Во FreeBSD устранено 22 уязвимости, из которых одна потенциально позволяет удалённо выполнить код с правами root, а 13 дают возможность повысить свои привилегии в системе. Уязвимости устранены в обновлениях FreeBSD 15.1-RELEASE-p1, FreeBSD 15.0-RELEASE-p11, 14.4-RELEASE-p7 и 14.3-RELEASE-p16.
Наиболее опасная уязвимость (CVE-2026-49420) вызвана переполнением буфера в библиотеке libalias, применяемой в работающем на уровне ядра пакетном фильтре ipfw и в выполняемом в пространстве пользователя фоновом процессе natd для трансляции адресов отправляемых или принимаемых сетевых пакетов. Переполнение возникало в обработчике протокола RTSP (Real Time Streaming Protocol), который перезаписывал исходящие сетевые пакеты с использованием буфера фиксированного размера без проверки того, помещается ли в него результат перезаписи пакета.
Во время обработки на NAT-шлюзе специально оформленного RTSP-трафика может возникнуть переполнение стека, потенциально способное привести к удалённому выполнению кода на уровне ядра или процесса natd, выполняемого в системе с правами root.
В качестве обходных путей для блокирования уязвимости можно блокировать загрузку модуля ядра alias_smedia.ko и убрать упоминание обработчика libalias_smedia.so из файла конфигурации /etc/libalias.conf. Если не используется протокол RTSP на межсетевом экране можно заблокировать трафик на сетевые порты 554 и 7070 в правилах, указанных до срабатывания правил NAT.
Уязвимости, приводящие к получению прав root непривилегированным локальным пользователем:
CVE-2026-49415 - состояние гонки в системном вызове execve, позволяющее локальному пользователю при выполнении исполняемых файлов с флагом SUID root модифицировать адресное пространство процесса через procfs или linprocfs в небольшое временное окно, возникающее после настройки нового виртуального адресного пространства процесса, но до обновления данных о его владельце.
CVE-2026-49422 - обращение к уже освобождённой памяти (Use-after-free) в модуле ядра tcp_rack.ko с реализацией алгоритма определения потери TCP-пакетов RACK (Recent ACKnowledgment). Уязвимость можно эксплуатировать для повышения привилегий через манипуляции с локальным сокетом.
CVE-2026-49419 - переполнение счётчика ссылок за нижнюю границу (underflow) в реализации механизма изоляции Jail. Через манипуляции c jail-окружениями с использованием jail-дескрипторов при помощи функций jail_set и jail_get атакующий может добиться сброса счётчика ссылок и освобождения памяти под структуру, которая продолжает использоваться в ядре, что потенциально может быть эксплуатировано для повышения своих привилегий.
CVE-2026-49429 - переполнение буфера в OpenZFS, позволяющее локальному пользователю с ZFS-правами "userused" повысить свои привилегии через манипуляции с ioctl ZFS_IOC_USERSPACE_MANY.
CVE-2026-49427, CVE-2026-49428 - уязвимости в реализации объектов разделяемой памяти "largepage", приводящие к обращению к уже освобождённой памяти в ядре, что может быть эксплуатировано для повышения своих привилегий через манипуляции с функцией sendfile с флагом SF_NOCACHE или функциями open и fspacectl с флагом O_TRUNC.
CVE-2026-49421 - некорректная обработка флага AT_RESOLVE_BENEATH в системных вызовах unlinkat и funlinkat может использоваться для удаления файлов за пределами базовой директории в конфигурациях с ограниченным доступом к ФС.
CVE-2026-49418 - обращение к памяти после её освобождения в подсистеме виртуальной памяти, возникающее при вызове функции msync(MS_INVALIDATE) для маппинга памяти устройства. Атакующий, имеющий доступ к устройству с поддержкой маппинга в память, может использовать уязвимость для повышения своих привилегий.
CVE-2026-49416 - целочисленное переполнение в драйвере консоли vt, позволяющее локальному пользователю потенциально повысить свои привилегии через отправку ioctl CONS_HISTORY, указав слишком большой размер.
CVE-2026-49413 - уязвимость в Linuxulator, позволяющая непривилегированному пользователю подставить свою разделяемую библиотеку через переменную окружения LD_PRELOAD в исполняемый файл с флагом suid и выполнить свой код с привилегиями данного исполняемого файла.
CVE-2026-49412 - обращение к уже освобождённой памяти в обработчике опции IPV6_MSFILTER в сокетах, позволяющее повысить свои привилегии.
CVE-2026-45258 - проблемы с реализацией поддержки маппинга памяти (mmap) в драйвере sound, позволяющие читать и записывать данные в области памяти ядра через манипуляции с устройством /dev/dsp, по умолчанию доступным всем на запись.
CVE-2026-45257 - уязвимость в модуле ядра ktls, позволяющая перезаписать в страничном кэше любой файл, доступный на чтение атакующему. Перезаписав подобным образом suid root файл, например, /bin/su, атакующий может получить права root в системе.
Менее опасные уязвимости:
CVE-2026-49430, CVE-2026-49431 - уязвимости в OpenZFS, приводящие к повреждению памяти ядра и возможности выставления флага "$hasrecvd", не имея на это полномочий.
CVE-2026-49426 - некорректное создание записей аудита для вызовов ptrace. Может использоваться атакующим для обхода систем обнаружения вторжений.
CVE-2026-49423 - удалённая DoS-уязвимость в подсистеме ядра KTLS, эксплуатируемая через отправку специально оформленных TLS-пакетов. Проблема проявляется только на системах использующих KTLS для ускорения обработки TLS (kern.ipc.tls.enable=1).
CVE-2026-49424 - утечка 104 байт из неинициализированного стека ядра в реализации системного вызова waitid() в Linuxulator.
