В ходе первой атаки, проведённой 2 апреля, четыре попытки доставки вредоносного кода были блокированы внутренними системами обеспечения безопасности, но одна оказалась успешной. Проблема была выявлена и блокирована 3 апреля. После получения жалоб от сторонних исследователей безопасности о выявлении вредоносных приложений, заверенного сертификатами Digicert, 14 апреля был инициирован повторный разбор, показавший, что 4 апреля была скомпрометирована ещё одна рабочая станция аналитика, которая была установлена три года назад и не содержала ПО CrowdStrike, применяемое в Digicert для выявления и блокирования атак.

Добившись выполнения своего кода на внутренней системе атакующий получил доступ к порталу службы поддержки, на котором можно было просматривать заказы клиентов. Воспользовавшись данной возможностью атакующий узнал коды инициализации заявок на получение сертификатов "EV Code Signing", подтверждённых, но ещё не выданных клиентам. Данные коды были использованы для получения сертификатов от имени клиентов.

По результатам разбора инцидента было отозвано 60 сертификатов, из которых для 27 удалось отследить прямую связь с атакующим, а 33 отозваны превентивно, так как для них не удалось подтвердить получение клиентом. Часть сертификатов атакующие успели применить для заверения цифровой подписью вредоносного ПО семейства "Zhong Stealer".

1. Главная ссылка к новости
2. OpenNews: Digicert отзывает 50 тысяч TLS-сертификатов с расширенной верификацией
3. OpenNews: Mozilla, Cloudflare и Facebook представили TLS-расширение для делегирования короткоживущих сертификатов
4. OpenNews: В Chrome планируют включить механизм Signed HTTP Exchanges (SXG)
5. OpenNews: Разработчики Mozilla отложили прекращение доверия к сертификатам Symantec
6. OpenNews: Symantec продаёт удостоверяющий центр компании DigiCert

Портирование ещё не завершено, и на текущем этапе весь интерес к проекту сосредоточен на том, чтобы оценить насколько работоспособным получится порт, будет ли он проходить набор тестов основного проекта и сложно ли будет сопровождать новый код. В конечном счёте планируется провести сравнительное тестирование вариантов Bun на Zig и Rust.

В декабре прошлого года проект Bun поглотила компания Anthropic, поэтому у Джарреда есть ресурсы для вовлечения в портирование передовых AI-моделей Claude. Платформа Bun применяется в продуктах Claude Code и Claude Agent SDK, и компания Anthropic заинтересована в повышении её качества и развитии. Bun является одним из самых успешных проектов на языке Zig, при этом у разработчиков Zig и Bun расходятся мнения в отношении применения AI в процессе разработки. В проекте Zig утверждён жёсткий запрет применения больших языковых моделей при подготовке pull-запросов, issue и комментариев (запрещён даже перевод через AI неанглоязычных комментариев).

Введение подобных ограничений объясняется разработчиками Zig негативным опытом в рецензировании созданных через AI pull-запросов, которые отнимают ресурсы и время (например, отмечаются бессмысленные изменения, AI-галлюцинации и раздутые коммиты в 10 тысяч строк). Кроме того, проект Zig позиционирует себя как ориентированный на участников, а не вносимый ими вклад в разработку - главной целью принятия pull-запросов называется не добавление нового кода, а помощь в развитии новых участников.

Автор Bun не согласен с запретом AI в Zig и полагает, что AI-слоп останется ностальгическим пережитком 2025 и 2026 годов, а разработка открытого ПО эволюционирует до запрета приёма кода от людей. Люди будут обсуждать проблемы, ставить задачи и расставлять приоритеты, а написание кода и отправка изменений в репозитории станет уделом AI. В качестве причины экспериментов с переписыванием на Rust также отмечается желание устранить проблемы в Bun, вызванные утечками памяти, и неприемлемая для крупных проектов политика Zig в отношении принятия в язык изменений, нарушающих совместимость.

Из-за запрета применения AI разработчики Bun вынуждены поддерживать собственный форк инструментария Zig, в котором благодаря применению AI удалось в 4 раза ускорить компиляцию за счёт распараллеливания семантического анализа и генерации кода. При этом судя по комментарию одного из разработчиков Zig причина отклонения патчей не в AI, а в том, что распараллеливание семантического анализа затрагивает не только компилятор, но и сам язык - чтобы реализовать предложенную функциональность без ошибок и несовместимостей, требуется внесение изменений в язык Zig. Вместо распараллеливания, разработчики Zig развивают инкрементальную компиляцию, которая по их предположению позволит на порядок повысить скорость компиляции.

JavaScript-платформа Bun развивается как высокопроизводительный аналог платформ Node.js и Deno. Проект разрабатывается с оглядкой на обеспечение совместимости с серверными приложениями для Node.js и поддерживает большую часть API Node.js. В состав платформы входит набор инструментов для создания и выполнения приложений на языках JavaScript и TypeScript, а также runtime для выполнения JavaScript-приложений без браузера, пакетный менеджер (совместимый с NPM), инструментарий для выполнения тестов, система сборки самодостаточных пакетов и прослойка для встраивания обработчиков, написанных на языке Си. По производительности Bun заметно обгоняет Deno и Node.js (в тестах на базе фреймворка React платформа Bun в 2 раза опережает Deno и почти в 5 раз Node.js). Для выполнения JavaScript задействован JavaScript-движок JavaScriptCore и компоненты проекта WebKit с дополнительными патчами.

