После запрета размещения в каталоге Flathub приложений, сгенерированных при помощи AI, один из разработчиков решил проверить, не лишился ли Flathub из-за подобного запрета ценных участников. Для этого была изучена судьба проектов, отмеченных тегом "AI Slop", который начал применяться во в Flathub январе этого года, для пометки проектов, файл-манифест для которых создан при помощи AI или разработчики которых использовали AI при общении с рецензирующими.
В выборку попали 120 репозиториев проектов, добавленных с января по 1 апреля. После изучения последних коммитов в данных репозиториях выяснилось, что что с мая по июль активность наблюдалась лишь в 32 из них (27%), а 88 (73%) были заброшены или удалены. Многие проекты перестали обновляться почти сразу после подачи заявки во Flathub.
В результате конфликта с лидером проекта OpenMandriva разработчик Давиде Беатричи (Davide Beatrici), имевший доступ к репозитоориям с правами администратора, совершил вредительство, которое привело к повреждению инфраструктуры разработки и нарушению работоспособности систем некоторых пользователей. Беатричи удалил часть GitHub-репозиториев, используемых для разработки компонентов OpenMandriva, а также совершил вредоносные действия в репозитории Cooker, в котором ведётся разработка нестабильной ветки дистрибутива. В частности, он опубликовал пустой пакет, который переводил в категорию устаревших все пакеты GNOME и Cosmic (при помощи тега "Obsoletes:"), что могло нарушить работоспособность систем пользователей, использующих данные среды рабочего стола.
Отмечается, что команда разработчиков OpenMandriva провела аудит активности Беатричи и не выявила других вредоносных действий, помимо вышеупомянутых. В настоящее время ведётся работа по восстановлению удалённых репозиториев и возвращению работоспособности пакетов, переведённых в разряд устаревших. Действия Беатричи стали реакцией на череду событий, возникших после удаления из чата его товарища, отличавшегося токсичным поведением.
Давиде Беатричи известен как один из главных разработчиков приложения для голосового общения Mumble и у команды OpenMandriva не было оснований не доверять ему. Вклад Беатричи в разработку OpenMandriva был не велик, но выступал с инициативой перевода инфраструктуры разработки с GitHub на принадлежащий ему сервер с платформой OneDev. Инициатива была воспринята неоднозначно, так как часть разработчиков была против перевода репозиториев на систему, контролируемую одним участником, и дело не продвинулось дальше создания зеркал на OneDev.
В связанном с инцидентом заявлении лидера OpenMandriva, указано, что вместе с Беатричи к проекту OpenMandriva присоединились два его знакомых, один из которых через некоторое время стал вести себя токсично по отношению к другим разработчикам и пользователям, некоторые из которых после этого покинули проект. Токсичное поведение не было замечено сразу, так как по большей части проявлялось в личной переписке. После нападок на одного из участников в matrix-чате и в обсуждениях на GitHub, лидер проекта удалил абьюзера из чата.
Удаление вызвало недовольство двух участников, включая Беатричи, которые в знак протеста покинули проект. Не видя смысла поддерживать зеркала в инфраструктуре, контролируемой Беатричи, лидер проекта решил отключить для них доступ. В ответ Беатричи злоупотребил остающимися у него правами администратора и скатился до вредительства.
Компания Anthropic объявила о предоставлении сопровождающим и ключевым разработчикам открытых проектов бесплатного 6-месячного доступа к своим сервисам в соответствии с тарифным планом Claude Max 20x ($200 в месяц для платных подписчиков), который включает в 20 раз больше ресурсов, чем тариф Pro, и предоставляет без дополнительных подписок доступ к Claude Code и Claude Cowork.
Требования к участникам открытых проектов, которые могут отправить заявку на получение бесплатной 6-месячной подписки Claude Max 20x:
Авторы и сопровождающие открытых библиотек, пакеты с которыми насчитывают более 200 тысяч загрузок из каталогов, таких как npm, PyPI, crates.io и RubyGems, или которые используются как минимум в 500 репозиториях или в 100 зависимых пакетах.
Ключевые разработчики крупных открытых проектов, имеющие право коммита или входящие в число сопровождающих. В качестве примеров уровня проектов упомянуты CPython, Rust, Node.js, Apache, CNCF, Kubernetes, ядро Linux, Django и Rails.
Активные участники разработки, от которых было принято более 100 pull-запросов в не аффилированные с ними проекты.
Создатели сообществ, в разработке которых участвуют 20 и более сторонних разработчиков, от которых принимались pull-запросы за последний год.
Репозитории, применяемые в работе критически важной инфраструктуры (вес 0.4+ в рейтинге OpenSSF).
Следом за портированием Linux на Sega MegaDrive реализована возможность запуска ядра Linux с набором утилит Busybox на игровой консоли Atari Jaguar, выпущенной в 1993 году. Приставка комплектовалась CPU Motorola 68000, поставлялась с 2 МБ ОЗУ и в качестве постоянного хранилища могла использовать картриджи, объёмом до 6 МБ. Устройство было оснащено двумя сопроцессорами: Tom (GPU c 32-разрядной архитектурой RISC + 64-разрядный процессор обработки видео + 64-разрядный процессор для выполнения логических операций) и Jerry (DSP с 32-разрядной архитектурой RISC для работы со звуком).
