей в окне приватного просмотра.
Уязвимость вызвана особенностью реализации API IndexedDВ, на порядок следования БД в которой влияет раскладка внутренних структур, специфичная для каждого экземпляра рабочего процесса браузера. Порядок элементов в списке БД, возвращаемом методом indexedDB.databases(), зависит не от имён БД или порядка создания БД, а от размещения в глобальной хэш-таблице внутренних UUID-хешей, ассоциированных с именами файлов, в которых хранятся БД на диске.
Представлен релиз проекта QEMU 11.0.0. В качестве эмулятора QEMU позволяет запустить программу, собранную для одной аппаратной платформы на системе с совершенно иной архитектурой, например, выполнить приложение для ARM на x86-совместимом ПК. В режиме виртуализации в QEMU производительность выполнения кода в изолированном окружении близка к аппаратной системе за счёт прямого выполнения инструкций на CPU и задействования гипервизора Xen или модуля KVM в Linux, или модуля NVMM в NetBSD.
Изначально проект был создан Фабрисом Белларом (Fabrice Bellard) с целью обеспечения возможности запуска собранных для платформы x86 исполняемых файлов Linux на архитектурах, отличных от x86. За годы разработки была добавлена поддержка полной эмуляции для 14 аппаратных архитектур, число эмулируемых аппаратных устройств превысило 400. При подготовке версии 11.0.0 внесено более 2500 изменений от 237 разработчиков.
Удалена поддержка 32-разрядных хост-систем, которая была объявлена устаревшей в апреле прошлого года в QEMU 10.0. В декабрьском выпуске 10.2 в генераторе кода TCG (Tiny Code Generator) была прекращена поддержка платформ mips32 и ppc32, а в выпуске QEMU 11.0 удалены оставшиеся платформы i386, arm, ppc и riscv32, а также проведена чистка кодовой базы и сборочной системы от компонентов для работы на 32-разрядных хостах.
Реализован ускоритель виртуализации "nitro" ("-accel nitro") и новый тип эмулируемых систем "nitro", позволяющий запускать в QEMU изолированные анклавы на базе технологии конфиденциальных вычислений AWS Nitro Enclave, например, для локального тестирования в QEMU окружений Nitro Enclave. В AWS EC2 технология Nitro Enclave позволяет запускать в виртуальной машине вложенные изолированные анклавы для работы с конфиденциальными данными, выделяя им часть своих ресурсов.
Улучшена поддержка ускорителей виртуализации MSHV (Microsoft Hypervisor) и WHPX (Microsoft Windows Hypervisor Platform Extensions).
При использовании гипервизора KVM ("-accel kvm") предоставлена поддержка виртуализации расширения Intel CET (Control-flow Enforcement Technology) для применения в виртуальных машинах защиты от эксплоитов, использующих методы возвратно-ориентированного программирования (ROP - Return-Oriented Programming). Также добавлена поддержка перезагрузки конфиденциальных виртуальных машин, использующих для шифрования памяти расширения AMD SEV-SNP (Secure Encrypted Virtualization - Secure Nested Paging) и Intel TDX (Trust Domain Extensions).
В устройство VirtIO-GPU, обеспечивающее работу виртуального GPU, добавлена возможность выставления отличающихся разрешений экрана для разных устройств вывода.
В VirtIO-GPU добавлена поддержка контекстов DRM (Direct Rendering Manager native context), позволяющих повысить производительность работы с виртуальным GPU из гостевой системы за счёт прямой передачи команд в реальный хостовый GPU. Поддержка контекстов DRM включается при использовании нового устройства virtio-gpu-gl с опцией "drm_native_context=on".
В отличие от контекстов Virgl и Venus, работающих на уровне API OpenGL и Vulkan, контекст DRM реализован на уровне UAPI ядра Linux.
Добавлена возможность использования языка C++ для разработки плагинов к генератору кода TCG (Tiny Code Generator).
В блочный драйвер NFS добавлена поддержка сборки с библиотекой libnfs 6.
В блочный драйвер curl добавлена опция "force-range" для принудительного использования HTTP-заголовка "Range" при загрузке образов без предварительной проверки его поддержки отдельным запросом с заголовком HEAD.
В блочном драйвере FUSE отключена обработка операций экспорта в синхронном режиме, приводивших к блокировке запуска виртуальной машины до окончания обработки других FUSE-запросов. Добавлена возможность использования нескольких потоков ввода/вывода (iothread) при выполнении экспорта в FUSE.
В эмулятор архитектуры x86 добавлена поддержка CPU Intel Diamond Rapids ("Xeon 7").
В эмулятор архитектуры ARM добавлена процессорных расширений FEAT_ASID2 и FEAT_E2H0. В генераторе кода TCG реализована эмуляция расширений SME (Scalable Matrix Extension).
В эмулятор архитектуры HPPA добавлена поддержка эмуляции 64-разрядных CPU c 40- и 44-разрядным адресным пространством.