1. Главная ссылка к новости
2. OpenNews: Доступна серверная JavaScript-платформа Bun 1.0, более быстрая, чем Deno и Node.js
3. OpenNews: JavaScript-платформа Bun перешла в руки компании Anthropic
4. OpenNews: Компоненты браузера Ladybird начали переписывать на Rust при помощи AI
5. OpenNews: Переписывание кода при помощи AI для перелицензирования открытых проектов
6. OpenNews: В JavaScript-платформе Bun добавлена поддержка вызова кода на языке Си

Проблема затронула многие DNS-резолверы провайдеров и публичные DNS-сервисы, такие как 1.1.1.1 и 8.8.8.8. В качестве временной меры компания Cloudflare в своём DNS-сервисе 1.1.1.1 отключила проверку подлинности через DNSSEC для доменов в зоне "DE". Пользователи DNS-резолверов, на которых DNSSEC отключён, не пострадали.

Официально причины инцидента пока не объявлены. Предполагается, что проблема возникла из-за ошибки при обновлении цифровой подписи для зоны "DE", произведённом 5 мая в 20:49 (MSK). Применяемый для верификации домена первого уровня ключ является корнем доверия для остальных ключей, используемых в доменах второго уровня, и, в свою очередь, использует ключ домена "." в качестве вышестоящего для подтверждения своего доверия.

В результате проведённой в доменной зоне "DE" операции криптографическая подпись (RRSIG - Resource Record Signature) для DNS-записи NSEC3 оказалась некорректной. Запись NSEC3 применяется для подтверждения подлинности DNS-ответов об отсутствии домена, чтобы исключить атаки по подстановке ответов NXDOMAIN для существующих доменов. В случае проблем с цифровой подписью для записи NSEC3 DNS-сервер не может удостовериться в подлинности хэшей с данными о существовании доменов и, соответственно, не может произвести проверку, считает ответ поддельным и на запросы о любом домене выдаёт ошибку.

1. Главная ссылка к новости
2. OpenNews: Уязвимости KeyTrap и NSEC3, затрагивающие большинство реализаций DNSSEC
3. OpenNews: Сбой в доменной зоне RU из-за ошибки при замене ключей DNSSEC
4. OpenNews: Ошибка при обновлении ключей DNSSEC привела к нарушению работы доменной зоны NZ
5. OpenNews: ICANN призывает к повсеместному внедрению DNSSEC
6. OpenNews: Попытка получения TLS-сертификатов для чужих доменов mobi, используя просроченный домен с WHOIS-сервисом

MyLibrary каталогизирует файлы книг в формате fb2, epub, pdf, djvu, odt, txt, md, как доступные напрямую, так и упакованные в архивы (zip, 7z, jar, cpio, iso, tar, tar.gz, tar.bz2, tar.xz, rar), и создаёт собственную базу данных, не изменяя исходные файлы и не меняя их положения. Для каталогизации также доступен формат fbd (файл книги, упакованный в архив вместе с файлом с расширением fbd, содержащем тег description формата fb2). В формате fbd могут храниться любые файлы, не только книги. Контроль целостности коллекции и её изменений осуществляется за счёт создания базы данных хэш-сумм файлов и архивов.

Реализован поиск книг по различным критериям (фамилия, имя, отчество автора, название книги, серия, жанр) и их чтение через программу, по умолчанию установленную в системе для открытия соответствующих форматов файлов. При выборе книги отображаются аннотация и обложка книги, если таковые доступны. Поддерживается отображение списка файлов, входящих в коллекцию; списка книг, входящих в конкретный файл; списка авторов коллекции; списка книг, для которых пользователь создал заметки.

Возможны различные операции с коллекцией: обновление (осуществляется проверка всей коллекции и сверка хеш-сумм доступных файлов), быстрое обновление (сличаются размеры файлов), экспорт и импорт базы данных коллекции, добавление книг в коллекцию и удаление книг из коллекции, добавление в коллекцию папок с книгами, добавление в коллекцию архивов с книгами, копирование книг коллекции в произвольную папку. Доступно ручное редактирование записей о книгах в базе данных. Создан механизм закладок для быстрого доступа к книгам. Есть возможность создавать пользовательские заметки к книгам. Доступен интерфейс для создания и подключения плагинов.

MyLibrary может работать с коллекциями, находящимися на внешнем сервере (соответствующие папки и файлы должны быть доступны по протоколу SMB и смонтированы на локальном компьютере с помощью gvfs, kio-fuse или их аналогов).

Значимые изменения:

• Проект переведён на использование нового типа базы данных (коллекции, закладки, заметки).
• Добавлен слой совместимости со старыми базами данных: коллекции, созданные в предыдущих версиях программы, загружаются и работают в режиме ограниченной функциональности (отключены функции редактирования базы данных и некоторые другие), закладки и заметки - без каких либо ограничений (старые базы будут автоматически преобразованы в новые при изменении заметок или закладок).
• Графический интерфейс переведён на использование Qt6.
• Изменено поведение функции создания коллекций - теперь в коллекцию можно добавлять произвольный набор папок и поддерживаемых файлов.
• Добавлена функция создания коллекций из inpx файлов. Содержимое inpx файлов будет загружаться "на лету" при переключении на соответствующую коллекцию. Inpx коллекции работают в режиме ограниченной функциональности (отключены функции редактирования базы данных и некоторые другие).
• Изменено поведение функции обновления коллекций. При попытке обновления устаревших и inpx коллекций они будут преобразованы в нативные. При обновлении нативных коллекций - в случае быстрого обновления - проверяются наличие и размеры файлов, если размер файла изменился - будет выполнен его повторный разбор. При обычном обновлении вместо размеров проверяются хеш-суммы файлов.
• Изменено поведение функции добавления книг в существующую коллекцию. Новые книги теперь добавляются в базу данных без перемещения соответствующих файлов.
• Улучшена работа поисковых алгоритмов.
• Ускорена работа функции отображения авторов коллекции.
• Переработан API библиотеки MLBookProc и библиотеки для подключения плагинов.
• Улучшена работа библиотеки разбора xml файлов, добавлена начальная поддержка формата html.
• Отключена возможность создания документации внутренних библиотек в формате pdf. Вместо неё добавлена документация в виде man страниц. Документация в формате html - без изменений.
• Для сборки теперь требуется поддержка компилятором стандарта C++20.
• В разряд обязательных переведена поддержка компилятором стандарта OpenMP.
• Изменены сценарии сборки и сборочные опции.
• Другие небольшие изменения и улучшения.

Дополнительно можно отметить обновление плагина MLFBDPlugin (доступен под лицензией GPLv3 на altlinux.space и GitHub, для пользователей Arch Linux доступен в AUR), предназначенного для создания файлов в формате fbd. В новой версии плагин переведён на использование Qt6.

Также можно отметить первый выпуск плагина MLArchiverPlugin. Плагин предназначен для создания и редактирования архивов и доступен (altlinux.space, GitHub, AUR) под лицензией GPLv3.

Репозитории плагина MLInpxPlugin переведены в архивный режим - функциональность плагина включена в состав основной программы.

1. Главная ссылка к новости
2. OpenNews: Релиз программы для шифрования текста и файлов Stirlitz
3. OpenNews: Выпуск каталогизатора домашней библиотеки MyLibrary 4.3
4. OpenNews: Выпуск p2p-мессенджера Communist 2.0 и библиотеки libcommunist 1.0

Основные улучшения:

• Включён по умолчанию API Temporal, предлагающий альтернативный набор методов для работы с датами и временем. API позволяет манипулировать датами с учётом и без учёта часовых поясов, конвертировать время, форматировать вывод и выполнять арифметические операции со временем. Время может задаваться в независимом от часового пояса представлении (Temporal.PlainDate, Temporal.PlainTime, Temporal.PlainDateTime), с привязкой к часовому поясу (Temporal.ZonedDateTime) и в эпохальном представлении (Temporal.Instant - число наносекунд с 1 января 1970 года).
• Движок V8 обновлён до версии 14.6, применяемой в Chromium 146. Из улучшений по сравнению с прошлым выпуском Node.js отмечена возможность объединять несколько итераторов в один с помощью метода Iterator.concat(), а также реализация спецификации "upsert" для упрощения работы с коллекциями пар ключ/значение в JavaScript-объектах Map и WeakMap.
• HTTP-клиент undici обновлён до ветки 8.x.
• Удалён метод http.Server.prototype.writeHeader(), вместо которого следует использовать http.Server.prototype.writeHead().

Платформа Node.js может быть использована как для серверного сопровождения работы Web-приложений, так и для создания обычных клиентских и серверных сетевых программ. Для расширения функциональности приложений для Node.js подготовлена большая коллекция модулей, в которой можно найти модули с реализацией серверов и клиентов HTTP, SMTP, XMPP, DNS, FTP, IMAP, POP3, модули для интеграции с различными web-фреймворками, обработчики WebSocket и Ajax, коннекторы к СУБД (MySQL, PostgreSQL, SQLite, MongoDB), шаблонизаторы, CSS-движки, реализации криптоалгоритмов и систем авторизации (OAuth), XML-парсеры.

Для обработки большого числа параллельных запросов Node.js задействует асинхронную модель запуска кода, основанную на обработке событий в неблокирующем режиме и определении callback-обработчиков. В качестве способов мультиплексирования соединений поддерживаются такие методы, как epoll, kqueue, /dev/poll и select. Для мультиплексирования соединений используется библиотека libuv, которая является надстройкой над libev в системах Unix и над IOCP в Windows. Для создания пула потоков (thread pool) задействована библиотека libeio, для выполнения DNS-запросов в неблокирующем режиме интегрирован c-ares. Все системные вызовы, вызывающие блокирование, выполняются внутри пула потоков и затем, как и обработчики сигналов, передают результат своей работы обратно через неименованный канал (pipe).

Выполнение JavaScript-кода обеспечивается через задействование разработанного компанией Google движка V8. По своей сути Node.js похож на фреймворки Perl AnyEvent, Ruby Event Machine, Python asyncio и реализацию событий в Tcl, но цикл обработки событий (event loop) в Node.js скрыт от разработчика и напоминает обработку событий в web-приложении, работающем в браузере.