По аналогии с портом для Sega MegaDrive для выполнения ядра Linux на CPU Motorola 68000, не имеющем аппаратного модуля управления памятью (MMU), штатное ядро 7.2.0-rc1 было собрано в применяемом для микроконтроллеров режиме "NOMMU", позволяющем использовать плоскую модель памяти с линейным адресным пространством (ранее наработки для работы без MMU развивались в форке ядра uClinux, но затем были приняты в основной состав ядра в форме опции "NOMMU"). Проблема с нехваткой оперативной памяти была решена иначе, через задействование механизма execute-in-place (XIP), позволяющего напрямую выполнять код ядра из ПЗУ без копирования в оперативную память.
ОЗУ на устройстве отражено по адресу 0x000000, а ПЗУ (картридж) - по адресу 0x80000, соответственно компоненты ядра Linux были разделены на две отдельные области памяти: секции .rodata и .text с константами и кодом были размещены на картридже, а секции .data и .bss с изменяемыми данными в оперативной памяти. Так как CPU 68000 ищет таблицу векторов прерываний по адресу 0x0, а ядро фактически размещается на картридже, содержимое которого отражено по адресу 0x80000, дополнительно был применён хак с копированием векторов прерываний в ОЗУ.
Проблема с отсутствием таймера в CPU Motorola 68000 была решена через задействование таймеров, используемых в DSP для синтеза звука. Данные таймеры были применены для генерации прерываний для активации планировщика задач. Для вывода сообщений ядра во время загрузки был написан отдельный драйвер консоли, осуществлявший вывод с симуляцией параллельного порта через выводы TXD и RXD, управляемые через DSP-процессор.
Для сборки компонентов пространства пользователя был задействован инструментарий Buildroot с патчами от проекта LinuxMD. Для экономии памяти при инициализации напрямую вызывалась командная оболочка "/bin/busybox sh", функция malloc в библиотеке uClibc была заменена на упрощённый вариант malloc-simple, не сохраняющий дополнительные метаданные,
а вместо полноценного загрузчика, такого как U-Boot, выполнялась прямая передача управления ядру командой "jmp $80000".
Опубликован релиз дистрибутива Deepin 25.2, развивающего собственный рабочий стол Deepin Desktop Environment (DDE), а также около 40 пользовательских приложений, среди которых музыкальный проигрыватель Deepin Music, видеоплеер Deepin Movie, инсталлятор и центр установки программ Deepin Store. Проект основан группой разработчиков из Китая, но трансформировался в международный проект и поддерживает русский язык. Репозиторий дистрибутива включает более 8000 пакетов. Все наработки распространяются под лицензией GPLv3. Размер загрузочных iso-образов 6.5 ГБ (amd64, arm64, riscv64 и loongarch64).
Компоненты рабочего стола и приложения разрабатываются с использованием языков C/C++ и Go. Графический интерфейс построен с использованием библиотеки Qt. Ключевой особенностью рабочего стола Deepin является панель, которая поддерживает несколько режимов работы. В классическом режиме осуществляется более явное отделение открытых окон и предлагаемых для запуска приложений, отображается область системного лотка. Эффективный режим чем-то напоминает Unity, смешивая индикаторы запущенных программ, избранных приложений и управляющих апплетов (настройка громкости/яркости, подключённые накопители, часы, состояние сети и т.п.). Интерфейс запуска программ предоставляет два режима - просмотр избранных приложений и навигация по каталогу установленных программ.
Значительно повышена стабильность экспериментального десктоп-окружения Treeland Desktop Environment, построенного на базе композитного сервера Treeland Window Compositor, отличающегося высокой производительностью анимированных эффектов и поддержкой управления жестами на тачпаде. Добавлены возможности для управления устройствами ввода, настройки параметров экрана, персонализации и управления энергопотреблением. Расширены средства для многомониторных конфигураций - появился режим клонирования вывода на несколько экранов, продления содержимого на другой экран, выставления разных разрешений экрана и коэффициентов масштабирования для подключённых мониторов. Обеспечена корректная работа динамических обоев рабочего стола и перехода в ждущий режим или отключения экрана при неактивности.
Расширены возможности поиска. Добавлены настройки индексации файлов, позволяющие включать, отключать и обновлять индексы в разделе расширенной конфигурации файлового менеджера. Ускорен поиск по именами файлов. Добавлена опция для включения при индексации оптического распознавания текста на изображениях, что может быть полезным для поиска скриншотов и отсканированных документов. В результатах поиска для наглядности реализован показ отрывков текста и участков изображений, совпадающих с заданными в запросе ключевыми словами. Улучшено извлечение содержимого документов при поиске. Внесены изменения для повышения точности поиска.
В файловом менеджере оптимизирована работа с совместными сетевыми хранилищами, повышена безопасность монтирования и отмонтирования, улучшена работа с внешними накопителями.
В среде рабочего стола DDE (Deepin Desktop Environment) в панели задач в режиме раздельного показа окон реализовано отображение разных пиктограмм для разных окон одного приложения.
В настройках экрана предоставлена возможность объединения нескольких рядом расположенных мониторов в один неразрывный логический экран, на котором, например, можно показывать презентации или визуализировать данные с систем мониторинга.
Реализован умный режим выбора зеркал для загрузки обновлений, автоматически предлагающий наиболее близкое зеркало или позволяющий пользователю вручную выбрать зеркало после тестирования скорости загрузки с разных зеркал.
Оптимизированы операции, связанные с запуском программ, использованием сенсорного экрана, работой панели задач, выставлением фокуса ввода, показом всплывающих уведомлений и переключением между окнами. Оптимизирована логика определения доступных сетей и переключения между сетями в конфигурациях с несколькими сетевыми адаптерами.