CVE-2026-49425 утечка данных из неинициализированного стека ядра в подсистеме compat32.
CVE-2026-58081, CVE-2026-58082 - переполнения буфера в библиотеке iconv, которые могут быть использованы для атаки на приложения, использующие iconv для преобразования не заслуживающих доверия внешних данных в кодировках HZ, UTF-7, VIQR, ZW и ISO-2022.
Доступен выпуск проекта fheroes2 1.1.17, который воссоздаёт движок игры Heroes of Might and Magic II с нуля. Код проекта написан на C++ и распространяется под лицензией GPLv2. Для запуска игры требуются файлы с игровыми ресурсами, которые можно получить из оригинальной игры Heroes of Might and Magic II. В составе проекта поставляется скрипт для автоматической загрузки и извлечения ресурсов из демоверсии игры, которых достаточно для работы.
Добавлен режим автоматического тестирования карт в редакторе, позволяющий запускать автоматическое прохождение сценариев AI-игроками и наблюдать за развитием игры без участия пользователя.
В редактор добавлена возможность переключения между объектами одной группы с помощью прокрутки колеса мыши.
Улучшено поведение искусственного интеллекта: герои теперь используют возможность оставаться в замках для получения бонуса к передвижению, эффективнее сражаются против призванных фантомов и корректно применяют заклинание "Телепорт" на существах под действием "Берсерка".
Ускорены ходы AI без изменения логики его поведения.
Добавлено плавное инерционное перемещение камеры на карте приключений.
Внесены улучшения в режим "Битва" и исправлены различные проблемы интерфейса.
Рави Шарма (Ravi Sharma) из команды Ubuntu Foundations Team подвёл итоги работы, проведённой за последний год для обеспечения полноценной поддержки архитектуры ARM64 в Ubuntu. Отмечается, что благодаря улучшению инструментария и инфрастурктуры, а также продвижению изменений в основной состав ядра Linux, за год удалось решить специфичные для ARM64 проблемы, такие как распространение пакетов через отдельный репозиторий, отсутствие поддержки live-патчей для ядра, ограниченные возможности для любителей компьютерных игр и недоступность Secure Boot на ноутбуках с чипами Qualcomm Snapdragon.
Основные достижения:
Пакеты для архитектуры ARM64 перенесены из портов (ports.ubuntu.com) в основной архив Ubuntu (archive.ubuntu.com), что позволило задействовать для их распространения ту же инфраструктуру, что используется для архитектуры x86_64. Пакеты для ARM64 теперь доставляются через первичную систему зеркал, что повысило скорость и надёжность при их загрузке. Миграция потребовала внесения изменений в пакеты cloud-init, live-build, livecd-rootfs и ubuntu-release-upgrader. Изменения вошли в состав Ubuntu 26.04 и в процессе бэкпортирования для Ubuntu 24.04 LTS.
Cервис Livepatch, позволяющий вносить исправления в ядро Linux на работающей системе без перезагрузки, распространён на системы на базе архитектуры ARM64. Ранее Live-патчи распространялись только для архитектуры x86_64, так как в ядре Linux для архитектуры ARM64 отсутствовала поддержка надёжных трассировок стека (CONFIG_HAVE_RELIABLE_STACKTRACE) для выявления активности, связанной с обработкой прерываний, а в инструментарии objtool и kpatch отсутствовали полноценные возможности для оценки состояния до и после применения патча. Поддержка Live-патчей для ARM64 предоставлена для Ubuntu 26.04 LTS и Ubuntu Core 26.
Сформирован стабильный snap-пакет с клиентом Steam, собранный для архитектуры ARM64. Так как клиент Steam для Linux доступен только для архитектуры x86, для его запуска на системах ARM64 задействован слой эмуляции на базе пакета FEX. При эмуляции поддерживается проброс GPU и использование Wine, Proton, DXVK и vkd3d для выполнения компьютерных игр, собранных для архитектуры x86_64 и распространяемых через каталог Steam. Работа snap-пакета протестирована на ноутбуках с чипами Qualcomm Snapdragon X Elite, NVIDIA DGX Spark и Radxa Orion O6.
Добавлена поддержка ноутбуков на базе чипов Qualcomm Snapdragon X Elite, таких как Lenovo Thinkpad X13s/T14s и Dell XPS 9345. Изначально поддержка данных устройств была добавлена в базовый iso-образ для систем ARM64, но его невозможно было использовать для загрузки в режиме Secure Boot из-за использования отдельных конфигураций Device Tree, которые прошивка ноутбуков не передавала ядру Linux. Необходимые настройки Device Tree загружались загрузчиком GRUB из отдельного файла, который не охватывался цифровой подписью.
Для решения проблемы ядро и база данных Device Tree были объединены в одном монолитном EFI-файле, похожем на UKI (Unified Kernel Image), подписанном цифровой подписью дистрибутива. Для загрузки этого файла была создана новая EFI-прослойка "stubble", при загрузке определяющая модель устройства через SMBIOS, выбирающая нужные данные Device Tree и подставляющая их в ядро, не нарушая цепочку доверия Secure Boot. Ведётся работа над реализацией поддержки ноутбуков на чипах Snapdragon X2 Elite.
Подготовлен прототип загрузочного образа на базе Ubuntu 26.04 для ноутбуков на ARM64 SoC CIX P1, который в отличие от Snapdragon позволяет определять конфигурацию через таблицы ACPI без применения Device Tree.
Компания Google анонсировала публикацию официальных сборок Chrome для Linux-систем на базе архитектуры ARM64, что позволит запускать в ARM64-сборках Ubuntu браузер Chrome, содержащий CDM-модуль (Content Decryption Module) Widevine, который недоступен в Chromium. Поставка Widevine даст возможность без сторонних патчей просматривать медиаконтент, защищённый авторскими правами (DRM), размещаемый на таких сервисах, как Netflix, Spotify и Disney+. Кроме того, поддержку Widevine намерены интегрировать в snap-пакеты с Firefox и Spotify.
