Что касается прошлых веток, то в LineageOS 23.2 реализована поддержка 6 новых устройств, а в LineageOS 22.2 - 5 устройств. В ветки с 18.1 по 24.0 перенесены исправления уязвимостей, опубликованные для Android с августа 2025 года по октябрь 2026 года. В ветки LineageOS 15.1, 16.0 и 17.0 включены патчи с устранением уязвимостей по состоянию на ноябрь 2025 года.

Основные изменения в LineageOS 24:

• В дополнение к галерее изображений Glimpse и программе для работы с камерой Aperture в состав добавлен новый редактор изображений Canvas, поддерживающий базовые функции редактирования, такие как кадрирование, настройка баланса белого и применение фильтров.
• Значительно обновлено приложение Updater, в интерфейсе которого задействована концепция дизайна Material 3 Expressive. Осуществлён переход на использование по умолчанию режима потоковой установки пакетов A/B OTA-обновлений, которые распаковываются в неактивный системный раздел по мере загрузки, без предварительного сохранения в файл, что снизило потребление памяти и ускорило установку обновлений.
• В Catapult (Android TV Launcher), интерфейс работы с контентом на Android TV, добавлен индикатор заряда аккумулятора для мобильных устройств и портативных консолей, а также улучшены анимационные эффекты и пиктограммы.
• До последних выпусков обновлены приложение для резервного копирования SeedVault и календарь-планировщик Etar.
• В web-браузере Jelly добавлена поддержка обособленных web-приложений в стиле PWA (Progressive Web App), ярлыки которых могут размещаться на домашнем экране. Движок WebView обновлён до Chromium 155.0.8059.30.
• Интерфейс мастера настройки (Setup Wizard) переведён на использование концепции Material Design 3 Expressive с новыми анимационными эффектами и ресурсами. Сопровождающим предоставлена возможность добавлять страницы с настройками, специфичными для отдельных устройств.
• Добавлен web-интерфейс WebUSB Flash Tools для установки прошивки через браузеры на движке Chromium, поддерживающие API WebUSB. Возможна перепрошивка в режимах ADB (Recovery mode), Fastboot (Fastboot / Fastbootd), Burn (Amlogic) и Odin (Samsung).
• Проведена интеграция инструментов для людей с ограниченными возможностями, предоставленных проектом A11Y.

1. Главная ссылка к новости
2. OpenNews: Доступна Android-прошивка CalyxOS 8.0, не привязанная к сервисам Google
3. OpenNews: Представлены первые ноутбуки Googlebook, оснащённые Android
4. OpenNews: Выпуск мобильной платформы Android 17
5. OpenNews: GrapheneOS портирован на Android 17
6. OpenNews: Опубликована мобильная платформа LineageOS 23.2

Ventoy поддерживает загрузку на системах с BIOS, IA32 UEFI, x86_64 UEFI, ARM64 UEFI, UEFI Secure Boot и MIPS64EL UEFI c таблицами разделов MBR или GPT. Поддерживается загрузка различных вариантов Windows, WinPE, Linux, BSD, ChromeOS, а также образов виртуальных машин Vmware и Xen. Разработчиками протестирована работа в Ventoy 1460 iso-образов, включающих различные версии Windows и Windows Server, несколько сотен Linux-дистрибутивов, более десятка BSD-систем (FreeBSD, DragonFly BSD, pfSense, FreeNAS и т.п.).

Помимо USB-носителей, загрузчик Ventoy может быть установлен на локальный диск, SSD, NVMe, SD-карты и другие виды накопителей, на которых используются файловые системы FAT32, exFAT, NTFS, UDF, XFS или Ext2/3/4. Имеется режим автоматизированной установки операционной системы в один файл на переносимом носителе с возможностью добавления своих файлов в создаваемое окружение (например, для создания образов c Windows или Linux-дистрибутивами, не поддерживающими Live-режим).

В новой версии:

• Добавлена экспериментальная поддержка запуска recovery-образов SteamOS.
• Добавлена поддержка ISO-образов с загрузчиком Syslinux.
• Добавлена возможность перемонтирования разделов, позволяющая напрямую из боковой панели в графическом интерфейсе запущенных дистрибутивов Linux обращаться к разделам на накопителе (например, на USB Flash), на которых размещён ISO-образ, загруженный через Ventoy (ранее попытки примонтировать раздел, в котором находится ISO-образ, приводили к выводу ошибки "device busy"). Связанный с ISO-образом раздел теперь создаётся в Device Mapper как /dev/mapper/VentoyPart.
• Решены проблемы с загрузкой дистрибутивов Fedora 45-beta, LinuxConsole и Grml 2026.09.