Обновлены пакеты с ядром, поставляемые с ветками 6.6 и 6.18. Обновлены версии Qt6, initramfs, ALSA, PipeWire, libvirt, os-config, deepin-debug-config, OpenSSL, OpenSSH, curl, poppler, xorg-server, xwayland, ffmpeg и других базовых пакетов.
В эмуляторе терминала оптимизировано выполнение команд и применение темы оформления.
В архиваторе оптимизирована обработка архивов, переделаны диалоги ввода пароля и улучшено извлечение файлов с длинными именами.
В почтовом клиенте улучшен перенос учётных записей.
В просмотрщике документов реализована построчная прокрутка с помощью стрелок управления курсором.
Обновлены конфигуратор методов ввода, голосовой блокнот, просмотрщик логов, системный монитор и другие компоненты.
Опубликованы корректирующие выпуски X.Org Server 21.1.24 и DDX-компонента (Device-Dependent X) xwayland 24.1.13, обеспечивающего запуск X.Org Server для организации выполнения X11-приложений в окружениях на базе Wayland. В новых версиях устранены 2 уязвимости, которые потенциально могут быть эксплуатированы для повышения привилегий в системах, в которых X-сервер выполняется с правами root, а также для удалённого выполнения кода в конфигурациях, в которых для доступа используется перенаправление сеанса X11 при помощи SSH.
Исправленные уязвимости:
CVE-2026-55999 - переполнение буфера в реализации архитектуры 2D-ускорения Glamor, затрагивающее функцию glamor_font_get(), выполняющую построение текстурного атласа шрифта через отрисовку каждого глифа в общем буфере. Проблема вызвана тем, что размер буфера определялся на основе заданных в шрифте параметров, а при создании копируемых в буфер данных использовались индивидуальные метрики каждого глифа. Для эксплуатации уязвимости атакующий может подготовить специально оформленный файл в формате PCF, в котором заданы неверные метрики глифа, выходящие за пределы выделенного для них размера памяти. Переполнение возникает на системах, использующих бэкенд glamor (Xorg с драйвером modesetting и Xwayland) при отрисовке текста проблемным шрифтом.
CVE-2026-56000 - обращение к памяти после её освобождения в функции CommonMakeCurrent() при обработке GLX contextTags. Проблема вызвана тем, что при использовании функции realloc() данные массива cl->contextTags перемещались в новый буфер, но в обиходе оставался указатель, ссылающийся на старый буфер.
Для инициирования перемещения буфера клиент мог занять все выделенные для GLX-контекста элементы массива, после чего создать ещё один дополнительный контекст.
Дополнительно можно отметить выпуск библиотеки libXfont 2.0.8, используемой в X-сервере. В обновлении устранены 3 уязвимости (CVE-2026-56001, CVE-2026-56002, CVE-2026-56003), приводящие к переполнению буфера при разборе специально оформленных шрифтов в формате PCF.
Компания Valve опубликовала релиз проекта Proton 11.0-1, основанного на кодовой базе проекта Wine и нацеленного на обеспечение запуска в Linux игровых приложений, созданных для Windows и представленных в каталоге Steam. Выпуск 11.0-1 отмечен как первый стабильный релиз ветки 11.0. Наработки проекта распространяются под лицензией BSD.
Proton позволяет напрямую запускать в Linux-клиенте Steam игровые приложения, поставляемые только для Windows. Пакет включает в себя реализацию DirectX 8/9/10/11 (на базе пакета DXVK) и DirectX 12 (на базе vkd3d-proton), работающие через трансляцию вызовов DirectX в API Vulkan, предоставляет улучшенную поддержку игровых контроллеров и возможность использования полноэкранного режима независимо от поддерживаемых в играх разрешений экрана. Для увеличения производительности многопоточных игр поддерживаются механизмы "esync" (Eventfd Synchronization) и "futex/fsync".
До версии 2.7.1 обновлена прослойка DXVK, транслирующая вызовы в API Vulkan. VKD3D-Proton, ответвление от vkd3d, созданное Valve для улучшения поддержки Direct3D 12 в Proton, обновлено до состояние репозитория от 10 апреля.
Проект LineageOS ввёл в строй новый раздел со статистикой использования прошивок. Заявлено, что проект насчитывает почти 1.5 млн активных установок, из которых только 26% (374 тысячи) приходится на официальные сборки, а 74% (1.1 млн) затрагивают неофициальные сборки, собранные сторонними проектами. В рейтинге устройств лидирует не смартфон, а Waydroid - окружение для запуска Android-приложений в Linux. На втором месте смартфон Xiaomi Mi 8, который по числу установок более чем в 2 раза отстаёт от Waydroid.
Наибольшее число установок приходится на США (339 тысяч установок), Китай (298 тысяч), Бразилию (280 тысяч), Россию (62 тысячи) и Вьетнам (55 тысяч). В России и в США 2/3 установок произведено не на смартфоны: в США пользуются популярностью установки в Waydroid, Nintendo Switch и Raspberry Pi, а в России почти все установки приходятся на запуск в Waydroid. В Китае, Бразилии и Вьетнаме большая часть установок приходится на смартфоны: в Китае по числу установок с большим отрывом лидирует Xiaomi Mi 8, в Бразилии - Motorola moto g7, а во Вьетнаме - Samsung Galaxy S7.
Общий рейтинг применения LineageOS:
Waydroid - 231 тысяча установок.
Xiaomi Mi 8 - 111 тысяч.
Motorola moto g7 power - 50 тысяч.
Samsung Galaxy S7 - 42 тысячи.
Motorola moto g7 play - 39 тысяч.
Xiaomi Mi 10T и Xiaomi Redmi K30S Ultra - 38 тысяч.