Добавлены новые сборки приложений, доступные в формате snap для архитектуры ARM64. Среди прочего, для ARM64 началась публикация snap-пакетов с OnlyOffice, FreeCAD и Teams for Linux.
В прошивках, применяемых в потребительских и промышленных маршрутизаторах, коммутаторах, беспроводных точках доступа и системах видеонаблюдения компании Tenda, выявлен бэкдор (CVE-2026-11405), позволяющий получить доступ к web-интерфейсу с правами администратора в обход штатного процесса аутентификации и независимо от настроек учётной записи администратора. Предоставляемые права доступа позволяют управлять всеми настройками, манипулировать трафиком, отключить средства защиты и использовать устройство как плацдарм для атаки на системы в локальной сети.
Проблема вызвана наличием в процессе /bin/httpd недокументированной функциональности, встроенной в функцию login(). В случае неудачного завершения штатной проверки пароля по хэшу на основе алгоритма MD5 для любого логина, в коде вызывалась функция GetValue("sys.rzadmin.password"), проверяющая совпадение пароля со значением, предопределённым в прошивке в открытом виде. В случае совпадения, независимо от указанного логина, создавался сеанс с правами администратора.
Для использования бэкдора достаточно наличия доступа для отправки запросов к устройству по HTTP или HTTPS. В качестве обходной меры защиты рекомендуется запретить обращение к встроенному в прошивки HTTP-серверу из внешних сетей.
После трёх месяцев разработки опубликован выпуск OpenSSH 10.4, открытой реализации клиента и сервера для работы по протоколам SSH 2.0 и SFTP. Основные изменения:
Добавлена экспериментальная поддержка комбинированной схемы формирования цифровых подписей "mldsa44-ed25519", сочетающий постквантовый алгоритм ML-DSA 44 и алгоритм на базе эллиптических кривых Ed25519. Для включения поддержки следует добавить "mldsa44-ed25519" в директивы HostKeyAlgorithms и PubkeyAcceptedAlgorithms. Для генерации ключей можно использовать команду "ssh-keygen -t mldsa44-ed25519".
В ssh и sshd задействована новая реализация системы сопоставления по шаблону, основанная на недетерминированном конечном автомате и не подверженная проблеме экспоненциального роста сложности вычислений при использовании масок, содержащих много символов "*".
Изменено поведение Linux-сборок sshd с включённой фильтрацией системных вызовов при помощи seccomp. Ранее сбой при активации
SECCOMP или NO_NEW_PRIVS на Linux-системах без их поддержки приводил к записи в лог предупреждения и продолжения работы без изоляции, а теперь станет приводить к аварийному завершению.
При использовании опции "sshd -G" в дамп конфигурации директивы теперь записываются с использованием прописных и строчных букв, вместо записи только строчными буквами (т.е. "PubkeyAuthentication" вместо "pubkeyauthentication").
Поведение ssh и sshd приведено к соответствию стандарту RFC 4253: отправка во время повторного обмена ключами сообщений, не связанных с обменом ключами, теперь будет приводить к завершению соединения. Ранее злоумышленники могли устроить DoS-атаку, бесконечно отправляя в процессе обмена ключами сторонние сообщения, которые буферизировались на сервере и расходовали память.
Устранено несколько проблем с безопасностью:
В утилите ssh устранено потенциальное обращение к памяти после её освобождения (use-after-free) при обращении к вредоносному серверу. Проблема эксплуатируется через изменение хостового ключа в процессе повторного обмена ключами.
Уязвимость в sftp, позволяющая организовать загрузку файла в другую директорию при обращении к вредоносному серверу с использованием команды вида "sftp host:/path .".
Уязвимость в scp, позволяющая при копировании файлов между двумя внешними серверами, один из которых подконтролен атакующему, организовать запись файлов в родительскую директорию, находящуюся на уровень ниже целевой директории.
Устранена проблема в sshd, проявляющаяся при использовании внутренней реализации SFTP-сервера ("internal-sftp"), отключённой по умолчанию. Проблема связана с отсечением длинных последовательностей в командной строке после 9 аргумента, приводящей к отбрасыванию следующих аргументов. Таким образом потенциально могут быть отброшены опции, связанные с обеспечением безопасности.
В sshd устранена недоработка, из-за которой директива "DisableForwarding=yes" не отключала возможность создания туннелей, разрешённых опцией "PermitTunnel=yes" (по умолчанию не выставляется).
В sshd устранена проблема, которую можно использования для инициирования отказа в обслуживании на стадии до прохождения аутентификации при включении в настройках директивы GSSAPIAuthentication (отключена по умолчанию). Проблема не блокируется через лимит "MaxAuthTries", но подпадает под действие ограничения "PerSourcePenalties".
В sshd устранены недоработки, из-за которых не всегда добавлялась минимальная задержка между попытками аутентификации.
Компания Google опубликовала релиз web-браузера Chrome 150. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 151 запланирован на 28 июля.
Предложены первые результаты инициативы по обновлению оформления интерфейса на разных операционных системах и его избавления от излишеств. Задействованы новые пиктограммы с более сглаженными границами и анимационные эффекты для кнопок, таких как кнопки открытия главного меню и перезагрузки страницы. Упрощена структура контекстных меню, из которых исключены редко используемые или дублирующиеся элементы. Задействовано более современное оформление конфигуратора, менеджера загрузок и страницы для навигации по закладкам.
Продолжено развитие AI-режима, позволяющего взаимодействовать с AI-агентом из адресной строки или со страницы, показываемой при открытии новой вкладки. В новой версии добавлена возможность подключения Chrome к AI-агенту Gemini Spark для автономного выполнения действий в текущей активной вкладке в процессе решения поставленных задач, требующих взаимодействия с web-контентом (нажатие на кнопки, переход по ссылкам, заполнение форм и т.п.). Кроме того, добавлен вывод контекстных рекомендаций по задействованию Gemini при работе с браузером, например, при открытии большой статьи Chrome предложит резюмировать информацию при помощи Gemini, а при редактировании текста в форме порекомендует проверить или исправить текст через Gemini.
У части пользователей задействован единый упрощённый интерфейс для привязки к учётной записи в Google и синхронизации данных, таких как сохранённые пароли и закладки. Синхронизация интегрирована с входом в учётную запись и не преподносится как отдельная возможность в настройках. Пользователи могут подключить Chrome к учётной записи в Google и использовать её для хранения паролей, закладок, истории посещений и вкладок. Данные для автозаполнения адресов и автодополнения ввода теперь не синхронизируются между устройствами и хранятся только на локальной системе.
У части пользователей, активировавших режим расширенной защиты браузера (Enhanced Safe Browsing), включена функция "HTTPS-First", выполняющая автоматическое перенаправление HTTP-запросов на HTTPS. Для обеспечения работы с сайтами, не поддерживающими HTTPS, реализован откат на HTTP, если после перенаправления не удаётся выполнить запрос по HTTPS или возникают проблемы с сертификатами. При попытке открытия сайта по HTTP выводится специальное предупреждение. В Chrome 154 режим планируют включить по умолчанию для всех публично доступных сайтов, размещаемых не в интранет сетях, таких как 192.168.0.1/16 и 10.0.0.0/8.
Удалена поддержка флага kExtensionManifestV2Disabled, позволявшего вернуть возможность установки из каталога Chrome Web Store дополнений, использующих вторую версию манифеста Chrome. В следующем выпуске Chrome 151 будет удалён параметр AllowLegacyMV2Extensions, позволявший вручную в режиме разработчика загружать дополнения на базе второй версии манифеста. Отмеченные флаги позволяли обходным путём установить дополнение uBlock Origin.
Обработчики Web Worker, созданные с использованием URI "data:" (например, через "new Worker('data:text/javascript....')", теперь изолируются от страницы, на которой были созданы, и не имеют доступа к локальным хранилищам и Cookie в контексте текущего домена. Изменение позволяет блокировать использование Web Worker-ов, не загруженных с сервера, а на лету созданных через "data:", для доступа к конфиденциальным данным в процессе XSS-атак.
Реализована защита от атак, манипулирующих ограничением на максимальное число соединений к прокси в качестве скрытого канала связи между JavaScript-кодом, выполняемым в разных вкладках, или для определения посещался ли определённый сайт ранее. Например, атакующий может занять все доступные соединения к прокси, оставив не занятым лишь один сокет, после чего анализировать его доступность при обращении к статичному ресурсу - если сокет не занят, ресурс с проверяемого сайта отдан из кэша, т.е. пользователь уже загружал его ранее. Лимит на максимальное число соединений к TCP-сокетам прокси теперь варьируется случайным образом.
Запрещено применение SVG-фильтров к чужим (cross-origin) или изолированным (sandboxed) iframe-блокам, а также к плагинам (например, встроенному PDF-просмотрщику). Ограничение позволяет защититься от атак по сторонним каналам, типа GPU.zip, и атак класса SVG Clickjacking, при которых SVG-фильтры используются для наложение прозрачного содержимого на другой контент с целью подстановки невидимой кнопки, например, поверх кнопки закрытия окна с рекламой.
Для обособленных web-приложений (PWA, Progressive Web App) предоставлена возможность переноса на новый поддомен в пределах одного базового домена (например, замены drive.example.com на fileman.example.com) без участия пользователя (ранее PWA-приложение привязывалось к исходному домену и в случае смены поддомена, например, при ребрендинге или реструктуризации, требовалась ручная переустановка).
В TLS включена по умолчанию поддержка алгоритма формирования цифровой подписи ML-DSA (CRYSTALS-Dilithium), стойкого от подбора на квантовом компьютере.
В версии для Android реализована поддержка стандарта FIDO Alliance Credential Exchange, позволяющего импортировать и экспортировать сохранённые пароли и параметры биометрической идентификации с использованием сквозного шифрования на стороне клиента, например, для защищённого переноса между Google Password Manager и сторонними менеджерами паролей.
В версии для Android в конфигураторе предложен новый унифицированный интерфейс для управления сохраняемыми паролями и данными автозаполнения форм. Идея в том, чтобы пользователь разом мог получить информацию о разных классах сохраняемых браузером конфиденциальных данных, таких как пароли, данные биометрической аутентификации, адреса и паспортные данные.
Добавлено CSS-свойство "text-fit" для автоматического масштабирования размер шрифта, чтобы текст вписывался в ширину родительского контейнера (например, когда нужно разместить заголовок в заданной области без переноса хвоста на другую строку или адаптировать шрифт для разных разрешений экрана).
В CSS-свойство "background-clip добавлена поддержка параметра "border-area", упрощающего создание границ с градиентом, благодаря отрисовке фона элемента строго в зоне, которую занимает рамка.
Добавлена CSS-функция image(), позволяющая сгенерировать изображение с заливкой заданным цветом.
В режиме Origin trials началось тестирование протокола EVP (email verification protocol) для автоматического криптографического подтверждения владения email без необходимости отправки на почту одноразовых кодов подтверждения.
Добавлен HTML-атрибут focusgroup для декларативного управления переключением фокуса ввода с клавиатуры внутри составных компонентов, таких как меню, без использования JavaScript. Например, после выхода из группы элементов клавишей Tab и возвращения обратно, браузер вернёт фокус на последний активный элемент, а не на первый элемент в списке.
Внесены улучшения в инструменты для web-разработчиков. Добавлены возможности для инспектирования и отладки инструментария WebMCP, применяемого для интеграции сайтов с AI-агентами при помощи протокола MCP. В панели со стилями разрешено редактирование по месту
правил "@container", "@counter-style" и "@function".
Кроме нововведений и исправления ошибок в новой версии устранено 433 уязвимости. Многие из уязвимостей выявлены в результате автоматизированного тестирования инструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Двадцати проблемам присвоен критический уровень опасности, подразумевающий, что уязвимости позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. 14 критических проблем вызваны обращением к уже освобождённой памяти (use-after-free), 3 - недостаточной проверкой не заслуживающих доверия входных данных, 2 - переполнением буфера и 1 - неправильной обработкой типов (Type Confusion). В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 319 тысяч долларов США (одна премия в 250 тысяч долларов (CVE-2026-14382 в библиотеке ANGLE), три премии по $10000, $2500, $2000 и $1000, две премии $3000 и по одной премии $8000, $5000 и $4000.
Опубликован выпуск проекта D7VK 1.12, развивающего реализацию графических API Direct3D 3, 5, 6 и 7, предложенных компанией Microsoft в 1996, 1997, 1998 и 1999 годах. D7VK работает через трансляцию вызовов в API Vulkan и позволяет при помощи Wine запускать в Linux ретро игры, завязанные на API Direct3D 3, 5, 6 и 7. Код проекта написан на языке C++ и распространяется под лицензией Zlib. В качестве основы при разработке использован код бэкенда d3d9 от проекта DXVK - D7VK преобразует API Direct3D 3, 5, 6 и 7 в вызовы Direct3D 9, которые затем транслируются в API Vulkan. Разработчик не намерен добиваться включения D7VK в состав DXVK, как это было с реализациями Direct3D 8 и Direct3D 9 поверх Vulkan.
В новом выпуске:
Реализована серия оптимизаций производительности, в основном касающихся кода API, выполняемого на CPU. Показатели производительности D3D6 в тесте 3DMark 99 Max увеличились с 70685 баллов в D7VK 1.2 до 75283 в D7VK 1.12, а D3D7 в тесте 3DMark 2000 v1.1 с 45267 в D7VK 1.0 до 69566 в D7VK 1.12. В отдельных ситуациях внесённые микрооптимизации позволили значительно повысить FPS на системах со слабыми CPU, например, в игре Unreal Tournament FPS вырос с 256 до 484, а нагрузка на GPU снизилась с 37% до 18%.
Упрощена реализация прозрачности на основе ключевого цвета (Color Key) без использования полноценного альфа-канала.
В D3D6/5/3 оптимизированы преобразования цвета при очистке вьюпорта.
Для снижения
количества используемых дескрипторов (handles) выделение дескрипторов текстур и материалов теперь осуществляется после запроса приложением, а не в момент создания текстуры или материала.
Осуществлён переход на работу поверх выпуска DXVK 3.0.1.
Внесены исправления, улучшающие поддержку игр Matrox TechDemo 3D, Star Trek: Starfleet Academy и The Sims: Complete Collection.
Опубликован релиз Phosh 0.56, экранной оболочки для мобильных устройств, основанной на технологиях GNOME и библиотеке GTK. Окружение изначально развивалось компанией Purism в качестве аналога GNOME Shell для смартфона Librem 5, но затем вошло в число неофициальных проектов GNOME и используется в postmarketOS, Mobian, ALT Mobile, Droidian, некоторых прошивках для устройств Pine64 и редакции Fedora для смартфонов. Phosh использует композитный сервер Phoc, работающий поверх Wayland, а также собственную экранную клавиатуру. Наработки проекта распространяются под лицензией GPLv3+.
В верхнюю панель добавлен плагин с индикатором, показывающим график изменения нагрузки на CPU. Это первый рабочий плагин, использующий API для интеграции плагинов в верхнюю панель.
Предоставлена возможность скрытия пиктограмм приложений из меню приложений (app-grid) без их удаления из системы. Приложения скрываются через контекстное меню, показываемое при длительном касании к пиктограмме, и могут быть возвращены через интерфейс со списком скрытых приложений, вызываемый из того же контекстного меню. Скрытие может быть полезным в системах без менеджера приложений GNOME Software, например, в атомарно обновляемых дистрибутивах postmarketOS Duranium и BengalOS (образы для тестирования ночных сборок Phosh) с неделимым системным окружением.
В конфигуратор добавлена новая панель для управления обновлением дистрибутивов, поставляемых с монолитным атомарно обновляемым системным окружением. На базе systemd-sysupdate реализован бэкенд для обновления системы.
В phosh-session-services добавлен сервис для проверки наличия обновления системы.
При помощи виджета AdwSidebar переделана боковая панель в конфигураторе. Мелкие настройки (conf-tweaks) перемещены в отдельную область боковой панели.
В секцию c информацией о системе (About) добавлены сведения о версии системного образа для проверки актуальности состояния системы в атомарно обновляемых дистрибутивах.
Добавлена поддержка док-станции NexDock 2025 для превращения смартфона в ноутбук.
В настройки добавлена опция для включения плагина синхронизации файлов, реализованного на базе P2P-системы Syncthing.
Добавлена возможность поворота содержимого экрана блокировки системы на планшетах. Модернизирован стиль экрана блокировки.
В композитном сервере Phoc проведена чистка внутренних компонентов и осуществлён переход на выпуск библиотеки wlroots 0.20.1. Реализован Wayland-протокол xdg-toplevel-tag-v1 для прикрепления Wayland-клиентами тегов к поверхностями верхнего уровня, которые композитный сервер может использовать для восстановления позиции, размера и свойств окон после перезапуска, а также для определения особых правил для отдельных видов окон.
