Системные вызовы и низкоуровневые интерфейсы в ядре реализованы по образу Windows NT, но структура ядра и сопутствующие компоненты отличаются от Windows NT. Предоставляется возможность для запуска компонентов окружения GNU и программ, написанных для Unix-подобных систем. В качестве формата исполняемых файлов применяется PE, библиотеки имеют расширение dll, а программы - exe.

Поддерживаемые аппаратные устройства:

• Блочные устройства: NVMe, SATA, SDHCI (SD-карты), virtio-block и USB-накопители.
• Сетевые карты: virtio-net, RTL8168, RTL8125.
• Устройства ввода: virtio-input, USB HID, клавиатуры и мыши с интерфейсом PS/2.
• Графика: virtio-gpu, GOP framebuffer, VBE, VGA-консоль.
• Консоль: virtio-console, последовательны порт x86, PL011 ARM.
• USB: XHCI.

В настоящее время в Moxnox реализовано 642 функции из примерно 1200, описанных в стандарте POSIX 2024, но этого достаточно для работы таких проектов, как gcc, bash, mesa, openssh, openssl, perl, python и rust. Системная библиотека сформирована из функций gnulib, математических и криптографических функций из musl, функций для работы с регулярными выражениями из tre и функций типа printf из mingw. Поддерживается самосборка, позволяющая скомпилировать Moxnox из окружения на базе Moxnox. Запуск Windows-программ пока не поддерживается, но в будущем для их запуска намерены задействовать реализацию API Win32 из Wine.

Среди портированных для Moxnox программ:

• bash
• binutils
• bison
• bzip2
• cairo
• cmake
• coreutils
• curl
• diffutils
• expat
• file
• findutils
• flex
• freetype
• gawk
• gcc (только для amd64)
• git
• gmp
• gperf
• grep
• gzip
• harfbuzz
• hexyl
• jsoncpp
• less
• libarchive
• libiconv
• libpng
• librhash
• libuv
• llvm
• m4
• make
• mako
• markupsafe
• mesa
• mpc
• mpfr
• nano
• ncurses
• netcat
• ninja
• openssh
• openssl
• patch
• perl
• pixman
• python
• pyyaml
• readline
• ripgrep
• rust
• sed
• tar
• vim
• wget
• xz
• zlib
• zstd

На данном этапе разработки поддерживается только работа в консольном режиме, но в будущем планируют реализовать и графический интерфейс. Также пока отсутствует поддержка многопользовательского окружения, механизмов обеспечения безопасности, часовых поясов, раскладок клавиатуры, локалей и кодировок, отличных от UTF-8.

Утверждается, что проект не содержит значимого кода, сгенерированного через AI-инструменты, которые использовались только для выполнения рутинной работы, такой как перевод правил autotools в CMake, замена ioctl-вызовов на функцию tcgetwinsize при портировании программ, написание тестов и поиск ошибок в коде.

1. Главная ссылка к новости
2. OpenNews: Выпуск WinBtrfs 1.10, реализации файловой системы Btrfs для Windows
3. OpenNews: Выпуск операционной системы ReactOS 0.4.16
4. OpenNews: В ReactOS появилась возможность установки на NTFS
5. OpenNews: Проект LiberNT развивает форк ReactOS, нацеленный на совместимость с Windows 11
6. OpenNews: Альфа-версия CusDeb OS, Windows-подобной ОС на базе Linux и пользовательского окружения ReactOS

Выявленная активность является вариацией известного метода атаки на разработчиков ПО, при котором злоумышленник создаёт репозиторий с легитимным кодом и размещает в нём файл AGENTS.md или передаёт данный файл в составе pull-запросов или сообщений об ошибках в существующие проекты. В случае если кто-то решит использовать AI-агента для проверки предложенного репозитория или изменения, агент обработает инструкции из файла AGENTS.md, в котором может быть предписано совершение вредоносных действий.

Новый вариант атаки основан на том, что Chrome, Firefox и Edge по умолчанию не запрашивают подтверждение при загрузке файла, а лишь выводят уведомление. Загружаемые по ссылке файлы автоматически сохраняются в каталоге ~/Downloads - для загрузки достаточно, чтобы пользователь открыл определённую страницу или перешёл по ссылке (ссылка может выглядеть невинно, а проброс на загрузку может быть сделан через редирект). Подобным образом атакующие добиваются сохранения файла AGENTS.md в каталоге с загрузками на системах пользователей, после чего ждут, когда пользователь запустит AI-агента в контексте каталога ~/Downloads, например, для разбора каких-то загруженных документов.