1. Главная ссылка к новости
2. OpenNews: Выпуск Ventoy 1.1.09, инструментария для загрузки произвольных систем с USB-носителей
3. OpenNews: Предварительный выпуск дистрибутива для игровых консолей SteamOS 3.9.0
4. OpenNews: Выпуск Distrobox 1.8, инструментария для вложенного запуска дистрибутивов
5. OpenNews: В iVentoy выявлена подстановка корневого сертификата при запуске Windows

Основные изменения:

• Проведены оптимизации, позволившие ускорить прохождение теста speedtest1 примерно на 4% по сравнению с прошлой версией и на 7.5% по сравнению с выпуском 3.51 годичной давности. Результаты могут меняться в зависимости от вида нагрузки, сборочных опций, CPU, компилятора и операционной системы.
• В утилите sqlite реализована возможность использования escape-последовательностей для показа дополнительной информации о состоянии в приглашении командной строки, например, "/x" для сведений об открытой транзакции, "/r" для БД в режиме только для чтения, "/m" для БД, хранимой только в оперативной памяти, "/f" для вставки имени файла с БД, "/v" для показа версии SQLite, "/:" и "/;" для построения условных выражений, "/u" и "/h" для вставки имени пользователя и хоста. Настройка шаблона приглашения командной строки осуществляется через переменные окружения SQLITE_PS1 и SQLITE_PS2.
• В утилите sqlite в команду ".mode" добавлены опции "--ifmt", "--rowcount on" и "--titles always" для настройки формата чисел с плавающей запятой и управления показом счётчика строк и заголовка. Заменён обработчик команды ".diskused". По умолчанию оставлен заголовок с именами столбцов, если запрос не вернул строк, а также отключена чистка нулевых байтов при выводе blob-ов в Unix-системах.
• В планировщике запросов ускорено выполнение операций UPDATE в ситуациях, когда имеются индексы по выражениям, но индексируемое значение не меняется. Оптимизировано выполнение операций "expr OR TRUE" и "expr OR FALSE". Обеспечено игнорирование выражения DISTINCT в SELECT-подзапросах, указанных справа от оператора "IN". Ускорена обработка и снижено потребление памяти при указании в UNION-запросах выражения "LIMIT 1".
• В команде ALTER TABLE обеспечен вывод ошибки для любых попыток добавления, удаления или переименования столбцов с зарезервированными именами "ROWID", "_ROWID_" и "OID".
• Добавлена SQL-функция diskused() для оценки места, которое таблицы и индексы занимают на накопителе.
• В SQL-функции printf() и format() добавлены подстановки "%J" и "%j" для вывода в формате JSON.
• В функции работы с датами и временем добавлены модификаторы "weekday -N" и "end of".
• На системах с поддержкой флага O_TMPFILE в функции open(), данный режим задействован при создании временных файлов.
• Прекращена поддержка старых версий ОС Windows, включая Windows CE и Windows XP. В качестве минимальной версии заявлена Windows Vista.

1. Главная ссылка к новости
2. OpenNews: Выпуск СУБД SQLite 3.53
3. OpenNews: Клон SQLite на Rust, воссозданный AI на основе спецификаций
4. OpenNews: Проекты CBS и sqld развивают облачный и серверный варианты SQLite
5. OpenNews: Проект Redka развивает реализацию протокола и API Redis поверх SQLite
6. OpenNews: Выпуск DuckDB 0.10.0, варианта SQLite для аналитических запросов

Подключив библиотеки brython.js и brython_stdlib.js, web-разработчик может использовать язык Python для определения логики работы сайта на стороне клиента, применяя Python вместо JavaScript. Для включения Python-кода на страницы используется тег <script> с mime-типом "text/python". Допускается как встраивание кода на страницу, так и загрузка внешних скриптов (<script type="text/python" src="test.py">). Из скрипта предоставляется полный доступ к элементам и событиям DOM. Помимо доступа к стандартной библиотеке Python предлагаются специализированные библиотеки для взаимодействия с DOM и JavaScript-библиотеками, такими как jQuery, D3, Highcharts и Raphael. Поддерживается использование CSS-фреймворков Bootstrap3, LESS и SASS.

Выполнение Python-кода из блоков <script> производится через предварительную компиляцию этого кода, выполняемую обработчиком Brython после загрузки страницы. Компиляция инициируется при помощи вызова функции brython(), например через добавление "<body onload="brython()">". На основе Python-кода формируется представление на языке JavaScript, которое затем выполняется штатным JavaScript-движком браузера.

Итоговая производительность большинства операций в Python-сценариях, встроенных в web-страницы, близка к производительности CPython. Задержка возникает только на этапе компиляции, но для её устранения предоставляется возможность загрузки предварительно скомпилированного в JavaScript кода, которая применяется для ускорения загрузки стандартной библиотеки (Brython предоставляет инструментарий для создания JavaScript-библиотек на основе модулей Python).