Samsung Galaxy S7 Edge - 27 тысяч.
Xiaomi Mi 6 - 26 тысяч.
Только в 8.8% установок используется последняя версия LineageOS 23.2, а в 8.1% и 5.4% - версии 22.2 и 21.1, для которых оперативно формируются обновления с устранением уязвимостей.
73.4% установок приходится на устаревшие версии 20.0 (29.9%), 18.1 (23.7%), 17.1 (14.3%) и 19.1 (5.5%). Для веток LineageOS 18, 19 и 20 бэкпортирование патчей с устранением уязвимостей продолжается и на данный момент для них доступны исправления из июльского обновления Google. Для веток LineageOS 14, 15, 16 и 17 процесс бэкпортирования существенно усложнён из-за изменений в кодовых базах. Для веток LineageOS 16 и 17 пока доступны обновления по состоянию на ноябрь 2025 года. Для веток LineageOS 14 и 15 в ближайшие время планируют адаптировать патчи за ноябрь 2025 года.
Из других недавних достижений LineageOS можно отметить начало разработки LineageOS 24 на базе Android 17 и появление web-интерфейса для установки прошивки через браузеры на движке Chromium, поддерживающие API WebUSB. Возможна перепрошивка в режимах ADB (Recovery mode),
Fastboot (Fastboot / Fastbootd) и Odin (Samsung).
Также упоминается значительное обновление приложения Updater, в котором задействован новый интерфейс, использующий концепцию дизайна Material 3 Expressive. Осуществлён переход на использование по умолчанию режима потоковой установки пакетов A/B OTA-обновлений, которые распаковываются в неактивный системный раздел по мере загрузки, без предварительного сохранения в файл, что снизило потребление памяти и ускорило установку обновлений.
Во FreeBSD устранено 22 уязвимости, из которых одна потенциально позволяет удалённо выполнить код с правами root, а 13 дают возможность повысить свои привилегии в системе. Уязвимости устранены в обновлениях FreeBSD 15.1-RELEASE-p1, FreeBSD 15.0-RELEASE-p11, 14.4-RELEASE-p7 и 14.3-RELEASE-p16.
Наиболее опасная уязвимость (CVE-2026-49420) вызвана переполнением буфера в библиотеке libalias, применяемой в работающем на уровне ядра пакетном фильтре ipfw и в выполняемом в пространстве пользователя фоновом процессе natd для трансляции адресов отправляемых или принимаемых сетевых пакетов. Переполнение возникало в обработчике протокола RTSP (Real Time Streaming Protocol), который перезаписывал исходящие сетевые пакеты с использованием буфера фиксированного размера без проверки того, помещается ли в него результат перезаписи пакета.
Во время обработки на NAT-шлюзе специально оформленного RTSP-трафика может возникнуть переполнение стека, потенциально способное привести к удалённому выполнению кода на уровне ядра или процесса natd, выполняемого в системе с правами root.
В качестве обходных путей для блокирования уязвимости можно блокировать загрузку модуля ядра alias_smedia.ko и убрать упоминание обработчика libalias_smedia.so из файла конфигурации /etc/libalias.conf. Если не используется протокол RTSP на межсетевом экране можно заблокировать трафик на сетевые порты 554 и 7070 в правилах, указанных до срабатывания правил NAT.
Уязвимости, приводящие к получению прав root непривилегированным локальным пользователем:
CVE-2026-49415 - состояние гонки в системном вызове execve, позволяющее локальному пользователю при выполнении исполняемых файлов с флагом SUID root модифицировать адресное пространство процесса через procfs или linprocfs в небольшое временное окно, возникающее после настройки нового виртуального адресного пространства процесса, но до обновления данных о его владельце.
CVE-2026-49422 - обращение к уже освобождённой памяти (Use-after-free) в модуле ядра tcp_rack.ko с реализацией алгоритма определения потери TCP-пакетов RACK (Recent ACKnowledgment). Уязвимость можно эксплуатировать для повышения привилегий через манипуляции с локальным сокетом.
CVE-2026-49419 - переполнение счётчика ссылок за нижнюю границу (underflow) в реализации механизма изоляции Jail. Через манипуляции c jail-окружениями с использованием jail-дескрипторов при помощи функций jail_set и jail_get атакующий может добиться сброса счётчика ссылок и освобождения памяти под структуру, которая продолжает использоваться в ядре, что потенциально может быть эксплуатировано для повышения своих привилегий.
CVE-2026-49429 - переполнение буфера в OpenZFS, позволяющее локальному пользователю с ZFS-правами "userused" повысить свои привилегии через манипуляции с ioctl ZFS_IOC_USERSPACE_MANY.
CVE-2026-49427, CVE-2026-49428 - уязвимости в реализации объектов разделяемой памяти "largepage", приводящие к обращению к уже освобождённой памяти в ядре, что может быть эксплуатировано для повышения своих привилегий через манипуляции с функцией sendfile с флагом SF_NOCACHE или функциями open и fspacectl с флагом O_TRUNC.
CVE-2026-49421 - некорректная обработка флага AT_RESOLVE_BENEATH в системных вызовах unlinkat и funlinkat может использоваться для удаления файлов за пределами базовой директории в конфигурациях с ограниченным доступом к ФС.
CVE-2026-49418 - обращение к памяти после её освобождения в подсистеме виртуальной памяти, возникающее при вызове функции msync(MS_INVALIDATE) для маппинга памяти устройства. Атакующий, имеющий доступ к устройству с поддержкой маппинга в память, может использовать уязвимость для повышения своих привилегий.
CVE-2026-49416 - целочисленное переполнение в драйвере консоли vt, позволяющее локальному пользователю потенциально повысить свои привилегии через отправку ioctl CONS_HISTORY, указав слишком большой размер.
CVE-2026-49413 - уязвимость в Linuxulator, позволяющая непривилегированному пользователю подставить свою разделяемую библиотеку через переменную окружения LD_PRELOAD в исполняемый файл с флагом suid и выполнить свой код с привилегиями данного исполняемого файла.
CVE-2026-49412 - обращение к уже освобождённой памяти в обработчике опции IPV6_MSFILTER в сокетах, позволяющее повысить свои привилегии.
CVE-2026-45258 - проблемы с реализацией поддержки маппинга памяти (mmap) в драйвере sound, позволяющие читать и записывать данные в области памяти ядра через манипуляции с устройством /dev/dsp, по умолчанию доступным всем на запись.
CVE-2026-45257 - уязвимость в модуле ядра ktls, позволяющая перезаписать в страничном кэше любой файл, доступный на чтение атакующему. Перезаписав подобным образом suid root файл, например, /bin/su, атакующий может получить права root в системе.
Менее опасные уязвимости:
CVE-2026-49430, CVE-2026-49431 - уязвимости в OpenZFS, приводящие к повреждению памяти ядра и возможности выставления флага "$hasrecvd", не имея на это полномочий.
CVE-2026-49426 - некорректное создание записей аудита для вызовов ptrace. Может использоваться атакующим для обхода систем обнаружения вторжений.
CVE-2026-49423 - удалённая DoS-уязвимость в подсистеме ядра KTLS, эксплуатируемая через отправку специально оформленных TLS-пакетов. Проблема проявляется только на системах использующих KTLS для ускорения обработки TLS (kern.ipc.tls.enable=1).
CVE-2026-49424 - утечка 104 байт из неинициализированного стека ядра в реализации системного вызова waitid() в Linuxulator.
CVE-2026-49425 утечка данных из неинициализированного стека ядра в подсистеме compat32.
CVE-2026-58081, CVE-2026-58082 - переполнения буфера в библиотеке iconv, которые могут быть использованы для атаки на приложения, использующие iconv для преобразования не заслуживающих доверия внешних данных в кодировках HZ, UTF-7, VIQR, ZW и ISO-2022.
Доступен выпуск проекта fheroes2 1.1.17, который воссоздаёт движок игры Heroes of Might and Magic II с нуля. Код проекта написан на C++ и распространяется под лицензией GPLv2. Для запуска игры требуются файлы с игровыми ресурсами, которые можно получить из оригинальной игры Heroes of Might and Magic II. В составе проекта поставляется скрипт для автоматической загрузки и извлечения ресурсов из демоверсии игры, которых достаточно для работы.
Добавлен режим автоматического тестирования карт в редакторе, позволяющий запускать автоматическое прохождение сценариев AI-игроками и наблюдать за развитием игры без участия пользователя.
В редактор добавлена возможность переключения между объектами одной группы с помощью прокрутки колеса мыши.
Улучшено поведение искусственного интеллекта: герои теперь используют возможность оставаться в замках для получения бонуса к передвижению, эффективнее сражаются против призванных фантомов и корректно применяют заклинание "Телепорт" на существах под действием "Берсерка".
Ускорены ходы AI без изменения логики его поведения.
Добавлено плавное инерционное перемещение камеры на карте приключений.
Внесены улучшения в режим "Битва" и исправлены различные проблемы интерфейса.
Рави Шарма (Ravi Sharma) из команды Ubuntu Foundations Team подвёл итоги работы, проведённой за последний год для обеспечения полноценной поддержки архитектуры ARM64 в Ubuntu. Отмечается, что благодаря улучшению инструментария и инфрастурктуры, а также продвижению изменений в основной состав ядра Linux, за год удалось решить специфичные для ARM64 проблемы, такие как распространение пакетов через отдельный репозиторий, отсутствие поддержки live-патчей для ядра, ограниченные возможности для любителей компьютерных игр и недоступность Secure Boot на ноутбуках с чипами Qualcomm Snapdragon.
Основные достижения:
Пакеты для архитектуры ARM64 перенесены из портов (ports.ubuntu.com) в основной архив Ubuntu (archive.ubuntu.com), что позволило задействовать для их распространения ту же инфраструктуру, что используется для архитектуры x86_64. Пакеты для ARM64 теперь доставляются через первичную систему зеркал, что повысило скорость и надёжность при их загрузке. Миграция потребовала внесения изменений в пакеты cloud-init, live-build, livecd-rootfs и ubuntu-release-upgrader. Изменения вошли в состав Ubuntu 26.04 и в процессе бэкпортирования для Ubuntu 24.04 LTS.
Cервис Livepatch, позволяющий вносить исправления в ядро Linux на работающей системе без перезагрузки, распространён на системы на базе архитектуры ARM64. Ранее Live-патчи распространялись только для архитектуры x86_64, так как в ядре Linux для архитектуры ARM64 отсутствовала поддержка надёжных трассировок стека (CONFIG_HAVE_RELIABLE_STACKTRACE) для выявления активности, связанной с обработкой прерываний, а в инструментарии objtool и kpatch отсутствовали полноценные возможности для оценки состояния до и после применения патча. Поддержка Live-патчей для ARM64 предоставлена для Ubuntu 26.04 LTS и Ubuntu Core 26.