При помощи SeaBIOS-hppa 24 обеспечена инициализация PCI-контроллера Astro, позволяющая использовать PCI-видеокарты на 64-рядных системах.
В эмуляторе архитектуры LoongArch появилась возможность миграции PMU (Performance Monitoring Unit) при использовании гипервизора KVM. В генераторе кода TCG реализована эмуляция расширений
LA v1.1, sc.q и llacq/screl, а также инструкций FRECIP и DRECIP для вычисления обратных значений.
В эмулятор архитектуры PowerPC добавлена поддержка снапшотов.
В эмуляторе архитектуры RISC-V реализована поддержка CPU MIPS P8700 и расширений набора команд Zilsd, Zclsd, ZALASR и Smpmpmt.
В эмуляторе архитектуры s390 появилась поддержка загрузки с устройств virtio-blk-pci и реализована эмуляции инструкции "DIVIDE TO INTEGER".
Принято исправление, в 50-80 раз сокращающее задержки при работе fdmon (file descriptor monitoring) в режиме "aio=io_uring" и нахождении системы в состоянии простоя (idle).
Доступен выпуск проекта Nuitka 4.0, развивающего компилятор для трансляции скриптов на языке Python в представление на языке C, которое затем можно скомпилировать в исполняемый файл, использующий libpython для обеспечения максимальной совместимости с CPython (используются штатные средства CPython для управления объектами). Обеспечена полная совместимость с актуальными выпусками Python 2.6, 2.7, 3.4 - 3.13. По сравнению с CPython скомпилированные скрипты демонстрируют в тестах pystone повышение производительности на 335%. Код проекта распространяется под лицензией Apache.
В новой версии:
Внесены изменения для улучшения совместимости с Python 3.12, 3.13 и 3.14, например, добавлена поддержка отложенной обработки аннотаций и нового синтаксиса аннотирования типов для обобщённых классов и функций.
Добавлена экспериментальная возможность использования компилятора Zig (zig cc) в качестве бэкенда Си-компилятора в Nuitka.
Добавлена предварительная поддержка LTO-оптимизаций при использовании компилятора Clang.
Предложен декоратор "@nuitka_ignore" для исключения компиляции функций.
Реализованы опции: "--project" для сборки с использованием настроек из файла pyproject.toml, "--devel-profile-compilation" для профилирования на этапе сборки, "--debug-self-forking" для отладки форк-бомб, "--include-windows-runtime-dlls" для управление включением C runtime DLL в Windows, "--qt-debug-plugins" для диагностики загрузки Qt-плагинов.
Добавлена поддержка актуальных версий пакетов oracledb, win32ctypes, dask, dataparser, puremagic, pygments.lexers, tomli, av, sentry_sdk, jedi, parso, line_profiler и pandas.
Дополнительно можно отметить отчёт о прогрессе развития JIT-компилятора в CPython. Разработчики поставили перед собой цель поднять производительность JIT к выпуску CPython 3.15 на 5%, а к выпуску 3.16 повысить производительность на 10% и реализовать возможность использования JIT в режиме Free-threading (без глобальной блокировки). В текущем состоянии использование JIT в альфа-сборках CPython 3.15 уже демонстрирует в среднем ускорение на 11-12% на платформе macOS AArch64 и на 5-6% на платформе x86_64 Linux по сравнению со стандартным интерпретатором. При этом в отдельных тестах при включении JIT изменение производительности варьируется от ускорения на более чем 100%, до замедления на 20%.
Не связанный с компанией Microsoft энтузиаст реализовал инструментарий WSL9x (Windows 9x Subsystem for Linux), позволяющий запускать современные ядра Linux внутри ядра Windows 95/98/ME. Проект даёт возможность в одной системе бок о бок выполнять приложения для Linux и Windows 9x, по аналогии с тем как прослойка WSL позволяет работать с Linux-приложениями в современных версиях Windows. Поддерживается запуск только консольных Linux-программ. Код компонентов WSL9x написан на Си и языке ассемблера и распространяется под лицензией GPLv3.
В отличие от WSL2 в WSL9x не применяется виртуализация и ядро Linux выполняется в нулевом кольце защиты параллельно с ядром Windows, что позволяет использовать WSL9x на системах без поддержки аппаратной виртуализации, даже c CPU i486. В системе применяется модифицированное ядро Linux 6.19, собранное для работы в режиме UML (User-mode Linux), предназначенном для запуска ядра как пользовательского процесса. Обращение к POSIX API в UML-слое трансляции заменено на вызов API ядра Windows 9x.
В Windows загружается подготовленный проектом VxD-драйвер, отвечающий за инициализацию подсистемы WSL9x, загрузку и размещение ядра Linux в памяти, диспетчеризацию прерываний, цикличную передачу управления ядру Linux в режиме совместной многозадачности и обработку адресованных Linux-ядру событий из пространства пользователя, таких как выполнение системных вызовов и обращение к невыделенным страницам памяти (page faults). Так как размера таблицы дескрипторов прерываний (IDT, Interrupt Descriptor Table) в ядре Windows 9x недостаточно для установки обработчика прерывания 0x80, для системных вызовов Linux применяется обработчик GPF (General Protection Fault), перехватывающий исключения, возникающие при выполнении инструкции SYSCALL.