Помимо использования AGENTS.md для информирования AI-агентов об используемых инструментах, требуемых зависимостях и проводимых тестах, через подобные файлы можно добиться выполнения произвольных программ, установки сторонних пакетов и изменения конфигурации. Возможность совершения атаки продемонстрирована для AI-агентов Codex и Claude Code.

Исследователи провели два эксперимента, в результате которых удалось добиться получения контроля над учётной записью пользователя и перехватить его OAuth-токены. В ходе первого эксперимента AI-агент Codex выполнил инструкции по загрузке и запуску на системе пользователя тестового вредоносного кода, ограничивающегося открытием калькулятора. Во втором эксперименте через подстановку файла CLAUDE.md исследователи при помощи Claude Code изменили содержимое переменной окружения ANTHROPIC_BASE_URL, организовали перенаправление запросов к API на свой сервер и перехватили токен OAuth. Первый эксперимент оказался успешен в 90% попыток, а второй - в 50%.

1. Главная ссылка к новости
2. OpenNews: Атакующие получили доступ к внутренним репозиториям GitHub и OpenAI
3. OpenNews: Атака Whisper Leak по определению тематики общения с AI-чатботами через анализ TLS-трафика
4. OpenNews: ArtPrompt - атака на AI-системы, позволяющая обойти фильтры при помощи ASCII-картинок
5. OpenNews: В ходе тестирования автономный AI-агент OpenAI без явной указки взломал инфраструктуру Hugging Face
6. OpenNews: 54 из 55 выявленных через AI уязвимостей в SQLite оказались фиктивными

Уязвимость присутствует в движке регулярных выражений Onigmo и приводит к переполнению внутренних идентификаторов при компиляции шаблона с большим числом повторов. Проблема проявляется только в приложениях, использующих внешние данные в регулярных выражениях, обрабатываемых через методы Regexp.new, Regexp.union и Regexp.compile или литералы вида "/#{input}/". Ограничение размера регулярного выражения или времени его обработки через метод Regexp.timeout не блокирует уязвимость, так как для атаки могут использоваться короткие шаблоны.

В GitLab уязвимость может быть эксплуатирована неаутентифицированным пользователем из-за подстановки в регулярное выражение внешних данных. Детали метода эксплуатации пока не раскрываются (по правилам GitLab информация становится доступна спустя 30 дней после публикации исправления), при этом в сети уже фиксируются попытки осуществления атак на пользователей GitLab. Косвенными признаками осуществления атаки может служить увеличение числа аварийных завершений интерпретатора Ruby и рост ошибок в логах, связанных с истечением таймаута на отрисовку страницы при обработке org-файлов.

Помимо CVE-2026-110264 в движке регулярных выражений устранены ещё три уязвимости: CVE-2026-89078 (двойное освобождение памяти при невозможности парсинга шаблона после его изменения), CVE-2026-93577 и CVE-2026-97229 (целочисленные переполнения при расчёте размера компилируемого шаблона).

1. Главная ссылка к новости
2. OpenNews: Опубликован язык программирования Ruby 4.0
3. OpenNews: Уязвимость в GitLab, допускающая удалённое выполнение кода (доступен эксплоит)
4. OpenNews: Уязвимость в RubyGems.org, позволяющая подменить чужие пакеты
5. OpenNews: Уязвимость в Ruby-SAML, позволяющая обойти аутентификацию в GitLab
6. OpenNews: Уязвимость в библиотеке ruby-saml, приводящая к обходу аутентификации в GitLab

CoW реализован поверх модульного композитного сервера River, который отвечает за реализацию протокола Wayland, отрисовку и управление доступом для ввода и вывода. В CoW реализованы абстракции для управления окнами, IPC, команды и возможности для стекового размещения, декодирования и компоновки окон. Подобное разделение позволило сосредоточить внимание на функциях управления окнами, не отвлекаясь на тонкости работы с протоколом Wayland.

Поверх оконного менеджера запускаются панель cowbar, меню приложений cow-appmenu, навигатор по виртуальным рабочим столам cowpager, лаунчер cowbuttons и интерфейс для просмотра списка окон cowiconman. Вместо встроенной панели возможно использование панели Waybar. Версия CoW 0.4 примечательна добавлением возможности использования оконных контейнеров верхнего уровня для создания произвольных раскладок окон на экране (окно верхнего уровня может разделяться на столбцы и строки, размер которых меняется независимо друг от друга).