В экранной клавиатуре Stevia предоставлена возможность активации по умолчанию отдельных раскладок клавиатуры в привязке к приложениям (например, для Emacs можно по умолчанию включать раскладку, оптимизированную для работы в терминале). В панель быстрого ввода комбинаций клавиш добавлены кнопки для управления курсором. Для управления вставкой из буфера обмена задействован Wayland-протокол ext-data-control-v1.
В phosh-first-boot и libpms для экранной клавиатуры обеспечено автоматическое добавление раскладок клавиатуры, соответствующих выставленной локали.
Доступен выпуск прослойки DXVK 3.0.1, предоставляющей реализацию DXGI (DirectX Graphics Infrastructure), Direct3D 8, 9, 10 и 11, работающую через трансляцию вызовов в API Vulkan. Для использования DXVK требуется наличие драйверов с поддержкой API Vulkan 1.4, таких как NVIDIA 575.51.02, Mesa AMD RADV 25.0, NVIDIA 25.1 и Intel ANV 25.1. DXVK может применяться для запуска 3D-приложений и игр в Linux при помощи Wine, выступая в качестве более высокопроизводительной альтернативы встроенных в Wine реализаций Direct3D, работающих поверх OpenGL.
Основные изменения:
На всех десктопных GPU отключено использование вторичного буфера команд, что немного снизило производительность в небольшом числе игр с неоптимальными шаблонами MSAA-сглаживания, но решило некоторые проблемы с отрисовкой и зависанием GPU.
Устранены регрессии при отрисовке, проявлявшиеся в играх на базе D3D9, таких как Black Mesa, Gothic 3 и GTA IV.
Устранено аварийное завершение при выгрузке D3D-библиотек при активном D3D-устройстве.
Обходным путём блокировано проявление ошибки в Mesa-драйвере ANV, приводивший к зависанию GPU в некоторых играх на системах с Intel Alchemist и более старыми GPU. На системах с подобными GPU по умолчанию включены буферы дескрипторов, что негативно повлияло на производительность.
Опубликован проект BSDun, развивающий модуль для ядра Linux, позволяющий распознавать, загружать и запускать в Linux немодифицированные исполняемые файлы в формате ELF, собранные для FreeBSD. Для запуска применяется эмулируемое окружение FreeBSD, размещаемое в каталоге /compat/freebsd. В целом проект является полной противоположностью FreeBSD Linuxulator. Код распространяется под лицензией GPLv2+ и написан с использованием AI-ассистента Claude Code.
При помощи BSDun удалось успешно запустить в Linux многие приложения из пакетов FreeBSD, среди которых pkg, nginx, mc, ping, xeyes, xfce4-panel, Thunar, xfce4-terminal, Libreoffice, Midori, Epiphany, Chromium и VScode. Для запуска Chromium и VScode требуется отключение sandbox-изоляции и ограничение размера видеопамяти при помощи опций "--no-sandbox --force-gpu-mem-available-mb=1024".
Модуль не претендует на включение в основной состав ядра, поскольку с момента удаления ABI Solaris архитектура ядра Linux не допускает включения иных обработчиков исполняемых файлов (OS Personalities) и предусматривает наличие только одной таблицы системных вызовов. Для обхода этой проблемы в BSDun был задействован механизм kprobe, перехватывающий все системные вызовы.
При помощи kprobe cистемные вызовы FreeBSD отделялись от системных вызовов Linux и заворачивались в отдельную таблицу. Одна часть системных вызовов FreeBSD напрямую привязывалась к системным вызовам Linux, для другой выполнялась переупаковка структуры параметров и результата, третья заменялась заглушками (например, связанные с Capcicum), а четвёртая реализовывалась на основе внутренних структур ядра Linux.
Для реализации механизма kevent/kqueue поверх epoll() отдельно была применена модификация компонентов в пространстве пользователя, автоматически осуществляемая при загрузке каждого исполняемого файла FreeBSD.
В общей сложности реализовано около 250 системных вызовов. Также реализованы SystemV IPC, сетевые функции, futex-ы, sysctl MIB, prctl, таймеры и ioctl. Для разграничения файловых систем использовано chroot-окружение на стороне Linux (в процессе экспериментов без chroot автор выполнив "pkg install ..." перезаписал содержимое /usr/local/* в Linux). Тем не менее, некоторые утилиты все ещё могут работать без chroot.
Предложенный модуль может применяться для разработки, сборки и портирования ПО для FreeBSD без использования виртуальных машин. Краткая инструкция по использованию:
make
make load
./bsdun-freebsd-root-resetup.sh
./bsdun-freebsd-enter.sh
uname -a
FreeBSD host 16.0-CURRENT FreeBSD 16.0-CURRENT (bsdun) amd64
Разработчики открытой операционной системы ReactOS, нацеленной на обеспечение совместимости с программами и драйверами Microsoft Windows, добились успешного запуска игры Half-Life 2, который был продемонстрирован на реальном оборудовании. Игра была запущена с разрешением 2560x1440 на компьютере с видеокартой NVIDIA GeForce GTX 960 и звуковой картой SoundBlaster Audigy, для работы с которыми был задействован проприетарный видеодрайвер NVIDIA 368.61 и звуковой драйвер из набора Audigy SupportPack 7.0. Месяц назад в ReactOS удалось запустить игры Half-Life и Unreal Tournament 2004.
Помимо этого несколько дней назад в состав ReactOS была принята реализация системного вызова cbNtGetCurrentProcessorNumberEx, позволяющего определить номер CPU, на котором выполняется программа, отправившая запрос. cbNtGetCurrentProcessorNumberEx стал первым реализованным в ReactOS системным вызовом из ядра NT 6, применявшегося в Windows Vista и Windows Server 2008. Ранее проект ReactOS ограничивался обеспечением совместимости с ядром NT 5.2, используемым в Windows XP и Windows Server 2003.