1. Главная ссылка к новости
2. OpenNews: Опубликована платформа Node.js 25.0.0
3. OpenNews: Автор Node.js добивается отмены торговой марки JavaScript
4. OpenNews: Опубликована платформа Node.js 24.0.0
5. OpenNews: Доступна платформа Deno 2.0, развиваемая автором Node.js
6. OpenNews: Доступна серверная JavaScript-платформа Bun 1.0, более быстрая, чем Deno и Node.js

Ранее интерпретатор PHP и движок Zend Engine распространялись под разными лицензиями PHP License и Zend Engine License. Переход на общую лицензию BSD-3 упростит условия лицензирования, обеспечит совместимость с GPL и решит давние проблемы, сохранив при этом все права пользователей и разработчиков. Ранее применявшиеся лицензии были признаны Фондом СПО несовместимыми с GPL из-за пункта, не позволяющего без получения письменного разрешения использовать слово PHP при продвижении производных продуктов.

Изначально ветки PHP 1.x и 2.x поставлялись под лицензией GPLv2, но ветка PHP 3 была переведена на использование двух лицензий - PHP License и GPL. В PHP 4 лицензия была изменена ещё раз - основной код стал распространяться только под лицензией PHP License, а движок Zend Engine, являющийся основной интерпретатора PHP, был размещён в подкаталоге "Zend/" под отдельной лицензией Zend Engine License. Zend Engine License, как и PHP License, содержит ограничения в отношении использования слова Zend в производных продуктах, но дополнительно требует упоминания использования движка в рекламных материалах.

После перехода на лицензию BSD-3 авторские права всех участников разработки сохранились, а права пользователей остались без изменений. Новая лицензия не налагает дополнительных ограничений и не ущемляет имеющихся прав по использованию, модификации и распространению продукта. Лицензии PHP и Zend основаны на тексте 4-пунктовой лицензии BSD и переход на лицензию BSD-3 лишь привёл к удалению пунктов, определяющих требования в отношении использования бренда "PHP", а также к прекращению действия условия, предписывающего упоминать об использовании свободного проекта PHP в производных продуктах.

Cмена лицензии не потребовала получения отдельного согласия от каждого разработчика, так как в тексте лицензий PHP и Zend определены полномочия, позволяющие PHP Group вносить изменения в лицензию и выпускать новые версии лицензии. Для перехода на лицензию BSD-3 было достаточно одобрения членов PHP Group и получения письменного подтверждения от юристов компании Perforce Software, которой принадлежит компания Zend Technologies. Процесс перехода на новую лицензию оформлен как обновление кода до версий PHP License v4 и Zend Engine License v3, текст которых совпадает с текстом лицензии BSD-3.

1. Главная ссылка к новости
2. OpenNews: Релиз языка программирования PHP 8.5
3. OpenNews: Копилефт лицензия CCAI, учитывающая применение для обучения AI-моделей
4. OpenNews: Переписывание кода при помощи AI для перелицензирования открытых проектов
5. OpenNews: Выпуск дистрибутива Apertis 2026, позволяющего не использовать код под лицензией GPLv3
6. OpenNews: Фонд СПО и SFC призвали ONLYOFFICE удалить ограничения, добавленные поверх лицензии AGPL

В основе ToaruOS лежит ядро, использующее гибридную модульную архитектуру, сочетающую монолитную основу и средства для использования загружаемых модулей, в виде которых оформлено большинство имеющихся драйверов устройств, таких как драйверы диска (PATA и ATAPI), ФС EXT2 и ISO9660, framebuffer, клавиатуры, мыши, сетевых карт (AMD PCnet FAST, Realtek RTL8139 и Intel PRO/1000), звуковых чипов (Intel AC'97), а также дополнений VirtualBox для гостевых систем. Ядро поддерживает Unix-потоки, TTY, виртуальную ФС, псевдо-ФС /proc, многопоточность, IPC, ramdisk, ptrace, разделяемую память, многозадачность и другие типовые возможности.

Cистема снабжена композитным оконным менеджером, поддерживает динамически связываемые исполняемые файлы в формате ELF, многозадачность, графический стек, может выполнять Python 3 и GCC. В качестве файловой системы применяется ext2. Загрузчик поддерживает BIOS и EFI. Сетевой стек позволяет использовать API сокетов в стиле BSD-систем и поддерживает сетевые интерфейсы, включая loopback.

Из собственных приложений выделяется похожий на Vi редактор кода Bim, который используется последние несколько лет для разработки специфичных для ToaruOS приложений, таких как файловый менеджер, эмулятор терминала, графическая панель с поддержкой виджетов, пакетный менеджер, а также библиотеки для поддержки изображений (PNG, JPEG) и TrueType-шрифтов. Для ToaruOS выполнено портирование таких программ, как Vim, GCC, Binutils, FreeType, MuPDF, SDL, Cairo, Doom, Quake, Super Nintendo emulator, Bochs и т.п.

Проектом также развивается собственный динамический язык программирования Kuroko, рассчитанный на замену Python при разработке утилит и пользовательских приложений для системы. Язык по синтаксису напоминает Python (позиционируется как сокращённый диалект Python с явным определением переменных) и отличается очень компактной реализацией. Поддерживается компиляция и интерпретация байткода. Интерпретатор байткода предоставляет сборщик мусора, поддерживает многопоточность без применения глобальной блокировки. Компилятор и интерпретатор могут быть собраны в форме небольшой разделяемой библиотеки (~500КБ), интегрируемой с другими программами и расширяемой через C API. Кроме ToaruOS язык может использоваться в Linux, macOS, Windows и запускаться в браузерах с поддержкой WebAssembly.