1. Главная ссылка к новости
2. OpenNews: Выпуск языка программирования Python 3.15
3. OpenNews: Выпуск MicroPythonOS 0.18, ОС с графическим интерфейсом для микроконтроллеров
4. OpenNews: В CPython реализована официальная поддержка архитектуры RISC-V
5. OpenNews: Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org
6. OpenNews: Выпуск Nuitka 4.0, компилятора для языка Python. Прогресс развития JIT в CPython

Среди новшеств, добавленных в Python 3.15 (1, 2, 3):

• Модернизирован экспериментальный JIT-компилятор, который теперь позволяет добиться в среднем ускорения на 11-12% на платформе macOS AArch64 и на 7-8% на платформе x86_64 Linux в тестах pyperformance по сравнению со стандартным интерпретатором. При этом в отдельных тестах при включении JIT изменение производительности варьируется от ускорения на более чем 100%, до замедления на 15%. Помимо оптимизации производительности и улучшения генерации машинного кода в новой версии в JIT переработан механизм трассировки, который теперь учитывает реальные последовательности выполнения кода, а не только их прогнозирует, что позволило значительно расширить поддержку операций на уровне байткода. Осуществлён переход на ветку LLVM 21. В генерируемом коде некоторые операции со стеком заменены на работу с использованием регистров CPU. Добавлена поддержка раскрутки стека (unwinding) для GDB и GNU backtrace().
• В качестве кодировки по умолчанию задействована UTF-8, независимо от системы в которой выполняется код. Все операции ввода/вывода теперь обрабатывают текстовые данные как последовательности UTF-8, если явно не указана кодировка. Для использования параметров текущей локали или иной кодировки следует указывать аргумент "encoding" (например, "open('test.txt', encoding='locale')"). Отключить режим UTF-8 на уровне интерпретатора можно через опцию командной строки "-X utf8=0" или переменную окружения "PYTHONUTF8=0".
• Добавлено ключевое слово "lazy" для отложенной загрузки модулей, при помощи которой можно ускорить запуск приложений с большим числом зависимостей. При отложенной загрузке модули загружаются непосредственно перед первым обращением к импортируемым именам в коде. До фактической загрузки для модулей создаётся легковесный прокси-объект "types.LazyImportType", отслеживающий обращение к модулям. В случае проблем с загрузкой модуля, например, если модуль не найден, исключение генерируется в момент попытки первого использования, а не во время импорта. Для принудительного отключения отложенной загрузки предусмотрена опция командной строки "-X lazy_imports" и переменная окружения PYTHON_LAZY_IMPORTS, а также функции sys.set_lazy_imports() и sys.get_lazy_imports(). Для выборочной фильтрации модулей, к которым применяется отложенная загрузка, добавлена функция sys.set_lazy_imports_filter().

  
     lazy import json
     lazy from pathlib import Path
  
     print("Starting up...")  # будет запущено не дожидаясь импорта json и pathlib.
  
     data = json.loads('{"key": "value"}')  # перед вызовом будет импортирован модуль json
     p = Path(".")  # перед вызовом будет импортирован модуль pathlib
  

• Добавлен встроенный тип sentinel для создания уникальных строковых объектов, значения которых не повторяются, при копировании сохраняют идентичность и поддерживают сериализацию.
• Добавлен встроенный тип frozendict, позволяющий создавать неизменяемые словари, которые можно инициализировать набором значений в момент создания объектов, но нельзя дополнять и изменять в процессе работы. Объекты с типом frozendict сохраняют порядок вставки элементов и могут хэшироваться для использования в качестве ключей в словарях.
• Добавлена возможность распаковки списочных включений (comprehensions) для списков, множеств, словарей и выражений-генераторов, используя операторы "*" и "**" для совмещения произвольного числа словарей или итерируемых объектов в одну плоскую структуру.

  
     >>> lists = [[1, 2], [3, 4], [5]]
     >>> [*L for L in lists]  # эквивалентно указанию "[x for L in lists for x in L]"
     [1, 2, 3, 4, 5]
  
     >>> sets = [{1, 2}, {2, 3}, {3, 4}]
     >>> {*s for s in sets}  # эквивалентно "{x for s in sets for x in s}"
     {1, 2, 3, 4}
  
     >>> dicts = [{'a': 1}, {'b': 2}, {'a': 3}]
     >>> {**d for d in dicts}  #  эквивалентно "{k: v for d in dicts for k,v in d.items()}"
     {'a': 3, 'b': 2}
  
     >>> gen = (*L for L in lists)  # эквивалентно "(x for L in lists for x in L)"
     >>> list(gen)
     [1, 2, 3, 4, 5]
  