1. Главная ссылка к новости
2. OpenNews: Релиз оконного менеджера FVWM 2.6.0
3. OpenNews: Выпуск River 0.4.0 с разделением композитного и оконного менеджеров
4. OpenNews: Релиз оконного менеджера IceWM 4.0.0
5. OpenNews: Выпуск пользовательского окружения NsCDE 2.3

Среди изменений в Ubuntu Touch 24.04-2.2:

• В связи с компрометацией удостоверяющего центра eMudhra обновлён список корневых сертификатов.
• Решены проблемы с кэшированием правил системы мандатного управления доступом AppArmor, из-за которых после обновления системы с версии 24.04-1.5 до 24.04-2.0 перестал запускаться браузер Morph.
• Проведена работа по подготовке стека VoLTE (Voice over LTE) к поддержке технологий передачи голоса по сетям LTE в новых моделях смартфонов. В плагин ofono-binder-plugin-ext-qti добавлена поддержка интерфейса AIDL IImsRadio.
• После формирования новых сборок в приложении Gallery 3.2.0 выявлена регрессия, приводящая к невозможности открыть альбомы с фотографиями. Проблема устранена в версии Gallery 3.2.1, которую рекомендовано установить до обновления Ubuntu Touch 24.04-2.2 или 24.04-1.6.

1. Главная ссылка к новости
2. OpenNews: Опубликована мобильная платформа Ubuntu Touch 24.04-2.1
3. OpenNews: Опубликована мобильная платформа Ubuntu Touch 24.04-2.0
4. OpenNews: Воссоздание пользовательской оболочки Unity с использованием Wayfire и Libadwaita
5. OpenNews: Выпуск AsteroidOS 2.0, Linux-платформы для умных часов, использующей Qt
6. OpenNews: Дистрибутив для мобильных устройств postmarketOS переименован в Nura

На текущем этапе CDEX содержит лишь минимальные изменения, направленные на устранение различных шероховатостей в работе Win32-окружения под Linux. В дальнейшем разработчики планируют развивать его дальше, добавляя возможности, которые пока не реализованы в ReactOS. Как и в случае с прототипом, основой системы остаётся Debian 13. Для загрузки предлагается (894 MB) live-система, которую можно запустить в виртуальной машине или на реальном компьютере.

Разработчики CusDeb OS поставили перед собой цель - за год довести систему до состояния, в котором она могла бы стать полноценной альтернативой Windows 10. Автором проекта является Евгений Голышев, сопровождающий пакет Elixir в Debian.

Среди основных целей для второй альфа-версии:

• Переход на 64-битную версию CDEX (сейчас в Alpha 1 используется 32-битная версия CDEX в 64-битной Linux-системе).
• Поддержка Direct3D 3-11 через D7VK и DXVK.
• Миграция графического окружения с Xorg на Wayland.

  1. Главная ссылка к новости
  2. OpenNews: Выпуск C:/Deb, системы с Windows-подобным окружением на базе Linux
  3. OpenNews: Проект WSL9x для запуска современных Linux-ядер в окружении Windows 95
  4. OpenNews: Loss32 - Windows-подобная система, похожая на ReactOS, но на ядре Linux
  5. OpenNews: Проект LiberNT развивает форк ReactOS, нацеленный на совместимость с Windows 11
  6. OpenNews: Выпуск операционной системы ReactOS 0.4.16

Среди изменений:

• Осуществлён переход на использование по умолчанию библиотеки libtorrent 2.1.x, вместо ветки 1.2.x, поддержка которой сохранена в форме опции, так как бэкенд на базе libtorrent 2.1.x пока отстаёт по производительности операций чтения, что приводит к снижению скорости выгрузки данных с клиента при сидировании.
• Добавлена опция, позволяющая прервать раздачу только при достижении всех выставленных лимитов.
• В интерфейс создания торрентов добавлена опция для игнорирования файлов, имена которых начинаются с точки.
• В список пиров добавлен столбец "Contribution" с информацией о загрузках и скачиваниях для каждого пира.
• В статистику добавлена метрика для оценки задержек и времени ожидания анонсов трекера.
• В контекстное меню фильтров добавлен элемент "Force start torrents" для принудительного запуска торрентов.
• В интерфейс добавлена кнопка "Open Destination Folder" для открытия целевого каталога.
• Добавлена поддержка указания нескольких получателей email-уведомлений.
• Добавлена поддержка параметра "so" (select only) в Magnet-ссылках, позволяющего выбирать только определённые файлы из раздачи.
• Добавлена поддержка фильтрации списка торрентов по хэшу (infohash).
• Добавлена поддержка блокировки диапазонов адресов, а не только отдельных IP.
• Добавлены настройки I2P PeX для обмена пирами внутри сети I2P и параметры рандомизации числа hop-ов.
• Реализован параметр seeding_outgoing_connections для управления исходящими соединениями при сидировании.
• Переработан код для управления резервными копиями torrent-файлов.
• Добавлена возможность закрывать вкладки с результатами поиска средней кнопкой мыши.
• В Web-интерфейсе по умолчанию включён виртуальный список торрентов (в таблицах отрисовываются только видимые на экране строки), повышена отзывчивость интерфейса, ускорены операции фильтрации вывода, усилена защита от межсайтового скриптинга (CSRF), реализована возможность ограничения числа одновременных активных сессий, добавлена возможность добавления торрента одним кликом (без открытия отдельного диалога), реализован индикатор свободного места на диске, добавлены кнопки для приостановки и возобновления всего сеанса, появилась возможность импорта и экспорта правил загрузки RSS, обеспечено сохранение вкладок с результатами поиска между перезапусками, реализовано общее окно управления загрузками RSS.