Арнд Бергман (Arnd Bergmann), отвечающий за пакеты с ядром в SUSE, предпринял вторую попытку проведения чистки ядра Linux от кода для поддержки устаревших платформ ARM, которые почти не используются и мешают сопровождению актуальных подсистем. Первая попытка была совершена в августе 2024 года, но забуксовала, несмотря согласие разработчиков ядра провести чистку в 2025 или 2026 годах после формирования соответствующих LTS-веток ядра. Во втором наборе патчей Арнд актуализировал информацию и добавил в файлы конфигурации предупреждения о переводе платформ в разряд устаревших. Фактически удалить отмеченные платформы предлагается в ядре 7.4, ожидаемом в начале 2027 года.
Намечены к удалению:
Все файлы поддержки плат, не переведённые на использование структуры Device Tree. Исключение будет сделано только для платформ OMAP1 и S3C (ARCH_S3C64XX), так как код для поддержки OMAP1 находится в процессе перевода на Device Tree, а платы S3C ещё продолжают активно использоваться. Среди прочего по умолчанию будет отключена поддержка структуры ATAGS (ARM Tag-Area), которая использовалась для передачи информации о конфигурации до Device Tree.
Поддержка расширенного набора инструкций iWMMXt, который был объявлен устаревшим, начиная с GCC 14.
Архитектура ARMv6/ARM1136r0, которая используются в таких SoC, как ARM1136r0p (NXP i.MX31) и OMAP24xx (Nokia N8xx). Удаление не затрагивает архитектуру ARMv6K (ARM1136r1/ARM1176).
Микроконтроллеры на базе процессоров Cortex-M3/M4/M7 (stm32, imxrt, lpc18xx, samv7) - последние поддерживаемые в ядре чипы без блока управления памятью (MMU).
RiscPC - старейшая из поддерживаемых в ядре платформ.
Платформы LSI Axxia.
Эмулятор для выполнения операций с плавающей запятой NWFPE (No Floating Point Emulator), OABI и режим совместимости с OABI (OABI_COMPAT), позволяющий выполнять исполняемые файлы, собранные для OABI, используя ядро с EABI. Данные подсистемы применяются только на устройствах с процессорами StrongARM на базе архитектуры ARMv4 и будут оставаться в ядре до удаления поддержки StrongARM.
Структура param_struct, используемая до ATAGS (ARM Tag-Area), объявленная устаревшей в 2001 году и намеченная на удаление ещё в 2006 году.
Помечена как устаревшая и неработоспособная (broken) поддержка режима BE8 (big-endian ARMv7), который пока не планируют удалять, так как он представляет интерес для тестирования компонентов пространства пользователя на системах big-endian. Поддержка big-endian варианта ARMv5 сохраняется, так как он используется в процессорах ixp4xx, находящихся в обиходе.
Кроме того, в ядре Linux 7.3 намерены удалить файловую систему EFS, которая применялась в ранних версиях ОС IRIX, перестала использоваться около 30 лет назад и уже более 20 лет находится без сопровождения. Для тех кому необходим доступ к информации на разделах с EFS существуют утилиты, работающие в пользовательском пространстве.
Также началась работа по прекращению использования в ядре 32-разрядного интерфейса rdmsr() для доступа к регистрам MSR (Model Specific Register) в CPU, позволяющего по отдельности читать содержимое старших и младших 32-разрядных значений из 64-разрядных регистров MSR. Планируется полностью удалить код 32-разрядного интерфейса и перевести ядро на 64-разрядный интерфейс rdmsrq(), что позволит заменить все высокоуровневые макросы, обращающиеся к MSR, на inline-функции.
Опубликован выпуск проекта CalyxOS 7.2.2.0, развивающего прошивку на основе платформы Android, избавленную от привязок к сервисам Google и предоставляющую дополнительные средства для обеспечения конфиденциальности и безопасности. CalyxOS 7.2.2.0 стал первым стабильным выпуском после приостановки публикации обновлений в августе прошлого года, вызванной необходимостью переработки процесса формирования релизов, проведения полного аудита и изменения криптографических ключей после ухода основателя проекта и технического лидера, имевших доступ к ключам для цифровых подписей. Новый выпуск переведён на кодовую базу Android 16 и доступен в сборках для устройств Pixel 4-9, Fairphone 4/5, Motorola Moto G32-G84 и SHIFTphone 8.
Вместо сервисов Google в CalyxOS предлагается набор microG c альтернативной реализацией API Google Play, Google Cloud Messaging и Google Maps, не требующей установки проприетарных компонентов Google. Вместо Google Network Location Provider для определения местоположения по Wi-Fi и базовым станциям задействована прослойка, использующая сервисы Positon или BeaconDB. Для преобразования адресов в местоположение (Geocoding Service) задействован Nominatim от проекта OpenStreetMap.
Для управления доступом к сети применяется межсетевой экран Datura, позволяющий ограничивать доступ к сети в привязке к отдельным приложениям, методам подключения (Wi-Fi, мобильная сеть, VPN) и активности (например, можно запретить доступ приложений, выполняемых в фоне). Имеется интерфейс для отслеживания полномочий приложений. По умолчанию используется браузер Calyx Chromium с поисковым движком DuckDuckGo, а в качестве опции доступен Tor Browser. Для установки приложений предлагаются F-Droid и Aurora Store (альтернативный анонимный клиент для Google Play).
Ориентированный на приватность интерфейс совершения звонков, имеющий встроенную возможность осуществления вызовов через мессенджеры Signal и WhatsApp с использованием сквозного шифрования. Обеспечено скрытие из журнала звонков конфиденциальных номеров телефонов, таких как телефоны доверия.
Блокировка по умолчанию неизвестных USB-устройств.