Для пользователей предлагается утилита wsl.com, оформленная в виде 16-разрядного DOS-приложения и позволяющая использовать командную строку MS-DOS для запуска Linux-программ. Утилита обеспечивает передачу событий ввода и симулирует функциональность консоли для отображения вывода с поддержкой ANSI escape-кодов.
Проект Fedora рассматривает возможность введения статуса проверенного участника (Fedora Verified), который позволит выделить разработчиков, имеющих вклад в развитие проекта и заслуживающих определённых привилегий, таких как возможность участия в принятии решений. Основной причиной предлагаемых изменений является неопределённость в вопросе, кто может принимать участие голосованиях, проводимых в сообществе.
Получение статуса "Fedora Verified" даст возможность участвовать в голосовании при выборе управляющих советов и выдвигать свою кандидатуру на руководящие позиции, вовлечённые в принятие решений (Fedora Council, FESCo, Mindshare Committee, EPEL Steering Committee). Кроме того, проверенным участникам может предоставляться доступ к дополнительным ресурсам проекта и образовательным программам, например, проводимым в компании Red Hat обучающим курсам.
Для получения статуса "Fedora Verified" участник должен быть вовлечён в работу над проектом как минимум в течение двух циклов подготовки релизов Fedora Linux (6-12 месяцев), иметь значимый вклад (например, написание кода, сопровождение пакетов, подготовка документации, дизайн, исправление ошибок или оказание поддержки), заслужить положительную репутацию в сообществе и не совершать действий, не соответствующих кодексу поведения Fedora.
До 5 мая проект проводит опрос целесообразности введения особого статуса. В опросе рассматриваются такие темы, как метод подтверждения (рекомендации или специальный комитет), оценка разных видов вклада (одинаково ли оценивать написание кода и сопутствующие активности, такие как дизайн, проведение мероприятий, поддержка и активизм), требования к участнику и необходимость переподтверждения после 12 месяцев неактивности.
Эндрю Ланн (Andrew Lunn), мэйнтейнер 9 подсистем, отвечающий за сетевые драйверы в ядре Linux, опубликовал набор патчей, удаляющих из ядра все драйверы для Ethernet-адаптеров с интерфейсами ISA и PCMCIA. Отмечается, что ранее старые драйверы не требовали особых усилий по сопровождению, но с появлением продвинутых AI-инструментов и систем fuzzing-тестирования, используемых новичками для выявления ошибок в ядре, нагрузка на сопровождающих увеличилась.
Эндрю не видит особого смысла в исправлении старых драйверов, которыми, вероятно, уже никто не пользуется, и предлагает удалить их из ядра. В представленном для рецензирования наборе патчей удалено 18 драйверов для Ethernet-устройств с интерфейсами ISA и PCMCIA, выпускавшихся до 2002 года. В случае одобрения Линуса Торвальдса удаление может быть произведено в ядре Linux 7.2, намеченном на середину августа.
Предложенные для удаления драйверы:
3com 3c509, 3c515, 3c574, 3c589 и 3c59x для серий 3Com EtherLinkIII, EtherLink XL "Corkscrew", "RoadRunner" и "Vortex".
amd hplance, mvme147, 7990 lance и nmclan для HP300,
Motorola MVME147 SBC, AMD PCnet32 (AT1500, NE2100), Allied Telesis AT1500, HP J2405A, Alchemy Semi AU1X00.
smsc smc9194 и smc91c92, использовались на ноутбуках DELL c док-станциями и в ethernet-картах Megahertz, Motorola, Ositech и Psion Dacom.
cirrus cs89x0 и mac89x0 для карт с чипами Crystal Semiconductor (Cirrus Logic) CS89[02]0, которые, например, использовались в платах iMX21ADS, компьютерах Macintosh и интегрировались в CPU EP93xx.
fujitsu fmvj18x для Ethernet-карт с чипами Fujitsu FMV-J18x.
xircom xirc2ps для выпускавшихся в конце 1990-х 16-разрядных PCMCIA-карт Xircom.
8390 AX88190, pcnet, ultra и wd80x3 - для NE2000-совместимых Ethernet-карт на чипах Asix AX88190, NS8390, SMC Ultra, SMC EtherEZ, WD8003 и WD8013, таких как D-Link DE-650, Linksys EthernetCard, Accton EN2212, RPTI EP400, PreMax PE-200, Thomas
Conrad и Kingston KNE-PCM.
После публикации патчей к обсуждению подключилось несколько пользователей, которые заявили о наличии в своих инфраструктурах оборудования, использующего предложенные к удалению драйверы. Например, до сих пор используются Motorola MVME147, mac89x0 и 3com 3C905-B. Также упоминается, что удаляемые драйверы могут потребоваться для ретро-систем Alpha, SPARC, PA-RISC и 68000.