1. Главная ссылка к новости
2. OpenNews: Представлен ReTransmission, форк BitTorrent-клиента Transmission
3. OpenNews: Выпуск libtorrent 2.1 с включением протокола WebTorrent
4. OpenNews: Выпуск qBittorrent 5.2.0
5. OpenNews: Новая версия BitTorrent-клиента Transmission 4.1.0
6. OpenNews: Релиз BitTorrent-клиента Deluge 2.2

Синтаксис Mojo основан на языке Python, а система типов близка к C/C++. Проект преподносится как язык общего назначения, расширяющий возможности языка Python средствами системного программирования, подходящий для широкого круга задач и сочетающий простоту применения для исследовательских разработок и быстрого создания прототипов с пригодностью для формирования высокопроизводительных конечных продуктов.

Простота достигается благодаря использованию привычного синтаксиса языка Python, а разработке конечных продуктов способствуют возможность компиляции в машинный код, механизмы безопасной работы с памятью и задействование средств для аппаратного ускорения вычислений. Для достижения высокой производительности поддерживается распараллеливание вычислений с задействованием всех имеющихся в системе аппаратных ресурсов гетерогенных систем, таких как GPU, специализированные ускорители для машинного обучения и векторные процессорные инструкции (SIMD). При интенсивных вычислениях распараллеливание и задействование всех вычислительных ресурсов даёт возможность добиться производительности, превосходящей приложения на C/C++.

Язык поддерживает статическую типизацию и средства для безопасной низкоуровневой работы с памятью, напоминающие возможности языка Rust, такие как отслеживание времени жизни ссылок и проверка заимствования переменных (borrow checker). При этом в языке доступны и возможности для низкоуровневой работы, например, возможно прямое обращение к памяти в режиме unsafe с использованием типа Pointer, вызов отдельных SIMD-инструкций или доступ к аппаратным расширениям, таким как TensorCores и AMX.

Mojo может использоваться как в режиме интерпретации с использованием JIT, так и для компиляции в исполняемые файлы (AOT, ahead-of-time). В компилятор встроены современные технологии автоматической оптимизации, кэширования и распределённой компиляции. Исходный код на языке Mojo преобразуются в низкоуровневый промежуточный код MLIR (Multi-Level Intermediate Representation), развиваемый проектом LLVM. Компилятор позволяет применять для генерации машинного кода различные бэкенды, поддерживающие MLIR.

Среди изменений в Mojo 1.2:

• Добавлена поддержка сопоставления с образцом, используя конструкции match / case. В качестве образца могут использоваться литералы ("case 100:"), логические выражения с литералами ("case 100 | 200:"), кортежи ("case (10, 10, 10):"), структуры, ограничивающие условия ("case limit if limit > 10:") и шаблоны ("case _:"). Дополнительно реализовано выражение "comptime match" для выполнения проверки на этапе компиляции.

  
     def classify_point(p: Tuple[Int, Int]) -> String:
         match p:
             case 0, 0:
                 return "origin"
             case x, 0 if x < 0:
                 return String("negative x-axis:", x)
             case x, 0:
                 return String("x-axis:", x)
             case 0, y:
                 return String("y-axis:", y)
             case x, y:
                 return String("point:", x, ",", y)
  

• Добавлена поддержка деструктуризации списков, которая может использоваться как отдельно, так и внутри проверок в match:

  
     var [first, *middle, last] = values
     match values:
         case []:
             print("empty")
         case [1, *middle, last]:
             print(len(middle), last)
         case [first, *rest]:
             print(first, len(rest))
  

• В выражения if, elif и while добавлена возможность использования конструкций "if case" и "while case" для проверки и извлечения данных.