Функция отключения Wi-Fi, Bluetooth, микрофона и камеры после определённого времени неактивности.
Режим блокировки доступа к сети недавно установленных приложений.
Возможность использования профилей для разделения рабочей и личной активности с изоляцией данных и приложений между профилями.
Интегрированная поддержка VPN c предустановкой приложений для Tor и Riseup. Возможность использования телефона в режиме точки доступа (USB или Wi-Fi) с пробросом трафика через VPN или Tor.
Верификация системы по цифровой подписи для защиты от подмены или вредоносного изменения прошивки.
Автоматическая ежемесячная доставка обновлений в режиме OTA (over-the-air).
Кнопка Panic для экстренной чистки данных и удаления определённых приложений.
Автоматическая система создания резервных копий приложений, позволяющая сохранять резервные копии на USB-накопитель или в облачное хранилище Nextcloud c шифрованием на стороне клиента.
Использования CoMaps для работы с картами, OnionShare для обмена файлами и Thunderbird для электронной почты.
Из изменений в новом выпуске, помимо перехода на Android 16, отмечается реализация поддержки смартфона SHIFTphone 8 и обновление версий встроенных приложений. Сборки заверены цифровой подписью на базе нового закрытого ключа, хранимого в переработанной инфраструктуре на базе аппаратного HSM-модуля (Hardware Security Module), прошедшей аудит безопасности и не подконтрольной отдельным участникам. Из планов отмечается возобновление публикации регулярных корректирующих OTA-обновлений и выпуск CalyxOS 8 на базе Android 17.
Новая инфраструктура для заверения прошивки цифровой подписью построена чтобы недопустить зависимости от отдельных участников и защититься от утечки ключей в случае компрометации систем. В качестве модуля HSM для аппаратного хранения ключей и выполнения операций с цифровыми подписями без извлечения ключей был выбран USB-токен YubiHSM 2. Так как для каждого поддерживаемого устройства и компонента прошивки требуется отдельный ключ для формирования цифровой подписи, а все ключи не вмещаются в USB-токен YubiHSM 2, было применено многослойное шифрование - в HSB постоянно хранится только базовый первичный ключ (wrap key), а ключи для создания цифровых подписей хранятся вне HSM в форме, зашифрованной при помощи первичного ключа. При создании цифровой подписи необходимый зашифрованный внешний ключ загружается в HSM, расшифровывается первичным ключом внутри HSM и используется для формирования подписей без извлечения ключей из HSM при помощи инструментария, поддерживающего стандарт PKCS#11 (apksigner, signapk и OpenSSL).
Для генерации первичного закрытого ключа, создания резервной копии и записи ключа в HSM был использован новый компьютер, купленный в случайно выбранном магазине. Без подключения к интернету на компьютере с предварительно верифицированного DVD-диска в live-режиме был загружен дистрибутив Tails, из которого были настроены и инициализированы два USB-токента YubiHSM 2 (основной и резервный). Дополнительно при помощи схемы разделения Шамира была создана резервная копия ключа, при которой ключ был разделён на 5 частей и распределён между 5 заслуживающими доверия людьми (в случае поломки USB-токенов для восстановления ключа потребуется собрать вместе как минимум 3 части).
Разработчики Ubuntu вернули вариант утилиты cp из набора GNU Coreutils после выявления несовместимости в реализации cp из состава Rust Coreutils, из-за которой стал завершаться ошибкой скрипт для сборки Live-образов (livecd-rootfs).
В релизе Ubuntu 26.04 из-за выявленных в апреле уязвимостей были возвращены утилиты cp, mv и rm из GNU Coreutils, но в недавнем обновлении пакета coreutils-from-uutils 0.0.0~ubuntu26 было возобновлено использование утилит из набора Rust Coreutils. Проблема возникла из-за вызова в сборочном скрипте утилиты cp с опциями "-afL", которые нормально обрабатывались в GNU Coreutils, но в Rust Coreutils привели к возвращению ошибки "cp: -r not specified; omitting directory <dir-name>".
Ошибка возникала из-за иного поведения при обработке конфликтующих между собой опций "-L" и "-a". Опция "-L" предписывает разыменовывать символические ссылки, в то время как составная опция "-a", заменяемая на "-dR --preserve=all", содержит опцию "-d", запрещающую разыменование символических ссылок. В Rust Coreutils составная опция "-a" отбрасывалась целиком вместо отдельного удаления конфликтующего флага "-d", что приводило к пропаданию флага "-R", необходимого для рекурсивного копирования директорий, а также флага "--preserve=all", используемого для сохранения прежних атрибутов в копии.
Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной и "staging" веток ядра Linux, сообщил, что за первые 6 месяцев 2026 года в ядре Linux было выявлено 2308 уязвимостей, которым присвоены отдельные CVE-идентификаторы. Таким образом ядро Linux поднялось со второго на первое место по числу присвоенных CVE-идентификаторов среди производителей ПО. Подобный показатель не является объективным, так как большинство производителей присваивают CVE-идентификаторы только опасным уязвимостям, в то время как в ядре Linux учитываются все потенциальные уязвимости, независимо от степени опасности.
Число присвоенных CVE с группировкой по производителям:
2308 "Linux"
1752 "Google"
1308 "n/a"
843 "Microsoft"
495 "OpenClaw",
445 "Oracle Corporation"
395 "Adobe"
340 "Red Hat"
310 "Apache Software Foundation"
284 "Apple"
Число присвоенных CVE с группировкой по отдельным продуктам:
2309 "Linux"
1584 "Chrome"
888 "n/a"
497 "OpenClaw"
284 "Windows 10 Version 1607"
255 "Firefox" (в Firefox под одним CVE может агрегироваться информация о сотнях уязвимостей, например, под CVE-2026-6785 собрано 155 уязвимостей, а под CVE-2026-6786 - 110).