Сформирован стабильный snap-пакет с клиентом Steam, собранный для архитектуры ARM64. Так как клиент Steam для Linux доступен только для архитектуры x86, для его запуска на системах ARM64 задействован слой эмуляции на базе пакета FEX. При эмуляции поддерживается проброс GPU и использование Wine, Proton, DXVK и vkd3d для выполнения компьютерных игр, собранных для архитектуры x86_64 и распространяемых через каталог Steam. Работа snap-пакета протестирована на ноутбуках с чипами Qualcomm Snapdragon X Elite, NVIDIA DGX Spark и Radxa Orion O6.
Добавлена поддержка ноутбуков на базе чипов Qualcomm Snapdragon X Elite, таких как Lenovo Thinkpad X13s/T14s и Dell XPS 9345. Изначально поддержка данных устройств была добавлена в базовый iso-образ для систем ARM64, но его невозможно было использовать для загрузки в режиме Secure Boot из-за использования отдельных конфигураций Device Tree, которые прошивка ноутбуков не передавала ядру Linux. Необходимые настройки Device Tree загружались загрузчиком GRUB из отдельного файла, который не охватывался цифровой подписью.
Для решения проблемы ядро и база данных Device Tree были объединены в одном монолитном EFI-файле, похожем на UKI (Unified Kernel Image), подписанном цифровой подписью дистрибутива. Для загрузки этого файла была создана новая EFI-прослойка "stubble", при загрузке определяющая модель устройства через SMBIOS, выбирающая нужные данные Device Tree и подставляющая их в ядро, не нарушая цепочку доверия Secure Boot. Ведётся работа над реализацией поддержки ноутбуков на чипах Snapdragon X2 Elite.
Подготовлен прототип загрузочного образа на базе Ubuntu 26.04 для ноутбуков на ARM64 SoC CIX P1, который в отличие от Snapdragon позволяет определять конфигурацию через таблицы ACPI без применения Device Tree.
Компания Google анонсировала публикацию официальных сборок Chrome для Linux-систем на базе архитектуры ARM64, что позволит запускать в ARM64-сборках Ubuntu браузер Chrome, содержащий CDM-модуль (Content Decryption Module) Widevine, который недоступен в Chromium. Поставка Widevine даст возможность без сторонних патчей просматривать медиаконтент, защищённый авторскими правами (DRM), размещаемый на таких сервисах, как Netflix, Spotify и Disney+. Кроме того, поддержку Widevine намерены интегрировать в snap-пакеты с Firefox и Spotify.
Добавлены новые сборки приложений, доступные в формате snap для архитектуры ARM64. Среди прочего, для ARM64 началась публикация snap-пакетов с OnlyOffice, FreeCAD и Teams for Linux.
В прошивках, применяемых в потребительских и промышленных маршрутизаторах, коммутаторах, беспроводных точках доступа и системах видеонаблюдения компании Tenda, выявлен бэкдор (CVE-2026-11405), позволяющий получить доступ к web-интерфейсу с правами администратора в обход штатного процесса аутентификации и независимо от настроек учётной записи администратора. Предоставляемые права доступа позволяют управлять всеми настройками, манипулировать трафиком, отключить средства защиты и использовать устройство как плацдарм для атаки на системы в локальной сети.
Проблема вызвана наличием в процессе /bin/httpd недокументированной функциональности, встроенной в функцию login(). В случае неудачного завершения штатной проверки пароля по хэшу на основе алгоритма MD5 для любого логина, в коде вызывалась функция GetValue("sys.rzadmin.password"), проверяющая совпадение пароля со значением, предопределённым в прошивке в открытом виде. В случае совпадения, независимо от указанного логина, создавался сеанс с правами администратора.
Для использования бэкдора достаточно наличия доступа для отправки запросов к устройству по HTTP или HTTPS. В качестве обходной меры защиты рекомендуется запретить обращение к встроенному в прошивки HTTP-серверу из внешних сетей.
После трёх месяцев разработки опубликован выпуск OpenSSH 10.4, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. Основные изменения:
Добавлена экспериментальная поддержка комбинированной схемы формирования цифровых подписей "mldsa44-ed25519", сочетающий постквантовый алгоритм ML-DSA 44 и алгоритм на базе эллиптических кривых Ed25519. Для включения поддержки следует добавить "mldsa44-ed25519" в директивы HostKeyAlgorithms и PubkeyAcceptedAlgorithms. Для генерации ключей можно использовать команду "ssh-keygen -t mldsa44-ed25519".
В ssh и sshd задействована новая реализация системы сопоставления по шаблону, основанная на недетерминированном конечном автомате и не подверженная проблеме экспоненциального роста сложности вычислений при использовании масок, содержащих много символов "*".
Изменено поведение Linux-сборок sshd с включённой фильтрацией системных вызовов при помощи seccomp. Ранее сбой при активации
SECCOMP или NO_NEW_PRIVS на Linux-системах без их поддержки приводил к записи в лог предупреждения и продолжения работы без изоляции, а теперь станет приводить к аварийному завершению.
При использовании опции "sshd -G" в дамп конфигурации директивы теперь записываются с использованием прописных и строчных букв, вместо записи только строчными буквами (т.е. "PubkeyAuthentication" вместо "pubkeyauthentication").
Поведение ssh и sshd приведено к соответствию стандарту RFC 4253: отправка во время повторного обмена ключами сообщений, не связанных с обменом ключами, теперь будет приводить к завершению соединения. Ранее злоумышленники могли устроить DoS-атаку, бесконечно отправляя в процессе обмена ключами сторонние сообщения, которые буферизировались на сервере и расходовали память.
Устранено несколько проблем с безопасностью:
В утилите ssh устранено потенциальное обращение к памяти после её освобождения (use-after-free) при обращении к вредоносному серверу. Проблема эксплуатируется через изменение хостового ключа в процессе повторного обмена ключами.
Уязвимость в sftp, позволяющая организовать загрузку файла в другую директорию при обращении к вредоносному серверу с использованием команды вида "sftp host:/path .".
Уязвимость в scp, позволяющая при копировании файлов между двумя внешними серверами, один из которых подконтролен атакующему, организовать запись файлов в родительскую директорию, находящуюся на уровень ниже целевой директории.
Устранена проблема в sshd, проявляющаяся при использовании внутренней реализации SFTP-сервера ("internal-sftp"), отключённой по умолчанию. Проблема связана с отсечением длинных последовательностей в командной строке после 9 аргумента, приводящей к отбрасыванию следующих аргументов. Таким образом потенциально могут быть отброшены опции, связанные с обеспечением безопасности.
В sshd устранена недоработка, из-за которой директива "DisableForwarding=yes" не отключала возможность создания туннелей, разрешённых опцией "PermitTunnel=yes" (по умолчанию не выставляется).
В sshd устранена проблема, которую можно использования для инициирования отказа в обслуживании на стадии до прохождения аутентификации при включении в настройках директивы GSSAPIAuthentication (отключена по умолчанию). Проблема не блокируется через лимит "MaxAuthTries", но подпадает под действие ограничения "PerSourcePenalties".
В sshd устранены недоработки, из-за которых не всегда добавлялась минимальная задержка между попытками аутентификации.
Компания Google опубликовала релиз web-браузера Chrome 150. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 151 запланирован на 28 июля.
Предложены первые результаты инициативы по обновлению оформления интерфейса на разных операционных системах и его избавления от излишеств. Задействованы новые пиктограммы с более сглаженными границами и анимационные эффекты для кнопок, таких как кнопки открытия главного меню и перезагрузки страницы. Упрощена структура контекстных меню, из которых исключены редко используемые или дублирующиеся элементы. Задействовано более современное оформление конфигуратора, менеджера загрузок и страницы для навигации по закладкам.
Продолжено развитие AI-режима, позволяющего взаимодействовать с AI-агентом из адресной строки или со страницы, показываемой при открытии новой вкладки. В новой версии добавлена возможность подключения Chrome к AI-агенту Gemini Spark для автономного выполнения действий в текущей активной вкладке в процессе решения поставленных задач, требующих взаимодействия с web-контентом (нажатие на кнопки, переход по ссылкам, заполнение форм и т.п.). Кроме того, добавлен вывод контекстных рекомендаций по задействованию Gemini при работе с браузером, например, при открытии большой статьи Chrome предложит резюмировать информацию при помощи Gemini, а при редактировании текста в форме порекомендует проверить или исправить текст через Gemini.
У части пользователей задействован единый упрощённый интерфейс для привязки к учётной записи в Google и синхронизации данных, таких как сохранённые пароли и закладки. Синхронизация интегрирована с входом в учётную запись и не преподносится как отдельная возможность в настройках. Пользователи могут подключить Chrome к учётной записи в Google и использовать её для хранения паролей, закладок, истории посещений и вкладок. Данные для автозаполнения адресов и автодополнения ввода теперь не синхронизируются между устройствами и хранятся только на локальной системе.
У части пользователей, активировавших режим расширенной защиты браузера (Enhanced Safe Browsing), включена функция "HTTPS-First", выполняющая автоматическое перенаправление HTTP-запросов на HTTPS. Для обеспечения работы с сайтами, не поддерживающими HTTPS, реализован откат на HTTP, если после перенаправления не удаётся выполнить запрос по HTTPS или возникают проблемы с сертификатами. При попытке открытия сайта по HTTP выводится специальное предупреждение. В Chrome 154 режим планируют включить по умолчанию для всех публично доступных сайтов, размещаемых не в интранет сетях, таких как 192.168.0.1/16 и 10.0.0.0/8.
Удалена поддержка флага kExtensionManifestV2Disabled, позволявшего вернуть возможность установки из каталога Chrome Web Store дополнений, использующих вторую версию манифеста Chrome. В следующем выпуске Chrome 151 будет удалён параметр AllowLegacyMV2Extensions, позволявший вручную в режиме разработчика загружать дополнения на базе второй версии манифеста. Отмеченные флаги позволяли обходным путём установить дополнение uBlock Origin.
Обработчики Web Worker, созданные с использованием URI "data:" (например, через "new Worker('data:text/javascript....')", теперь изолируются от страницы, на которой были созданы, и не имеют доступа к локальным хранилищам и Cookie в контексте текущего домена. Изменение позволяет блокировать использование Web Worker-ов, не загруженных с сервера, а на лету созданных через "data:", для доступа к конфиденциальным данным в процессе XSS-атак.
Реализована защита от атак, манипулирующих ограничением на максимальное число соединений к прокси в качестве скрытого канала связи между JavaScript-кодом, выполняемым в разных вкладках, или для определения посещался ли определённый сайт ранее. Например, атакующий может занять все доступные соединения к прокси, оставив не занятым лишь один сокет, после чего анализировать его доступность при обращении к статичному ресурсу - если сокет не занят, ресурс с проверяемого сайта отдан из кэша, т.е. пользователь уже загружал его ранее. Лимит на максимальное число соединений к TCP-сокетам прокси теперь варьируется случайным образом.
Запрещено применение SVG-фильтров к чужим (cross-origin) или изолированным (sandboxed) iframe-блокам, а также к плагинам (например, встроенному PDF-просмотрщику). Ограничение позволяет защититься от атак по сторонним каналам, типа GPU.zip, и атак класса SVG Clickjacking, при которых SVG-фильтры используются для наложение прозрачного содержимого на другой контент с целью подстановки невидимой кнопки, например, поверх кнопки закрытия окна с рекламой.
Для обособленных web-приложений (PWA, Progressive Web App) предоставлена возможность переноса на новый поддомен в пределах одного базового домена (например, замены drive.example.com на fileman.example.com) без участия пользователя (ранее PWA-приложение привязывалось к исходному домену и в случае смены поддомена, например, при ребрендинге или реструктуризации, требовалась ручная переустановка).
В TLS включена по умолчанию поддержка алгоритма формирования цифровой подписи ML-DSA (CRYSTALS-Dilithium), стойкого от подбора на квантовом компьютере.
В версии для Android реализована поддержка стандарта FIDO Alliance Credential Exchange, позволяющего импортировать и экспортировать сохранённые пароли и параметры биометрической идентификации с использованием сквозного шифрования на стороне клиента, например, для защищённого переноса между Google Password Manager и сторонними менеджерами паролей.
В версии для Android в конфигураторе предложен новый унифицированный интерфейс для управления сохраняемыми паролями и данными автозаполнения форм. Идея в том, чтобы пользователь разом мог получить информацию о разных классах сохраняемых браузером конфиденциальных данных, таких как пароли, данные биометрической аутентификации, адреса и паспортные данные.
Добавлено CSS-свойство "text-fit" для автоматического масштабирования размера шрифта, чтобы текст вписывался в ширину родительского контейнера (например, когда нужно разместить заголовок в заданной области без переноса хвоста на другую строку или адаптировать шрифт для разных разрешений экрана).
В CSS-свойство "background-clip добавлена поддержка параметра "border-area", упрощающего создание границ с градиентом, благодаря отрисовке фона элемента строго в зоне, которую занимает рамка.
Добавлена CSS-функция image(), позволяющая сгенерировать изображение с заливкой заданным цветом.
В режиме Origin trials началось тестирование протокола EVP (email verification protocol) для автоматического криптографического подтверждения владения email без необходимости отправки на почту одноразовых кодов подтверждения.
Добавлен HTML-атрибут focusgroup для декларативного управления переключением фокуса ввода с клавиатуры внутри составных компонентов, таких как меню, без использования JavaScript. Например, после выхода из группы элементов клавишей Tab и возвращения обратно, браузер вернёт фокус на последний активный элемент, а не на первый элемент в списке.
Внесены улучшения в инструменты для web-разработчиков. Добавлены возможности для инспектирования и отладки инструментария WebMCP, применяемого для интеграции сайтов с AI-агентами при помощи протокола MCP. В панели со стилями разрешено редактирование по месту
правил "@container", "@counter-style" и "@function".
Кроме нововведений и исправления ошибок в новой версии устранено 433 уязвимости. Многие из уязвимостей выявлены в результате автоматизированного тестирования инструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Двадцати проблемам присвоен критический уровень опасности, подразумевающий, что уязвимости позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. 14 критических проблем вызваны обращением к уже освобождённой памяти (use-after-free), 3 - недостаточной проверкой не заслуживающих доверия входных данных, 2 - переполнением буфера и 1 - неправильной обработкой типов (Type Confusion). В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 319 тысяч долларов США (одна премия в 250 тысяч долларов (CVE-2026-14382 в библиотеке ANGLE), три премии по $10000, $2500, $2000 и $1000, две премии $3000 и по одной премии $8000, $5000 и $4000.
Опубликован выпуск проекта D7VK 1.12, развивающего реализацию графических API Direct3D 3, 5, 6 и 7, предложенных компанией Microsoft в 1996, 1997, 1998 и 1999 годах. D7VK работает через трансляцию вызовов в API Vulkan и позволяет при помощи Wine запускать в Linux ретро игры, завязанные на API Direct3D 3, 5, 6 и 7. Код проекта написан на языке C++ и распространяется под лицензией Zlib. В качестве основы при разработке использован код бэкенда d3d9 от проекта DXVK - D7VK преобразует API Direct3D 3, 5, 6 и 7 в вызовы Direct3D 9, которые затем транслируются в API Vulkan. Разработчик не намерен добиваться включения D7VK в состав DXVK, как это было с реализациями Direct3D 8 и Direct3D 9 поверх Vulkan.
В новом выпуске:
Реализована серия оптимизаций производительности, в основном касающихся кода API, выполняемого на CPU. Показатели производительности D3D6 в тесте 3DMark 99 Max увеличились с 70685 баллов в D7VK 1.2 до 75283 в D7VK 1.12, а D3D7 в тесте 3DMark 2000 v1.1 с 45267 в D7VK 1.0 до 69566 в D7VK 1.12. В отдельных ситуациях внесённые микрооптимизации позволили значительно повысить FPS на системах со слабыми CPU, например, в игре Unreal Tournament FPS вырос с 256 до 484, а нагрузка на GPU снизилась с 37% до 18%.
Упрощена реализация прозрачности на основе ключевого цвета (Color Key) без использования полноценного альфа-канала.
В D3D6/5/3 оптимизированы преобразования цвета при очистке вьюпорта.
Для снижения
количества используемых дескрипторов (handles) выделение дескрипторов текстур и материалов теперь осуществляется после запроса приложением, а не в момент создания текстуры или материала.
Осуществлён переход на работу поверх выпуска DXVK 3.0.1.
Внесены исправления, улучшающие поддержку игр Matrox TechDemo 3D, Star Trek: Starfleet Academy и The Sims: Complete Collection.