  
      if case .Some(item) = value:
          return String("some:", item)
      else:
          return "none"
  
      while case .Some(item) = get_next():
          process(item)
  

• В библиотеку std.math добавлено более 20 математических функций (atan(), tan(), cbrt(), erfc(), lgamma(), log10(), remainder(), hypot() и т.п.), доступных в вариантах, способных работать на CPU и GPU, и не использующих системную библиотеку libm.
• Добавлен тип TargetAccelerator для метаданных аппаратных ускорителей, сочетающий возможности типов GPUInfo и CompilationTarget.
• Добавлен синтаксис "not <Trait>" для отключения реализации определённых типажей (например, "struct Handle(not Movable, Writable):"), который рекомендуется использовать вместо "<Trait> where False".
• Появилась возможность определения собственных сообщений об ошибках в проверочных выражениях where - "where <condition> else "<message>".

  
     def foo[sc: Int]() where sc > 1 else "scaling factor must be greater than"
  

• Компилятор mojo переведён на выделение памяти при помощи библиотеки jemalloc на платформе Linux. Компиляция крупных пакетов и больших ядер для GPU ускорилась на 10-13%. Например, пакет nn теперь компилируется за 61 секунду вместо 98.
• Проведена оптимизация производительности. Операции выравнивания строк ускорены до 86 раз, а повторения больших строк через оператор "*" примерно в 2 раза. Значительно повышена производительность методов String.startswith() и String.endswith(). В среднем на 20% ускорен разбор чисел с плавающей запятой при помощи функции atof().
• Структура StringSpan теперь предоставляет доступ к байтам строки только в режиме чтения (immutable). Поддержка структур MutStringSpan, MutStringSlice и параметра mut, позволявших напрямую изменять данные в строковом буфере, прекращена.
• Пустой кортеж "()" теперь всегда означает значение кортежа, а не тип. Для указания типа пустого кортежа следует указывать "Tuple[]".
• Ключевые слова async и await переименованы в "__async" и "__await для индикации их экспериментального статуса (старые варианты сохранены, но будут выдавать предупреждение).

Одновременно сформирован выпуск движка MAX Framework 26.7, предлагающего платформу для разработок в области машинного обучения. MAX Framework дополняет инструментарий Mojo средствами для разработки и отладки приложений, использующих модели машинного обучения в различных форматах (TensorFlow, PyTorch, ONNX и т.п.).

Новая версия примечательна публикацией исходного кода MAX Framework, включая бэкенды, runtime и графовый компилятор. Код опубликован под собственной лицензией "MAX License", которая допускает использование, модификацию, расширение и создание производных коммерческих продуктов, но вносит ограничения для защиты от фрагментации платформы, не допускающие создание специфичных для отдельных аппаратных платформ версий, нарушающих совместимость.

Из функциональных изменений в MAX Framework 26.7 отмечается добавление поддержки AI-моделей Muse Glimmer и MiMo-V2.6-Flash, возможность передачи видео в модели Qwen3.5 и Qwen3-VL, новый API Decisions для оценки вероятностей при классификации и принятии решений, значительное ускорение выполнения моделей на GPU NVIDIA B200 и AMD MI355. Реализован режим "eager" для ускорения тестирования и отладки кода, позволяющий выполнять операции мгновенно по мере их вызова, без предварительной полной обработки графовым компилятором.

1. Главная ссылка к новости
2. OpenNews: Релиз языка программирования Mojo 1.1
3. OpenNews: Открыт код компилятора для языка программирования Mojo
4. OpenNews: Релиз языка программирования Mojo 1.0

Платформа основана на Arch Linux, использует для ускорения запуска игр композитный сервер Gamescope на базе протокола Wayland, поставляется с доступной только на чтение корневой ФС, применяет атомарный механизм установки обновлений, использует мультимедийный сервер PipeWire и предоставляет два режима работы интерфейса (оболочка Steam и рабочий стол KDE Plasma). SteamOS поддерживает пакеты Flatpak, но также допускает установку в формате Appimage или через инструментарий Distrobox, который входит в состав начиная с версии 3.5.