• Добавлена возможность определения файлов конфигурации для безопасной инициализации пакетов при запуске интерпретатора Python, позволяющих использовать .start-файлы вместо .pth-файлов для выполнения кода на стадии до выполнения запускаемого содержимого. В .start-файлах указываются лишь точки входа в формате pkg.mod:callable, на основе которых Python находит и вызывает указанные функции без аргументов. Подобный подход решает проблему с отслеживанием скрытого выполнения кода при использовании файлов .pth, допускающих выполнение произвольного кода при запуске.
• Улучшен вывод сообщений об ошибках. Реализован вывод рекомендаций при попытке обратиться к несуществующему атрибуту или удалить его. Например, интерпретатор даст знать, если атрибут отсутствует в объекте, но имеется во вложенном объекте или свойстве. При обнаружении несуществующего типа, имеющегося в JavaScript, Java, Ruby или C#, интерпретатор предложит эквивалент для Python.

  
     >>> print(container.area)
     ...
     AttributeError: 'Container' object has no attribute 'area'. Did you mean '.inner.area' instead of '.area'?
  
     >>> 'hello'.toUpperCase()
     ...
     AttributeError: 'str' object has no attribute 'toUpperCase'. Did you mean '.upper'?
  

• Добавлен отдельный модуль profiling для доступа ко всем встроенным возможностям профилирования кода в одном пространстве имён (profiling.tracing и profiling.sampling). Реализован новый статистический профилировщик Tachyon (profiling.sampling), позволяющий анализировать производительность с практически нулевыми накладными расходами и поддерживающий профилирование на уровнях байткода и сопрограмм (async/await). В отличие от профилировщика profiling.tracing, в profiling.sampling периодически оценивается состояние стека вызовов, а не анализируется каждый вызов функции.
• В модуле typing расширены возможности аннотирования типов при помощи классов TypedDict и TypeForm. В TypedDict добавлена поддержка аргументов closed и extra_items для более строгого контроля над структурой словаря. В TypeForm предложена новая форма аннотирования значений, связанных с типами (например, "int", "str | None", классы TypedDict и "list[int]").

  
     from typing import Any, TypeForm
  
     def cast[T](typ: TypeForm[T], value: Any) -> T: ...
  

• В C API добавлен набор функций PyBytesWriter_* для создания бинарных объектов при разработке расширений на языке Си. Новый API позволяет добавлять данные в уже созданный байтовый буфер и обеспечивает автоматическое выделение памяти и изменение размера буфера. В C API также стабилизирован ABI для сборок без глобальной блокировки интерпретатора (GIL) и реализована защита от проблем, возникающих при завершении работы интерпретатора во время работы многопоточных C-расширений.
• При сборке активированы флаги "-fno-omit-frame-pointer" и "-mno-omit-leaf-frame-pointer", включающие использование процессорного регистра %rbp в качестве базового указателя на кадр стека, содержащий адреса возврата и переменные функции (frame pointer). Использование указателя на кадры стека позволяет использовать дополнительные возможности для трассировки и профилирования системы.
• Добавлена встроенная игра с текстовым интерфейсом, знакомящая разработчика с новыми возможностями Python 3.15. В игре предложено 18 головоломок, связанных с новшествами Python 3.15, для решения которых требуется написать и запустить код, использующий эти новшества. Для запуска игры следует выполнить команду "uvx --python 3.15 whatsnewt".

Дополнительно можно отметить начало альфа-тестирования ветки Python 3.16, которая будет находиться на стадии альфа-выпусков в течение семи месяцев, во время которых будут добавляться новые возможности и производиться исправление ошибок (в соответствии с новым графиком разработки работа над новой веткой начинается за пять месяцев до релиза предыдущей ветки и к моменту очередного релиза достигает стадии альфа-тестирования). После этого в течение трёх месяцев будет проводиться тестирование бета-версий, во время которого добавление новых возможностей будет запрещено и всё внимание будет уделяться исправлению ошибок. Последние два месяца перед релизом ветка будет находиться на стадии кандидата в релизы, на которой будет выполнена финальная стабилизация.

1. Главная ссылка к новости
2. OpenNews: В CPython реализована официальная поддержка архитектуры RISC-V
3. OpenNews: Брешь в инфраструктуре Python, позволявшая подменить ссылки на релизы на сайте python.org
4. OpenNews: Динамика изменения кодовой базы проекта Python
5. OpenNews: CPython может сделать Rust обязательной сборочной зависимостью к версии 3.17
6. OpenNews: Выпуск языка программирования Python 3.14

Причиной сокращения срока действия сертификатов стали новые требования ассоциации CA/Browser Forum, выработанные в ходе совместной работы производителей браузеров и удостоверяющих центров. Аналогичное сокращение срока действия будет внедрено всеми удостоверяющими центрами. CA/Browser Forum определил конечный срок завершения внедрения мартом 2029 года, а максимальное время действия сертификата - 47 днями. После марта 2029 года обработка в браузерах новых сертификатов, срок действия которых превышает 47 дней, будет приводить к выводу в ошибки "ERR_CERT_VALIDITY_TOO_LONG".