В новом выпуске:

• В эмулятор терминала добавлена поддержка вкладок, переключаться между которыми можно последовательностью Alt-цифра. Реализована эмуляция жирного начертания шрифтов через двойное наложение глифов. Добавлены подменю "Terminal state" для включения показа состояния различных режимов и "Send signal" для отправки сигналов фоновым процессам.
• Реализован просмотрщик системных руководств, поддерживающий man-страницы в формате roff.
• В контекстное меню добавлено подменю для управления мозаичной компоновкой окон.
• В ядре реализованы новые системные вызовы, среди которых pread/pwrite, sigsuspend, sigqueue, lchown, pipe2, dup3, getrusage и fcntl. Добавлена поддержка флагов FD_CLOEXEC и FD_CLOFORK. Реализована поддержка рандомизации адреса загрузки ядра. ABI системных вызовов переведено на использование инструкций syscall/sysret.
• Значительно расширены возможности виртуальной консоли (TTY), обеспечена эмуляция текстового режима VGA на базе фреймбуфера.
• В версии для архитектуры Aarch64 реализована возможность запуска в виртуальных машинах на базе QEMU.
• В сетевой стек добавлена поддержка одновременной работы с несколькими сокетами ICMP.
• В стандартную библиотеку libc добавлены функции getdelim, getline, scandir, telldir, rewinddir, seekdir, ftruncate, fchmod, fchown, popen, pclose, sig2str, str2sig.
• Добавлены новые стандартные утилиты rmdir, uniq, cmp, zcat, realpath, id, nohup, cksum. Добавлены новые опции в ls, grep и fgrep. Переписаны утилиты ps, top, pstree, killall и pidof, которые переведены на новую библиотеку libtoaru_procfs, унифицирующую работу с псевдо-ФС /proc. Расширен командный интерпретатор esh.
• Добавлена утилита check-image для проверки возможности загрузки изображения графической библиотекой и вывода размера изображения.
• Язык программирования Kuroko обновлён до версии 1.5rc2.
• До версии 3.2 обновлён текстовый редактор Bim, созданный с оглядкой на Vim. В новой версии улучшена подсветка синтаксиса, расширена поддержка скриптов на языке Kuroko и добавлена новая система автодополнения ввода.

1. Главная ссылка к новости
2. OpenNews: Релиз операционной системы FRANK OS 1.0
3. OpenNews: Обновление операционной системы MenuetOS 1.57.70, написанной на ассемблере
4. OpenNews: Операционная система Munal на Rust
5. OpenNews: Google открыл код операционной системы для умных часов Pebble
6. OpenNews: Пятый бета-выпуск операционной системы Haiku R1

Уязвимость возникает из-за отсутствия ограничения рекурсивной обработки директорий в коде для разбора архивов NAR (Nix Archive), что можно использовать для инициирования исчерпания стека сопрограмм и перезаписи содержимого кучи (heap), размещённой после стека без сторожевых страниц памяти. Проблема может быть эксплуатирована любым пользователем, способным устанавливать соединения к nix-daemon. По умолчанию все пользователи имеют такую возможность, что позволяет поднять свои привилегии до пользователя root в многопользовательских установках Nix.

Проблема решена ограничением уровня рекурсии в 64 вложенных директории, добавлением сторожевых страниц памяти между стеком и кучей и реализацией дополнительных проверок символических ссылок в NAR. В Nix уязвимость проявляется начиная с версии 2.24.4 и устранена в выпусках 2.34.7, 2.33.6, 2.32.8, 2.31.5, 2.30.5, 2.29.4, 2.28.7. В Lix уязвимость появилась в выпуске 2.93.0 и устранена в обновлениях 2.93.4, 2.94.2 и 2.95.2. Пакетный менеджер Guix уязвимость не затрагивает.

Помимо этого в опубликованных обновлениях Nix устранена ещё одна уязвимость (CVE отсутствует), которой присвоен средний уровень опасности (4.3 из 10). Проблема проявляется начиная с выпуска Nix 2.24.7 и позволяет организовать запись файлов в область за пределами корневого каталога, в который осуществляется распаковка архива. Уязвимость эксплуатируется через создание в tar-файлах элементов с абсолютными файловыми путями. При распаковке подобных архивов командой "nix-prefetch-url --unpack" или "nix store prefetch-file --unpack" файлы с абсолютными путями извлекаются как есть, без преобразования в относительный путь.

1. Главная ссылка к новости
2. OpenNews: Уязвимости в пакетных менеджерах Nix, Lix и Guix
3. OpenNews: В NixOS предложен метод защиты от подстановки бэкдоров, таких как в XZ
4. OpenNews: Уязвимости в PCP и Nix, позволяющие поднять привилегии в системе
5. OpenNews: Доступен дистрибутив NixOS 25.11, использующий пакетный менеджер Nix
6. OpenNews: Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux

Среди изменений в новом выпуске:

• Предложены новые фреймворки для поддержки интерфейсов GPIO, I2C и SMBus - в ядро добавлены драйверы i2cnex и kgpio, в пространство пользователя библиотеки libi2c.so.1 и libxpio.so.1, а также утилиты i2cadm и gpioadm. На базе новых фреймворков реализованы драйверы для устройств:
  • Intel SMBus (pchsmbus, ismt)
  • LTC4305/6 I2C Mux и GPIO
  • PCA954x I2C-мультиплексоры
  • PCA953x I2C GPIO
  • AT24C I2C EEPROMs
  • DDR4 и DDR5 I2C SPD EEPROM
  • Датчики температуры TS511x DDR5, LM75 I2C и TMP43x I2C.
• Добавлен новый стек драйверов для устройств EEPROM.
• Добавлена поддержка процессоров AMD Phoenix 2 и Intel Alder Lake-N.
• Включена оптимизация обработки IPv6-трафика (fast path), позволяющая повысить пропускную способность за счёт передачи пакетов в обход сервисов DLS (Data Link Services).
• В утилиту pcieadm добавлена поддержка декодирования параметров DOE (Data Object Exchange) и специфичных для отдельных производителей возможностей Virtio.
• В утилиту nvmeadm добавлена поддержка спецификации NVMe 2.1, а также возможности для выполнения команд и отображения форматов логов, специфичных для определённых производителей, например, применяемых в устройствах Sandisk.
• В утилиты cp и mv добавлена опция "-n" для отключения перезаписи существующих файлов. В утилиту ln добавлена опция "-i" для запроса подтверждения перезаписи у пользователя.
• Добавлена поддержка создания и проверки цифровых подписей c использованием алгоритма AES-GMAC. В реализацию протокола SMB 3.1.1 добавлена поддержка GMAC.
• В smbd улучшена поддержка подключения к SMB Active Directory. Поведение асинхронной обработки ответов SMB2 приближено к серверам Windows.
• В команду "zfs change-key" добавлена опция "-o user:prop=value", позволяющая обновлять пользовательские свойства одновременно с изменением ключа шифрования, чтобы избежать их рассинхронизации.
• В гипервизор Bhyve добавлена поддержка гибридных устройств virtio, одновременно предоставляющих старый (legacy) и современный интерфейсы (1.0+) virtio. В драйвер виртуальной сетевой карты viona добавлена поддержка множественных очередей virtio-net (multi-queue) и возможность выставления разных размеров очередей на отправку и получение данных. Включено устройство virtio-scsi.
• В изолированных окружениях (LX zone) реализована эмуляция /proc/self/coredump_filter.
• В scsi_vhci реализована поддержка настройки политик балансировки нагрузки в привязке к отдельным логическим устройствам.
• Компоненты пользовательского окружения пересобраны с использованием компилятора GCC 15.
• В компоновщике ядра реализована поддержка загрузки модулей ядра большего размера.
• Библиотека pcre2 (Perl-compatible Regular Expressions) по умолчанию собрана с JIT.
• Обновлены версии программ, среди которых GCC 15.2.0, SQLite 3.51.3, Git 2.53.0, OpenSSL 3.6.2, OpenSSH 10.3.1, Python 3.13.12, Bash 5.3.3.
  1. Главная ссылка к новости
  2. OpenNews: Oracle опубликовал бесплатную редакцию Solaris 11.4.90 CBE
  3. OpenNews: Выпуск дистрибутива OpenIndiana 2025.10, продолжающего развитие OpenSolaris
  4. OpenNews: Выпуск дистрибутива Tribblix 38, построенного на технологиях OpenSolaris и Illumos
  5. OpenNews: Выпуск дистрибутива OmniOS CE r151056, построенного на технологиях OpenSolaris

Ещё одна уязвимость (CVE-2026-24072) с уровнем опасности 8.8 присутствует в модуле mod_rewrite и позволяет локальным пользователям хостинга, имеющим право создавать файлы ".htaccess", прочитать содержимое любых файлов в системе с привилегиями пользователя под которым запущен процесс httpd.

Менее опасные уязвимости:

• CVE-2026-28780 - переполнение буфера в mod_proxy_ajp, которое может быть эксплуатировано при подключении прокси к вредоносному AJP-серверу. Через передачу специально оформленных AJP-сообщений (Apache JServ Protocol) можно добиться записи 4 байт за границу выделенного буфера.
• CVE-2026-33523 - возможность совершения атаки по разделению ответов HTTP на системах фронтэнд-бэкенд (HTTP response splitting), позволяющей добиться подстановки дополнительных заголовков ответа или расщеплению ответов для того, чтобы вклиниться в содержимое ответов другим пользователям, обрабатываемых в том же потоке между фронтэндом и бэкендом.
• CVE-2026-33006 - атака по сторонним каналам (анализ задержек) на mod_auth_digest, позволяющая обойти Digest-аутентификацию.
• CVE-2026-29168 - отсутствие должного ограничения выделяемых ресурсов при обработке специально оформленного ответа OCSP в mod_md.
• CVE-2026-29169 - разыменование нулевого указателя в модуле mod_dav_lock, которое можно использовать для вызова аварийного завершения серверного процесса.
• CVE-2026-33007 - разыменование нулевого указателя в модуле mod_authn_socache, которое можно использовать для вызова аварийного завершения дочернего процесса в конфигурациях с кэширующим прокси.
• CVE-2026-33857 - чтение одного байта из памяти вне выделенного буфера в модуле mod_proxy_ajp.
• CVE-2026-34032 - чтение данных из памяти вне выделенного буфера из-за отсутствия проверки на завершающий строку нулевой символ в mod_proxy_ajp.
• CVE-2026-34059 - утечка содержимого памяти в mod_proxy_ajp.

Кроме того, в новом выпуске устранены не связанные с безопасностью ошибки в mod_http2 и mod_md, а также добавлены новые MIME-типы в файл conf/mime.types: vnd.sqlite3, HEIC, HEIF.

1. Главная ссылка к новости
2. OpenNews: Релиз http-сервера Apache 2.4.66 с устранением 5 уязвимостей
3. OpenNews: Фонд Apache сменил логотип и начал использование акронима ASF
4. OpenNews: В http-сервере Apache 2.4.65 устранена проблема, ломающая работу mod_rewrite
5. OpenNews: Релиз http-сервера Apache 2.4.64 с устранением 8 уязвимостей

REX может применяться для контроля и ограничения операций, выполняемых скриптами, генерируемыми AI-агентами в процессе выполнения запросов системной автоматизации. При помощи REX владелец хоста может блокировать выполнение нецелевых действий и управлять тем, какие именно операции разрешены, независимо от запросов, поступающих AI-агенту. Подобный подход даёт возможность защититься от нового класса атак, в которых злоумышленники используют подстановку запросов AI-агентам для выполнения действий в системе.

Для написания скриптов в REX применяется язык Rhai, использующий динамическую типизацию и предоставляющий синтаксис, напоминающий смесь JavaScript и Rust. К скрипту привязываются правила на языке Cedar, регламентирующие каждую выполняемую скриптом системную операцию. Скрипты выполняются в изолированном sandbox-окружении, в котором допускаются только явно разрешённые правилами операции с файлами, сетевые возможности, средства управления процессами и прочие системные функции. Каждый системный вызов, такой как открытие, чтение или запись файла, перед выполнением авторизируется в соответствии с заданными правилами.

Модель обеспечения безопасности строится на том, что правила отделены от скриптов и определяются не создателями скриптов или запускающими скрипты, а владельцем сервиса. Для исключения состояния гонки в скриптах и атак через символические ссылки в скриптах по возможности используются файловые дескрипторы, а не пути. По умолчанию выполняемые движком REX скрипты не имеют прямого доступа к хосту и проводят операции через авторизированные Rust API.

1. Главная ссылка к новости
2. OpenNews: Достижение выполнения кода при контроле над текстом комментария в Python-скрипте
3. OpenNews: Уязвимость в Glibc, эксплуатируемая через скрипты на PHP
4. OpenNews: Доступен ShellCheck 0.9, статический анализатор для shell-скриптов
5. OpenNews: Amazon опубликовал открытую криптографическую библиотеку для языка Rust
6. OpenNews: Amazon адаптировал инструментарий управлениями контейнерами Finch для работы в Linux

По мнению создателя Notepad++ подобные действия вводят пользователей в заблуждение и создают впечатление, что порт для macOS является частью официального проекта, созданного при участии и с ведома автора Notepad++. Код порта написан сторонним энтузиастом с использованием AI-ассистента Claude. В репозитории и на сайте не уточняется, что это сторонний проект, поэтому во многих заметках в социальных сетях, блогах и интернет-изданиях порт стали преподносить как появление в Notepad++ поддержки платформы macOS, а не как возникновение отдельного проекта, никак не связанного с разработчиками оригинального Notepad++.

Дон Хо (Don Ho), автор Notepad++, призвал прекратить использование логотипа Notepad++ и переименовать порт, чтобы у пользователей не возникали ложные ассоциации о его связи с основным проектом. В остальном Дон Хо приветствовал попытки адаптировать код для macOS и считает, что проведённая работа сможет помочь многим пользователям данной платформы. Дон Хо ничего не имеет против создания форков отрытого кода, но призывает не вводить в заблуждение их мнимой связью с исходными проектами.

1. Главная ссылка к новости
2. OpenNews: Атака на проект Notepad++, приведшая к выборочной подмене обновлений
3. OpenNews: Notepad++ заблокирован в Китае
4. OpenNews: Сайт открытого проекта Notepad++ подвергся взлому

В новой версии исправлено несколько проблем с безопасностью:

• Неполное устранение в scp уязвимости (CVE-2019-6111), позволяющей перезаписать другие файлы при подключении к вредоносному серверу. При применении scp сервер принимает решение о том, какие файлы и каталоги отправить клиенту, а клиент лишь проверяет корректность возвращённых имён объектов. Проверка на стороне клиента блокирует выход за границы текущего каталога ("../"), но в случае рекурсивного копирования (-r) не учитывает случаи передачи каталогов с именами, отличающимися от изначально запрошенных. Проблема решена через запрет использовании опции "-r" с уже существующим целевым каталогом.
• Уязвимость (CVE-2026-35385) в утилите scp, из-за которой после загрузки файла с правами root с указанием опции "-O" и без опции "-p" не очищались флаги setuid/setgid.
• Возможность обхода выполнения команды "forced_command" в настройках authorized_keys при подключении аутентифицированного пользователя с использованием опции "-t" (вход с проверкой пароля и открытого ключа).
• Отказ в обслуживании через создание локальным пользователем спецфайла с именем authorized_keys, блокирующим операции чтения.
• Чтение данных из области вне буфера при создании обработчиков перенаправления клиентских и серверных запросов, что может привести к закрытию произвольных файловых дескрипторов.

Не связанные с безопасностью изменения:

• В ssh добавлена опция "-R" для пробрасывания unix-сокетов через SSH-туннель.
• В ssd добавлена опция "-M" для ограничения максимальной продолжительности сеанса.
• В "authorized_keys" добавлен опция "permitlisten" для ограничения допустимых портов.
• Прекращена поддержка RSA-ключей, созданных в dropbearkey 0.32 или более ранних версиях данной утилиты, подверженных атаке по сторонним каналам, оценивающей разницу во времени обработки данных, попавших и не попавших в кэш.
• Для блокирования перебора открытых ключей на хостах число запросов открытых ключей ограничено 15 попытками для каждого сеанса.

1. Главная ссылка к новости
2. OpenNews: Уязвимость в Dropbear SSH, допускающая подстановку команд в dbclient
3. OpenNews: Выпуск Dropbear SSH 2024.84
4. OpenNews: Разработчики openSUSE развивают zssh, реализацию SSH на языке Zig
5. OpenNews: Релиз OpenSSH 10.3
6. OpenNews: Представлен SSH3, вариант протокола SSH, использующий HTTP/3

Среди изменений:

• Предоставлена возможность настройки цветов панелей с прогрессом загрузки и картой загрузки. Добавлена опция для использования в строке с прогрессом загрузки цвета, соответствующего состоянию торрента.
• В панель инструментов добавлена кнопка (пиктограмма палитры) для вызова интерфейса создания торрентов (Torrent Creator).
• Для всех платформ реализован интерфейс для настройки стиля и цветовой схемы.
• Добавлена опция для перезагрузки системы после окончания загрузки торрентов.
• Добавлена опция для отключения цветовой индикации состояния торрента.
• Добавлена настройка для управления временем жизни записей в кэше резолвинга имён хостов в DNS.
• В строку статуса добавлена информации о свободном месте на накопителе.
• Добавлена возможность передачи внешним программам комментария к торренту.
• В панели инструментов поменяли местами кнопки добавления файла с торрентом и ссылки на торрент.
• Добавлена опция для копирования путей к содержимому выбранных торрентов.
• Добавлен отдельный расширенный фильтр состояния трекеров.
• Убраны ограничения по использованию подкатегорий. Добавлена поддержка выставления отдельных лимитов отдачи торрентов в привязке к подкатегориям. При удалении категории обеспечено перемещение из неё торрентов в родительскую категорию.
• Обеспечен расчёт блоков торрента в асинхронном режиме.
• Сокращено время возобновления приостановленной загрузки.
• Добавлена возможность настройки времени обновления выбранных RSS-лент. Реализована опция для фильтрации RSS по маске.
• В поисковый движок добавлена поддержка работы через прокси SOCKS4/SOCKS4a. Расширены возможности фильтрации поискового вывода.
• В версии для Windows в интерфейсе создания торрентов разрешено использование символических ссылок.
• В версии для Linux удалена опция для ограничения потребления ОЗУ.
• В web-интерфейсе добавлена функциональность для создания новых торрентов, фильтрации трекеров по состоянию, добавления и удаления трекеров для отдельных торрентов, горизонтальной прокрутки вкладок и аутентификации по ключам к API. Предложен новый интерфейс добавления торрентов. Пиктограммы в формате GIF заменены на векторные изображения SVG.
• Прекращена поддержка сборки с Qt 6.5.

1. Главная ссылка к новости
2. OpenNews: Новая версия BitTorrent-клиента Transmission 4.1.0
3. OpenNews: Релиз Tewi 2.0.0, текстового интерфейса для управления torrent-клиентами
4. OpenNews: Релиз BitTorrent-клиента Deluge 2.2
5. OpenNews: Выпуск qBittorrent 5.1
6. OpenNews: После пятилетнего перерыва выпущен BitTorrent-клиент rTorrent 0.10.0

Dav2d оптимизирован для достижения максимальной производительности и заявлен как самый быстрый из существующих декодировщиков AV2 для всех поддерживаемых платформ. Предполагается, что предложенная в dav2d программная реализация AV2 позволит компенсировать отсутствие аппаратных декодировщиков на ранней стадии продвижения кодека AV2.

По своим целям и архитектуре новая библиотека dav2d напоминает существующий проект dav1d и отличается реализацией кодека AV2 вместо AV1. Некоторые общие возможности перенесены из кодовой базы dav1d. Библиотека dav2d будет поддерживать все возможности AV2, включая расширенные виды субдискретизации и все заявленные в спецификации параметры управления глубиной цвета. Проект находится на стадии разработки и пока не рекомендован для внедрения в рабочие системы, так как финальная спецификация для AV2 ещё не утверждена.

Кодек AV2 не требует лицензионных отчислений и развивается альянсом Open Media (AOMedia) в качестве преемника формата AV1. Особенности кодека AV2:

• оптимизация для применения в потоковом вещании;
• улучшенное предсказание межкадровых изменений;
• значительное улучшение по сравнению с AV1 производительности операций сжатия;
• расширенная поддержка возможностей для виртуальной и дополненной реальности;
• поддержка более широкого диапазона визуального качества;
• возможность одновременной доставки нескольких видео в рамках одного видеопотока с поддержкой их раздельного отображения на экране;
• дополнительные фильтры для подавления шумов, уменьшения артефактов от сжатия и сохранения детализации.

1. Главная ссылка к новости
2. OpenNews: Выпуск кодировщика SVT-AV1 2.0 и декодировщика dav1d 1.4 для формата видео AV1
3. OpenNews: VideoLAN и FFmpeg разработали новый декодировщик для видеокодека AV1
4. OpenNews: Альянс AOMedia анонсировал видеокодек нового поколения AV2
5. OpenNews: На выставке CES 2026 продемонстрирован прототип VLC 4.0 с поддержкой видеокодека AV2
6. OpenNews: Кодек AV2 продемонстрировал снижение битрейта на 30% при уровне качества AV1