Среди изменений:

• Среда рабочего стола обновлена до выпуска KDE Plasma 6.7 (ранее была ветка 6.4).
• Осуществлена синхронизация со свежей пакетной базой Arch Linux. Ядро Linux обновлено до версии 7.2 (ранее поставлялась версия 6.16). Задействованы свежие версии графических драйверов.
• В загрузчике улучшена совместимость с некоторыми материнскими платами.
• Для десктоп-режима разрешена активация хранителя экрана в настройках.
• Для новых установок в качестве бэкенда для подключения к беспроводным сетям по умолчанию задействован пакет wpa_supplicant (ранее установленные системы продолжают использовать iwd, но могут переключиться на wpa_supplicant в конфигураторе). В wpa_supplicant реализована возможность быстрого переподключения к WiFi после выхода из спящего режима (ранее данная возможность была доступна только в iwd).
• Добавлена начальная поддержка спящего режима, при котором содержимое памяти сохраняется на диск (hibernation). Режим пока недоступен в интерфейсе Game Mode и в сборках для консоли Steam Deck.
• Улучшена работа SteamOS в виртуальных машинах с поддержкой аппаратного ускорения графики (virtio-gpu, venus).
• Различные скрипты и пакеты переименованы с "steamos-" в "holo-".
• Улучшена поддержка беспроводного адаптера Steam Frame.
• Снижено энергопотребление в режиме простоя при работе на Steam Deck без воспроизведения звука.
• Добавлена начальная поддержка управления яркостью экрана на игровой консоли Legion Go 2.
• Возвращена поддержка IPC Android Binder.

1. Главная ссылка к новости
2. OpenNews: Началось тестирование 64-разрядной версии клиента Steam для Linux
3. OpenNews: В KDE реализована отрисовка теней окон на стороне сервера для приложений, подобных Steam и Discord
4. OpenNews: Valve работает над поддержкой GPU NVIDIA в SteamOS
5. OpenNews: Компания Valve выпустила игровую приставку Steam Machine на базе Linux
6. OpenNews: Компания Valve опубликовала дистрибутив для игровых консолей SteamOS 3.8

Компания Intel ведёт разработку библиотеки SVT-AV2 (Scalable Video Technology AV2) c реализациями кодировщика и декодировщика AV2, ускоренными при помощи процессорных расширений для аппаратного распараллеливания вычислений. Компания Meta намерена задействовать AV2 для распространения видео на Facebook и Instagram, как когда-то было сделано с кодеком AV1, а также проявляет интерес к открытым звуковым кодекам OAC (Open Audio Codec) и OAR (Open Audio Renderer).

1. Главная ссылка к новости
2. OpenNews: Альянс AOMedia объявил о стабилизации видеокодека AV2
3. OpenNews: Проект VideoLAN опубликовал dav2d, декодировщик для видео в формате AV2
4. OpenNews: Альянс AOMedia развивает звуковой кодек OAC (Open Audio Codec), основанный на Opus
5. OpenNews: Выпуск SVT-AV1 4.2.0, кодировщика для формата видео AV1
6. OpenNews: Альянс AOMedia опубликовал систему формирования объёмного звука OAR

Среди изменений в новой версии:

• Устранено несколько уязвимостей: Переполнение буфера (CVE-2026-77372) при десериализации запросов в привилегированном сервисе. Получение прав root из-за некорректной работы инсталлятора со временными файлами в директории /tmp. Оставление расшифрованных данных после отмонтирования в macOS при использовании FUSE-T (CVE-2026-108982). Повышение привилегий в версии для Windows.
• Добавлен поддержка доступных на запись разделов, размещаемых в файлах на совместных хранилищах без root-доступа (например, GVfs или NFS в режиме root_squash).
• Cкрипт mount.veracrypt переписан на POSIX shell.
• Улучшена очистка данных токенов.
• В Linux улучшена работа с носителями в режиме только для чтения.
• Добавлена защита от утечки в дочерние процессы файловых дескрипторов, связанных с привилегированными сервисами и аутентификацией.
• Обеспечено определение возможностей CPU до запуска базовых сервисов для задействования аппаратного ускорения при работе с монтируемыми разделами.
• В диалоги генерации файла с ключами, проверки производительности хэшей и настройки пула случайных чисел добавлена поддержка хэш-функции BLAKE2b-512.
• В OpenBSD в интерфейс командной строки и графический конфигуратор добавлена возможность создания разделов FFS.

1. Главная ссылка к новости
2. OpenNews: Выпуск системы шифрования дисковых разделов VeraCrypt 1.26.29
3. OpenNews: Microsoft заблокировал учётные записи для заверения релизов VeraCrypt и WireGuard
4. OpenNews: Доступен Cryptsetup 2.8 с поддержкой inline-режима хранения метаданных

Компоненты systemd на Rust динамически связываются с Си-библиотекой libsystemd-shared. Rust-обвязки над libsystemd-shared генерируются автоматически на этапе сборки из заголовочных файлов при помощи утилиты bindgen, и становятся доступны для rust-программ в форме пакета systemd_shared. Для работы требуется как минимум версии rustc 1.85 и bindgen 0.71.1, соответствующие версиям из Debian 13.