Переход на короткодействующие сертификаты сократит время внедрения новых криптоалгоритмов в случае выявления уязвимостей и помешает злоумышленникам длительное время контролировать трафик жертвы или использовать сертификаты для фишинга в случае утечки сертификата в результате взлома. Более частая проверка владения доменом и сокращение сроков действия сертификатов также уменьшат вероятность того, что сертификат продолжит действовать после потери актуальности содержащейся в нем информации и снизят риск распространения неправильно выпущенных сертификатов.

1. Главная ссылка к новости
2. OpenNews: Lets Encrypt добавил в пользовательское соглашение запрет на выдачу сертификатов для стран под санкциями США
3. OpenNews: Let's Encrypt начал выдавать сертификаты для IP-адресов и 6-дневные сертификаты
4. OpenNews: Let's Encrypt уменьшит срок действия сертификатов до 45 дней
5. OpenNews: NS-сервера домена .top прекратили обслуживание запросов валидации Let's Encrypt
6. OpenNews: Cloudflare создаёт удостоверяющий центр для бесплатной раздачи TLS-сертификатов

Что касается других разработок компании Deno Land, то проект celld, позволяющий запускать Worker-приложения на своих серверах, будет интегрирован с платформой Cloudflare Workers. Платформа Deno Deploy будет поддерживаться ещё шесть месяцев, после чего прекратит существование, а платным пользователям обеспечат миграцию на Cloudflare Workers. Репозиторий пакетов JSR (JavaScript Registry) продолжит работу, но связанная с ним инфраструктура будет перенесена в Cloudflare. Поддержка rusty_v8, Rust-обвязок для движка V8, будет продолжена, но разработка будет интегрирована с JavaScript runtime workerd.

Разработчики Deno переключатся на работу над self-hosting вариантом платформы Cloudflare Workers и возможностями для разработки приложений с использованием механизма Durable Objects. Основная идея в том, чтобы сделать модель программирования на основе Worker-ов пригодной для разработки серверных приложений, которые можно запускать не только в сети Cloudflare, но и в собственной инфраструктуре.

Платформа Deno предназначена для обособленного выполнения серверных приложений на языках JavaScript и TypeScript с использованием движка V8. Проект возглавлял Райан Даль (Ryan Dahl), создатель Node.js. Новая платформа была создана с целью предоставления более защищённого окружения и устранения концептуальных ошибок, допущенных в архитектуре Node.js. Для повышения безопасности обвязка вокруг движка V8 написана на языке Rust, а для обработки запросов в неблокирующем режиме применяется платформа Tokio. Runtime поставляется в форме одного самодостаточного исполняемого файла ("deno"), не имеющего внешних зависимостей и не требующего какой-то особой установки в систему. Кроме runtime платформа Deno также выполняет роль пакетного менеджера и позволяет внутри кода обращаться к модулям по URL.

1. Главная ссылка к новости
2. OpenNews: Платформа Deno 2.9 c поддержкой Deno Desktop для создания десктоп-приложений
3. OpenNews: Для полноценной работы yt-dlp с YouTube отныне требуется установка JavaScript-движка
4. OpenNews: Автор Node.js представил защищённую JavaScript-платформу Deno 1.0
5. OpenNews: JavaScript-платформа Bun перешла в руки компании Anthropic
6. OpenNews: Релиз серверной JavaScript-платформы Bun 1.4, переписанной с Zig на Rust

Присутствующее из коробки вредоносное ПО нацелено в основном распространяется через бюджетные устройства, такие как Doogee S200 X и Cubot KINGKONG X, но также встречается в поддельных копиях Samsung Galaxy (S25 Ultra, S24 Ultra" и Note 18 Ultra) и устройствах, стилизованных под iPhone. Проблемные устройства зафиксированы в более чем 150 странах, но наибольшее число выявлено в Мексике, Франции, Италии, США, Германии, Бразилии и Испании.

Вредоносные компоненты поставляются под видом системных приложений, таких как com.android.system.lite, com.android.sys.gmsprot, com.android.sys.bcprot и com.android.sys.prot, подписанных цифровой подписью платформы и выполняемых с правами android.uid.system, позволяющими устанавливать приложения и управлять полномочиями. Интегрированный в прошивку код загружает дополнительные приложения, в которых непосредственно реализуется вредоносная активность, и делегирует дополнительные полномочия, такие как доступ к уведомлениям и SMS. Зафиксировано 32 подобных доустанавливаемых приложения, сочетающих вредоносные функции со звуковым редактором, виджетом погоды, файловым менеджером, блокировщиком приложений и OCR.

Основная вредоносная функциональность интегрирована в библиотеку libeasy.so, предоставляющую функции для загрузки дополнительных вредоносных модулей с внешних серверов. Сервис для взаимодействия с управляющими серверами закамуфлирован под API для проверки прогноза погоды. Так как вредоносные компоненты являются частью системного раздела, для их удаления требуется перепрошивка устройства или отключение компонентов через утилиту ADB.

1. Главная ссылка к новости
2. OpenNews: Сертификаты Samsung, LG и MediaTek использовались для заверения вредоносных Android-приложений
3. OpenNews: В обновлении Android-приложения с 10 млн установок выявлен вредоносный код
4. OpenNews: Выявлен UEFI-буткит Bootkitty, подставляющий вредоносный код в загружаемое ядро Linux
5. OpenNews: Атака на пользователей Blender через вредоносные файлы с 3D-моделями
6. OpenNews: LogoFAIL - атака на UEFI-прошивки через подстановку вредоносных логотипов

При клике на ссылках "tg://" операционная система запускает связанное с данным типом ссылок приложение Telegram Desktop. Если в системе уже запущен другой экземпляр данного приложения, то запущенный процесс передаёт ему ссылку через сокет при помощи IPC-интерфейса. Проблема в том, что если указать символ ";" среди параметров ссылки (например, "tg://x?a=1;OPEN..."), содержимое разделяется и идущие после символа ";" части обрабатываются как отдельные команды.

Для совершения атаки задействована команда OPEN вместе с URI-схемой "interpret:", предназначенной для запуска служебных сценариев через IPC, которые использовались для автоматической отправки новых релизов в каналы. Сценарий предоставляет собой предопределённый локальный файл, в котором указан отправляемый в канал файл и идентификатор канала. Файловый путь к сценариям обрабатывается относительно служебного подкаталога, но из-за отсутствия чистки "../" в файловых путях атакующий имеет возможность обратиться к файлам, сохранённым за пределами базового каталога. Например, можно загрузить файл в свою telegram-группу, после чего сослаться на это файл как на сценарий, подготовив ссылку типа:

   tg://x?a=1;OPEN:interpret:../../../Downloads/Telegram%20Desktop/instructions.txt

Этапы проведения атаки:

• Атакующий добавляет жертву в свою группу (при настройках по умолчанию добавление не требует подтверждения от добавляемого) и отправляет в эту группу текстовый файл, в котором указан канал и путь к сценарию. Telegram сохранит этот файл в предопределённый системный подкаталог при заходе жертвы в группу.

  
     channel: 2005234537
     file: tdata/D877F783D5D3EF8Cs
  

• Атакующий присылает жертве невинно выглядящую ссылку на свой хост (например, "https://coolsite.org"), которая при открытии через перенаправление на сервере атакующего заменяется на URI вида 'tg://x?a=1;OPEN:interpret:...;OPEN:interpret:...".
• При клике по ссылке браузер вызывает обработчик URI "tg://", запускающий вышеотмеченную цепочку запуска команд, которая приводит к отправке файлов к канал атакующего без вывода каких-либо уведомлений и без запроса подтверждения отправки.
• Получив файлы из подкаталога tdata c ключами шифрования и авторизации, при отсутствии выставленного пользователем локального пароля атакующий может клонировать сеанс подключения жертвы на своём устройстве.

1. Главная ссылка к новости
2. OpenNews: Неофициальный Telegram-клиент Nekogram отправлял номера телефонов боту разработчика
3. OpenNews: В Telega, альтернативном клиенте Telegram, выявили возможность совершения MITM-атаки
4. OpenNews: Мэйнтейнеры Fedora и Gentoo отказались от сопровождения пакетов с Telegram Desktop
5. OpenNews: GPL-код из Telegram взят мессенджером Mail.ru без соблюдения GPL
6. OpenNews: Неофициальный Telegram-клиент MobonoGram 2019 оказался троянским ПО

Опция "data=journal" включает режим полного журналирования, при котором в журнал записываются не только метаданные, но и сами данные, что обеспечивает высокую устойчивость в случае сбоев, но усложняет сопровождение кода, приводит к значительному снижению производительности по сравнению с режимами "data=ordered" и "data=writeback". Кроме того данная опция не сочетается с некоторыми возможностями, такими как отложенное выделение блоков (delalloc) и прямой ввод/вывод, и мешает реализации новой функциональности в Ext4.

1. Главная ссылка к новости
2. OpenNews: Заметки Теодора Тс'о о ядре Linux, кодексе поведения, ext4, btrfs и ZFS
3. OpenNews: Выпуск Debian 12.3 отложен из-за проблемы, приводящей к повреждению ФС Ext4
4. OpenNews: В ядро Linux для ФС Ext4 включена поддержка работы без учёта регистра символов
5. OpenNews: Проблема с повреждением разделов Ext4 оказалась в md-raid0
6. OpenNews: Для файловой системы Ext4 представлена поддержка шифрования

В большинстве случаев подготовка обновления занимала до 4 часов, но в отдельных ситуациях процесс затягивался на дни или месяцы. Основными индикаторами сложности, влияющими на трудозатраты при сопровождении, названо наличие отдельно поддерживаемых патчей, не переданных в upstream, число зависимостей у пакета и размер сообщества разработчиков в upstream-проекте. В 49% случаях задержки в подготовке обновления связываются с необходимостью адаптировать свои патчи к изменениям в новых выпусках, в 37% случаях - с появлением в upstream-проекте нарушающих совместимость изменений, в 31% - с нарушающими совместимость изменениями в коде Google и в 29% - c общей сложностью пакета.

Среднее время формирования обновления пакетов с собственными патчами и без них было примерно одинаковым, но медианное время для пакетов с патчами оказалось в три раза больше.

1. Главная ссылка к новости

COSMIC развивается как универсальный проект, не привязанный к конкретному дистрибутиву и соответствующий спецификациям Freedesktop. Для построения интерфейса в COSMIC задействована библиотека Iced, которая использует безопасные типы, модульную архитектуру и модель реактивного программирования, а также предлагает архитектуру, привычную для разработчиков, знакомых с языком декларативного построения интерфейсов Elm. Предоставляется несколько движков отрисовки, поддерживающих Vulkan, Metal, DX12, OpenGL 2.1+ и OpenGL ES 2.0+. Разработчикам предлагается готовый набор виджетов, возможность создавать асинхронные обработчики и использовать адаптивную компоновку элементов интерфейса в зависимости от размера окна и экрана.

Помимо использования языка Rust из особенностей COSMIC выделяются режимы гибридной мозаичной компоновки окон и стекового закрепления окон (группировка окон по аналогии со вкладками в браузере), которые могут включаться в привязке к виртуальным рабочим столам. Проектом также разрабатывается композитный сервер cosmic-comp на базе Wayland.

Среди изменений:

• Добавлена возможность отождествления графических планшетов с определённым дисплеем.
• В композитном сервере cosmic-comp реализована поддержка перевода фокуса на окна на основании событий от сенсорного экрана. Система сборки переведена с make на утилиту just. Решена проблема с работой панели и виртуальных рабочих столов на системах с гибридной графикой, сочетающих видеокарты NVIDIA с интегрированными GPU.
• В cosmic-launcher для повышения производительности отрисовки по умолчанию задействован API WGPU, работающий поверх Vulkan, Metal, D3D12 и OpenGL.
• В cosmic-monitor разделён поиск процессов и приложений.
• В cosmic-player отключено автоскрытие элементов интерфейса в случае если указатель мыши наведён на кнопки управления воспроизведением.
• В cosmic-session добавлена поддержка определения переменных окружения в подкаталоге ~/.config/environment.d и разрешено использование собственных SSH-агентов.
• В каталоге приложений cosmic-store реализовано локальное кэширование скриншотов и предложен режим галереи, активируемый кликом на скриншотах.
• В эмулятор терминала cosmic-term добавлены комбинации клавиш "Ctrl+Shift+левая стрелка" и "Ctrl+Shift+правая стрелка" для перемещения вкладок влево и вправо.

1. Главная ссылка к новости
2. OpenNews: Проекты Pop!_OS и COSMIC запретили приём изменений, созданных через AI
3. OpenNews: Выпуск среды рабочего стола COSMIC 1.9.0
4. OpenNews: Выпуск дистрибутива Pop!_OS 24.04, поставляемого с рабочим столом COSMIC
5. OpenNews: Первый стабильный релиз среды рабочего стола COSMIC

1. Главная ссылка к новости
2. OpenNews: Скомпрометирован официальный Twitter-канал Ubuntu
3. OpenNews: Сервисы Ubuntu и Canonical оказались недоступны из-за DDoS-атаки

По-прежнему запрещено использование AI-инструментов и AI-агентов для автоматизации отправки pull-запросов, а также генерации сообщений коммитов, описаний, комментариев и ответов, публикуемых в репозитории Flathub. Искажение или сокрытие информации о контенте, созданном через AI, или нарушение запрета применения AI при взаимодействии с репозиторием Flathub, может привести к отклонению заявок на размещение. В случае повторных нарушений может быть применена бессрочная блокировка.

Напомним, что в мае Flathub ввёл полный запрет на публикацию приложений, содержащих любой код, документацию и прочие компоненты, созданные при участии AI, с возможностью предоставления отдельных исключений для зрелых и качественно сопровождаемых проектов. Под действие правил подпадали публикуемые приложения, дополнения, файлы с манифестами, метаданные, патчи, сборочные скрипты, pull-запросы и любые артефакты, создаваемые через flatpak-builder.

1. Главная ссылка к новости
2. OpenNews: Во Flathub запрещено размещение приложений, сгенерированных при помощи AI
3. OpenNews: 73% проектов на Flathub, созданных с помощью AI, были заброшены спустя несколько месяцев
4. OpenNews: Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI

Осуществлённые атаки:

• Смартфон Samsung Galaxy S26: 7 успешных взломов. Выплачены премии $31250, $15750, $11000, $8500, $8250 и $6250.
• Смартфон Google Pixel 10: 3 успешных взлома. Выплачены премии $300 000, $150 000 и $112 500.
• Устройство домашней автоматизации Home Assistant Green: 7 успешных взломов. Выплачены премии $30000, $12000, 2 x $7500, $7000, $4750 и $4500.
• Умный свет Philips Hue Bridge Pro: 5 успешных взломов. Выплачены премии $40000, $12000, $6000 и 2 x $5000.
• Тонометр Garmin Index BPM: 2 успешных взлома c использованием уязвимостей, связанных с переполнением буфера. Выплачены премии $20000 и $6750.
• Умные колонки Sonos Era 300: 5 успешных взломов c использованием уязвимостей, связанных с переполнением буфера и ошибкой форматирования строк. Выплачены премии $50000, $17500, $12500, $10500 и $9500.
• Принтер Lexmark CX532adw: 5 успешных взломов c использованием уязвимостей, связанных с обращением к памяти после её освобождения. Выплачены премии $20000, $10000, $5000, $5000 и $4250.
• Принтер Canon imageFORCE 1643F: 2 успешных взлома c использованием уязвимостей, связанных с отсутствием должной аутентификации, подстановкой команд и предопределёнными в прошивке учётными данными. Выплачены премии $10000 и $5000.
• Принтер Brother MFC-L8970CDW: 1 успешный взлом. Выплачена премия $20000.
• AI-шлюз LiteLLM: 2 успешных взлома c использованием уязвимостей, связанных с некорректной проверкой входных данных и возможностью подстановки кода. Выплачено $40000 и $15000.
• Система автоматизации управления БД Oracle Autonomous AI Database: 5 успешных взломов, связанных с обращением к памяти после освобождения и неправильной обработкой типов (Type Confusion). Выплачены премии $40000, $14000, $10000, $6250 и $6000.
• AI-агент OpenAI Codex: 1 успешный взлом c использованием уязвимостей, связанных с подстановкой аргумента. Выплачено $40000.
• AI-платформа Dynamo: 1 успешный взлом c использованием уязвимости, связанной с переполнением буфера. Выплачено $40000.
• Векторная СУБД Chroma: 2 успешных взлома. Выплачено $12000 и $4500.

Кроме вышеотмеченных успешных атак, 9 попыток эксплуатации уязвимостей завершились неудачей, во всех случаях из-за того, что команды не успели уложиться в отведённое для атаки ограниченное время. Неудачными оказались попытки взлома принтеров Brother MFC-L8970CDW и Lexmark CX532adwe, тонометра Garmin Index BPM, смартфона Google Pixel 10, СУБД Chroma и системы домашней автоматизации Home Assistant Green.

В каких именно компонентах проблемы пока не сообщается. В соответствии с условиями конкурса детальная информация о всех продемонстрированных 0-day уязвимостях будет опубликована только через 90 дней, которые даются на подготовку производителями обновлений с устранением уязвимостей.

1. Главная ссылка к новости
2. OpenNews: На соревновании Pwn2Own в Берлине продемонстрированы взломы RHEL, Windows 11 и AI-агентов
3. OpenNews: На соревновании Pwn2Own Automotive 2026 продемонстрировано 76 уязвимостей автомобильных систем
4. OpenNews: На соревновании Pwn2Own продемонстрированы взломы смартфонов, NAS, принтеров и устройств умного дома
5. OpenNews: На соревновании Pwn2Own 2024 продемонстрированы взломы Ubuntu, Firefox, Chrome, Docker и VirtualBox
6. OpenNews: Pwnie Awards: наиболее существенные уязвимости и провалы в безопасности