Тестовый исполняемый файл на Rust при сборке с LTO-оптимизациями занимает 32 КБ, при том что аналог на Си занимает 20 КБ. По умолчанию поддержка Rust включается только при наличии в системе соответствующего Rust-инструментария (-Drust=auto). В качестве первого компонента, написанного на Rust, развивается systemd-keyring-setup, который пока не принят в основную кодовую базу systemd. Systemd-keyring-setup предназначен для настройки и управления X.509-сертификатами для механизмов ядра Linux dm-verity, fs-verity и bpf.

1. Главная ссылка к новости
2. OpenNews: Выпуск системного менеджера systemd 262
3. OpenNews: Выпуск Git 2.55 c включением по умолчанию поддержки Rust

Проблема была выявлена компанией OpenAI в феврале этого года и блокирована в кодовой базе Brotli через отбрасывание некорректных потоков при декодировании. 22 октября были опубликованы корректирующие выпуски Brotli 1.0.10, 1.1.1 и 1.2.1 в которых явно было заявлено об устранении уязвимости и исправлена суть проблемы. В этот же день был создан прототип эксплоита, позволивший удалённо выполнить код в лабораторных условиях, при использовании нестандартных сборок (в стандартных сборках происходило аварийное завершение). Позднее компания Imperva зафиксировала атаку на штатные сборки Node.js 24.22.0 в Linux-окружении на системе ARM64.

Уязвимость приводит к записи за пределы буфера из-за некорректной обработки ошибок в процессе разбора блоков в сжатом потоке. Функция DecodeBlockTypeAndLength() вместо кода ошибки возвращала только значения true и false, что не позволяло вызывающему коду отличить повреждение потока от состояния, требующего передачи в функцию дополнительных данных. В случае указания в потоке некорректного типа блока сжатых данных, декодировщик воспринимал его не как ошибку, а как состояние нехватки данных, требующее дополнительного чтения из потока. Но так как выделенный буфер не был рассчитан на дополнительно прочитанные данные, они записывались в область за его пределами, в которой хранилось внутреннее состояние декодировщика.

Подверженные уязвимости проекты:

• Эталонная библиотека brotli, проблема проявляется начиная с выпуска 1.0.3 и устранена в обновлениях 1.0.10, 1.1.1 и 1.2.1. Уязвимость затрагивает приложения и библиотеки, использующие библиотеку libbrotlidec.
• JavaScript платформа Node.js, проблема устранена в обновлениях 26.12.1, 24.22.1 и 22.23.4. Атакованы могут быть приложения, использующие для запроса стороннего контента метод fetch(), который автоматически декодирует HTTP-ответы с заголовком "Content-Encoding: br". Также уязвимость проявляется при прямом вызове методов zlib.brotliDecompress*(), createBrotliDecompress() и brotli.decompress() для распаковки стороннего содержимого или при приёме HTTP-запросов с разбором через библиотеки Express 5 и body-parser 2.x.
• Python-пакеты brotli и brotlicffi (исправление предложено в версии 1.2.1) и использующие их проекты, среди которые популярные библиотеки urllib3, aiohttp, httpx и Scrapy, которые декодируют ответы с заголовком "Content-Encoding: br" при обращении к внешним web-ресурсам.
• HTTP-серверы, HTTP-прокси, HTTP-клиенты и web-браузеры, поддерживающие сжатие Brotli ("Accept-Encoding: br"). В Apache httpd поставляется mod_brotli (отключён по умолчанию). Для nginx доступен сторонний модуль ngx_brotli (версия brotli в зависимостях поднята до актуальной). В Chrome/Chromium и Firefox проблема уже устранена в одном из прошлых обновлений. В прокси-сервере Envoy уязвимость устранена в выпусках 1.40.0, 1.39.3, 1.38.6, 1.37.8, 1.36.12.
• .NET runtime при использовании в приложении методов BrotliDecoder, BrotliStream и HttpClient. Уязвимость пока не устранена.
• PHP-расширение brotli при использовании функции brotli_uncompress(). Исправление в процессе подготовки.
• Ruby-пакет brotli при использовании метода Brotli.inflate. Уязвимость пока не устранена.
• СУБД DuckDB при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• СУБД ClickHouse. Исправление в процессе подготовки.
• СУБД YDB. Уязвимость пока не устранена.
• Apache Arrow при импорте сжатых Parquet-файлов. Исправление в процессе подготовки.
• libjxl (при сжатии метаданных в JPEG XL используется Brotli). Исправление в процессе подготовки.
• Архиваторы NanaZip, 7-Zip-zstd и p7zip при распаковке br-файлов. Уязвимость не устранена.
• MuPDF. Уязвимость не устранена.
• UEFI-прошивки на базе EDK II и UEFITool, сжатые при помощи Brotli. Исправление в процессе подготовки - EDK II и UEFITool.
• JavaScript-платформа Bun. Уязвимость устранена в версии 1.4.4.
• Платформа для управления микросервисами Istio. Уязвимость устранена в версиях 1.29.9, 1.30.6 и 1.31.2.
• curl и libcurl, уязвимость проявляется при наличии в зависимостях уязвимой версии libbrotlidec.
• Парсеры формата шрифтов Web Open Font (WOFF), в котором используется Brotli.
• Brotli4j, SumatraPDF, Ghostscript, CatBoost и YTsaurus. Уязвимость устранена в одном из обновлений.

1. Главная ссылка к новости
2. OpenNews: Компания Google представила новый алгоритм сжатия данных Brotli
3. OpenNews: Уязвимость в Lhasa, библиотеке с реализацией форматов сжатия LZH и LHA
4. OpenNews: Уязвимость в zlib, проявляющаяся при сжатии специально оформленных данных
5. OpenNews: Уязвимость Zip Slip, затрагивающая библиотеки для распаковки архивов

Целью разработки OBS Studio было создание переносимого варианта приложения Open Broadcaster Software (OBS Classic), не привязанного к платформе Windows, поддерживающего OpenGL и расширяемого через плагины. Отличием также является использование модульной архитектуры, подразумевающей разделение интерфейса и ядра программы. Поддерживается перекодирование исходных потоков, захват видео во время игр и стриминг в PeerTube, Twitch, Facebook Gaming, YouTube, DailyMotion и другие сервисы. Для обеспечения высокой производительности возможно использование механизмов аппаратного ускорения (например, NVENC, Intel QSV, Apple Video Toolbox и VAAPI).

Предоставляется поддержка композитинга с построением сцены на основе произвольных видеопотоков, данных с web-камер, карт захвата видео, изображений, текста, содержимого окон приложений или всего экрана. В процессе вещания допускается переключение между несколькими предопределёнными вариантами сцен (например, для переключения представлений с акцентом на содержимое экрана и изображение с web-камеры). Программа также предоставляет инструменты для микширования звука, фильтрации при помощи VST-плагинов, выравнивая громкости и подавления шумов.

Ключевые изменения:

• Источники вещания на базе браузера (Browser Source) и панели с web-контентом переведены на новый выпуск инструментария CEF 150 (Chromium Embedded Framework). Ранее использовался CEF 127, выпущенный в июле 2024.
• Полностью переделана загрузка плагинов. Официальные плагины размещены в отдельном подкаталоге "Core", а неофициальные пока продолжают загружаться из старых мест.
• Улучшено выравнивание (snapping) источников контента в окне предпросмотра. Добавлен новый визуальный индикатор, показывающий по какой границе выровнен элемент. Обеспечена привязка источников по осям, а не только при приближении вплотную к объектам (видео с демонстрацией). Убрана привязка к скрытым элементам.
• Улучшены поля ввода чисел, ввод в которых больше не блокируется в некоторых ситуациях, а числа не обрезаются. Значения теперь обновляются только по нажатию Enter, которое не закрывает окно. Добавлена поддержка изменения значений нажатием "Shift + ↑/↓". Обеспечена корректная работа курсора при перетаскивании.
• На системах ARM64 включена поддержка ускорения кодирования видео при помощи NVENC (NVIDIA Encoder).
• Для звуковых и видео эффектов NVIDIA задействована новая версия NVIDIA Broadcast SDK.
• В Safe Mode прекращён запуск WebSocket Server.
• В режиме захвата вывода игр улучшено определение полноэкранных игр.
• Улучшено определение прозрачности при захвате экрана macOS.
• Прекращена поддержка Ubuntu 24.04.

1. Главная ссылка к новости
2. OpenNews: Выпуск системы потокового видеовещания OBS Studio 32.2
3. OpenNews: Выпуск системы потокового видеовещания OBS Studio 32.0

В качестве обходного пути защиты рекомендуется выставить в php.ini параметр "session.upload_progress.enabled=0", который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра "session.serialize_handler", выставленного в значение "php_binary" или "php_serialize", и изменения этого параметра в PHP-коде на значение "php" через функцию "ini_set()" на стадии до вызова функции session_start().

1. Главная ссылка к новости
2. OpenNews: Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов
3. OpenNews: Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP
4. OpenNews: Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления
5. OpenNews: Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт