Из особенностей Trinity можно отметить собственные средства для управления параметрами экрана, основанная на udev прослойка для работы с оборудованием, новый интерфейс для настройки оборудования, переход на композитный менеджер Compton-TDE (форк Compton с расширениями TDE), улучшенный конфигуратор сети и механизмы аутентификации пользователей. Окружение Trinity может быть установлено и использовано одновременно с более актуальными выпусками KDE, в том числе предоставлена возможность использования в Trinity уже установленных в системе KDE-приложений. Также присутствуют средства для корректного отображения интерфейса GTK-программ без нарушения единого стиля оформления.

Основные изменения:

• В эмулятор терминала konsole добавлена поддержка режима защищённой вставки из буфера обмена, при котором после вставки многострочное содержимое не запускается построчно автоматически, а выделяется цветом и ожидает нажатия пользователем клавиши Enter.

  В konsole добавлена поддержка разделённых двоеточием субпараметров в управляющих последовательностях CSI (Control Sequence Introducer) и DCS (Device Control String), а также поддержка escape-последовательности SGR 1006 для отслеживания кликов мышью (решило проблемы с кликами в htop) и escape-последовательностей SGR 58/59 для изменения цвета подчёркивания текста. В меню добавлена кнопка "Select All" для выделения всей истории операций или всего содержимого экрана.

  
• В текстовом редакторе kate унифицирована логика установки позиции курсора в документе.
• В календаре-планировщике korganizer включено по умолчанию встраивание в календарь приложений к событиям.
• В файловом менеджере konqueror при просмотре файлов в форме сетки пиктограмм реализован расширенный режим переименования.
• В интерфейс просмотра таблицы символов kcharselect добавлена панель с категориями символов.
• В оконном менеджере twin реализована настройка noBorder для скрытия рамок окна. В заголовки окон добавлены кнопки для закрепления окна поверх или снизу других окон.
• В панель kicker добавлена возможность выбора цвета для текста на кнопках в меню.
• В панели задач реализована поддержка прокрутки колесом мыши и добавлены кнопки "Raise All" и "Lower All" для групп окон.
• В меню kickoff реализована навигация по результатам поиска при помощи клавиатуры.
• В tdebase и rusader добавлена поддержка протокола lzip.
• В tdeprint улучшена настройка принтера.
• В kmagnifier сделана более заметной рамка выделения области экрана.
• В kmix добавлена опция для восстановления громкости во время перезапуска
• В koffice добавлена поддержка библиотеки libpqxx 8 (API для доступа к PostgreSQL).
• В kpdf добавлена поддержка расшифровки с использованием алгоритма AES-256.
• Добавлена поддержка Python 3.15 и OpenSSL 4.
• Прекращена поддержка Ubuntu 24.10, Fedora 42 и openSUSE 15.6. Добавлена поддержка Ubuntu 26.10 и Fedora 44.

1. OpenNews: Выпуск десктоп-окружения Trinity 14.1.6, продолжающего развитие KDE 3.5
2. OpenNews: Выпуск дистрибутива Q4OS 6.1, поставляемого с пользовательским окружением Trinity

Пользователь указывает цель и формулирует запрос, после чего Craft Anything запускает четыре этапа генерации готового продукта: Изучение -> Сборка -> Проверка -> Получение результата. На этапе изучения движок инспектирует заданный проект, проверяет код, изучает имеющиеся файлы и оценивает как он работает при разных разрешениях экрана. На втором этапе агент написания кода генерирует новый проект на выбранном языке программирования с использованием указанных фреймворков и движков. На четвёртом этапе производится сравнение полученного результата с оригиналом и построение списка расхождений. На последнем этапе выполняется рецензирование результата, устранение несовпадений и интерактивное доведение прототипа до финального продукта.

Имеется режим чистой комнаты (включён по умолчанию), в котором движок не использует исходный код или файлы оригинала, а работает исключительно с тем, что доступно внешнему наблюдателю: скриншотами, видимым текстом, вёрсткой, цветами, шрифтами и меню. Для более детального анализа предусмотрен режим глубокого изучения, который задействует всё что можно, включая код и файлы программы, встроенные движки и инструментарий для обратного инжиниринга Ghidra, а также анализирует JavaScript при клонировании сайтов.

В основе Craft Anything лежит движок обратного инжиниринга, насчитывающий 284 инструмента, который может анализировать бинарные сборки, программы на .NET, JavaScript и Java, приложения для Android и платформ Apple, программы на движке Electron, web-сайты, прошивки, дампы трафика, базы данных и файлы от компьютерных игр. Поддерживается клонирование игр на базе игровых движков Unity, Unreal и Godot. Декодировщики, дизассемблер и декомпилятор работают без внешних зависимостей. Доступны графический и CLI интерфейсы, а также MCP-сервер, позволяющий любому AI-агенту управлять движком.

Для этапа сборки требуется AI-агент, установленный на машине пользователя. На данном этапе развития поддерживается только Claude Code и имеется предварительная непроверенная на реальных задачах поддержка Codex. В результирующих продуктах Craft Anything допускает повторение поведения, внешнего вида и стиля оригинальных проектов, но не позволяет копировать логотипы, фотографии или текст без подтверждения пользователем наличие прав на контент. Craft Anything также не обходит DRM-защиту и античит-системы.

1. OpenNews: Клоны программ Adobe и MS Office, САПР, AI-ускоритель и почтовый клиент, сгенерированные через AI
2. OpenNews: Представлены офисные пакеты ElixirOffice, TinyLittleOffice и ALT Office
3. OpenNews: Проект PhotoSuite развивает открытый аналог Photoshop, созданный через AI

В качестве примера при помощи Curl организована симуляция работы двухсчетчиковой регистровой машины (машины Минского) для сложения чисел и реализации программы "99 бутылок пива", используемой при обучении работы с циклами. Для запуска программы, запрограммированной через файлы конфигурации curl, достаточно распаковать архив и выполнить команду "curl -q -s -K 99_bottles/main.conf".

Регистровая машина симулируется через представление значения счетчика в виде строки из "n" символов "x". Операции инкремента и декремента реализованы через конкатенацию и усечение строк (синтаксис "[0-0]" для оставление первого байта и "[1-]" для оставления всего содержимого кроме первого байта), а переходы между состояниями управляются директивой "expand-config", которая динамически подгружает следующий файл конфигурации, используя его имя в качестве метки перехода. Операция INC(R) в регистровой машине реализуется как 'expand-variable = "r={{r}}x"' в файле конфигурации Curl, DEC(R) - как 'expand-variable = "r[1-]={{r}}"', а JMP(S) - как 'expand-config = "S.conf"'. Например, код для вычисления 2 + 3:

На практике реализуемые через файлы конфигурации вычислительные возможности ограничены размером стека, так как каждый шаг выполнения программы требует загрузки нового вложенного файла конфигурации. При стеке в 8 МБ переполнение возникает примерно после 922 шагов. На возможности также влияет ограничение на размер раскрываемых переменных (параметр MAX_EXPAND_CONTENT выставлен в 10 МБ) и большое потребление памяти из-за сохранения всех старых версий переменных.

Несмотря на то, что выявленная возможность не является уязвимостью в версиях начиная с curl 8.17 рассматриваемый трюк уже не сработает из-за ограничения глубины вложенности файлов конфигурации 5 уровнями для защиты от бесконечной рекурсии.

1. OpenNews: Построение полной по Тьюрингу вычислительной среды при помощи утилит GNU find и mkdir
2. OpenNews: Язык программирования Birb, состоящий только из emoji-значков птиц
3. OpenNews: В CVE опубликованы отчёты о ложных уязвимостях в curl, PostgreSQL и других проектах
4. OpenNews: AI-модель Claude Mythos не продемонстрировала особых достижений при поиске уязвимостей в Curl
5. OpenNews: Проект Curl на месяц прекратит приём отчётов об уязвимостях

Администраторы инфраструктуры Alpine Linux не выявили появления сторонних файлов, подозрительных запущенных процессов, необычных обращений к API, изменений настроек и системных файлов, а также скачков нагрузки, свойственных массовому извлечению данных. В ходе анализа целостности репозитория aports, пакетов и файлов с релизами, а также их сверки с копиями с внешних сборочных серверов и систем разработчиков, скрытых изменений не выявлено.

Полностью исключить успешное проведение атаки не позволяет отсутствие информации об исходящих сетевых соединениях, удаление некоторых логов при ротации (например, лога cron-а) и отсутствие должной детализации в логах web-сервера (успешное применение эксплоита, не приводящее к аварийному завершению, не отражается в логе). В случае успешной атаки, злоумышленники могли получить доступ к БД с данными о всех пользователях GitLab (хэши паролей, email, IP-адреса и т.п.), переменным окружения и токенам из систем непрерывной интеграции, кодам двухфакторной аутентификации, хэшам персональных токенов доступа, содержимому приватных репозиториев и конфиденциальным обсуждениям проблем. Ключи для формирования цифровых подписей к релизам и пакетам на атакованном сервере не хранились.

Первые попытки эксплуатировать уязвимость были зафиксированы 20 и 21 октября. Атакующий зарегистрировал учётную запись в GitLab и пытался отправить модифицированные настройки системы непрерывной интеграции. В логах зафиксировано 8 аварийных завершений рабочих процессов GitLab, из которых 4 связаны с применением экспоита. Отмечается, что первая фаза работы эксплоита была успешной, но вторая стадия завершилась сбоем.

На момент атаки в контейнере использовалась уязвимая версия GitLab 19.3.4, которая 22 октября была обновлена до выпуска GitLab 19.3.6. Но администраторы Alpine не учли то, что исправление внесено только в официальные установочные пакеты GitLab 19.3.6, а не в сам код GitLab, так как уязвимость присутствует в инструментарии Ruby. В контейнере продолжал использоваться старый инструментарий Ruby и уязвимость оказалась неисправленной.

То что система остаётся уязвимой было выявлено только 26 октября. Разбор логов показал, что 25 и 26 октября атакующие возобновили попытки совершения атаки. 27 октября доступ сторонних пользователей к GitLab был ограничен. 28 октября содержимое было пересобрано, все пароли сброшены (пользователям необходимо установить новый пароль через процедуру восстановления забытого пароля), а ключи доступа заменены. 29 октября обновлённый сервер был введён в строй. Сопровождаемый проектом Docker-контнейнер alpinelinux/gitlab оставался уязвимым вплоть до 27 октября.

1. OpenNews: Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab
2. OpenNews: Уязвимость в GitLab, допускающая удалённое выполнение кода (доступен эксплоит)
3. OpenNews: Релиз минималистичного дистрибутива Alpine Linux 3.24

Проблема вызвана неконтролируемым приведением типа при обработке некорректного заголовка WAP Push-сообщения, отправленного через SMS. Переполнение возникает так как поле с размером заголовка приводится из беззнакового значения (uintvar) к 32-разрядному знаковому типу int без должной проверки границ. Из-за приведения 64-битного типа long в 32-битный int в Java корректное с точки зрения протокола значение 0x80000000 интерпретируется как отрицательное число -2147483648 в переменной headerLength. В дальнейшем эта переменная используется при выделении памяти через вызов "new byte[headerLength]", что в случае получения отрицательного числа приводит к генерации исключения и аварийному завершению процесса com.android.phone.

Через несколько секунд процесс перезапускается, но эффект не ограничивается кратковременным прерыванием связи. Проблемное WAP Push-сообщение из-за аварийного завершения продолжает находиться в очереди необработанных сообщений и новая попытка его обработки приводит к очередному аварийному завершению процесса com.android.phone.

После серии подобных падений срабатывает обработчик RescueParty, который перезагружает устройство в режим Recovery, в котором предлагается выполнить сброс к заводским настройкам. Простая перезагрузка не помогает - если проблемное сообщение не удалено из очереди, примерно через 90 секунд устройство опять будет перезагружено.

Для удаления сообщения из очереди без сброса к заводским настройкам предлагается использовать утилиту adb:

   adb shell content query --uri content://sms/raw --projection _id:destination_port:date:deleted
   adb shell cmd appops set com.android.shell WRITE_SMS allow
   adb shell "content delete --uri content://sms/raw --where \"address='<SENDER>'\""
   adb shell cmd appops set com.android.shell WRITE_SMS default
   adb shell pm clear com.android.providers.telephony

Но это лишь даст возможность извлечь SIM-карту, загрузиться и установить обновление прошивки. Так как из-за аварийного завершения процесса "com.android.phone" оператору связи не отправляется подтверждение обработки WAP Push-сообщения, до истечения таймаута он будет предпринимать новые попытки отправки и ситуация будет повторяться. В проведённых тестах повторные отправки продолжались от суток до недели. Для устройств, производители которых прекратили публикацию обновлений прошивки, обходного пути блокирования проблемы пока нет, кроме обращения к оператору связи с просьбой блокировки передачи сообщений WAP Push на его стороне.

1. OpenNews: Атака Pixnapping, определяющая содержимое экрана для перехвата 2FA-кодов в Android
2. OpenNews: Атака BrutePrint для разблокировки Android-смартфона через подбор отпечатков пальцев
3. OpenNews: Уязвимость в чипах Qualcomm, позволяющая атаковать Android-устройство через Wi-Fi
4. OpenNews: Уязвимость в Android, позволяющая обойти блокировку экрана
5. OpenNews: Уязвимость в Android-прошивке Pixel 9, позволяющая выполнить код через отправку сообщения

О проведённой тестовой атаке и выявленных проблемах сразу было сообщено администраторам GNU Savannah. Проблемы были устранены в мае. Всего исследователями было выявлено 9 уязвимостей, из которых 2 признаны критическими, а 4 опасными. Первая критическая уязвимости позволяла обойти аутентификацию при обращении к настройкам, доступным только администратору сайта (siteadmin/triggercreation.php).

Вторая критическая уязвимость позволяла выполнить код на сервере через указание специально оформленного email. Проблема была вызвана отсутствием должного экранирования спецсимволов и могла быть эксплуатирована через указание при регистрации email вида "a`touch${IFS}/tmp/savane-rce-proof`@example.com" с последующим нажатием в web-интерфейсе кнопки проверки GPG-ключа (email подставлялся в строку запуска утилиты gpg, вызываемую через PHP-функцию proc_open()).

Добившись выполнения кода с правами web-сервера, исследователи нашли пароль доступа к СУБД в файле конфигурации и изменили в БД права доступа для своего зарегистрированного аккаунта с непривилегированного пользователя на администратора. Права администратора в web-интерфейсе Savannah давали возможность работы под любым пользователем без ввода пароля. Исследователи воспользовались этой возможностью, вошли от имени сопровождающего проект Bash и нашли возможность добавления своего SSH-ключа для подключения к git-репозиторию. В случае добавления ключа появлялась возможность отправки коммитов в Bash от имени сопровождающего.

Права root на сервере были получены через эксплуатацию до этого уже известной уязвимости в ядре Linux, которое не было обновлено на сервере (был установлен дистрибутив Trisquel GNU/Linux 11 на базе Ubuntu 22.04 с ядром linux-libre 5.15). Для атаки использовалась уязвимость в OverlayFS (CVE-2023-2640). Примечательно, что исправление уязвимости было доступно с 2023 года, но компания Canonical оперативно устранила проблему только в ядрах 5.19 и 6.2, а для ядра 5.15 выпустила патч только 7 мая 2026 года. Получив права root, исследователи обнаружили в системе SSH-ключ у пользователя "gnubackup", позволяющий без пароля подключиться к хосту с резервными копиями.

1. OpenNews: Фонд СПО предупредил о критической уязвимости в хостинге свободного кода GNU Savannah
2. OpenNews: GitLab запустил зеркало GNU Savannah
3. OpenNews: Подробности об улучшениях безопасности инфраструктуры Savannah
4. OpenNews: Хостинг Savannah.gnu.org взломан неизвестными злоумышленниками
5. OpenNews: Взлом Savannah затронул и www.gnu.org. Хронология событий

Рабочий стол в Enlightenment формируют такие компоненты, как файловый менеджер, набор виджетов, панель запуска приложений и графические конфигураторы. Графические конфигураторы предоставляют как высокоуровневые средства настройки (изменение оформления, настройка виртуальных рабочих столов, управление шрифтами, разрешением экрана, раскладкой клавиатуры, локализацией и т.п.), так и возможности по низкоуровневому тюнингу (например, можно настроить параметры кэширования, графического ускорения, потребления энергии, изменить логику работы оконного менеджера).

Для расширения функциональности предлагается использовать модули (гаджеты), а для переработки внешнего вида - темы оформления. Доступны модули для отображения на десктопе календаря-планировщика, прогноза погоды, данных мониторинга, регулятора громкости, виджета для оценки заряда аккумулятора. Составляющие Enlightenment компоненты жёстко не привязаны друг к другу и могут использоваться в других проектах или для создания специализированных окружений, таких как оболочки для мобильных устройств.

Из обязательных зависимостей заявлены EFL, libexif и libpam (только в Linux). Среди рекомендованных зависимостей, необходимых для достижения полноценной функциональности: connman для настройки сети; bluez5 для работы с Bluetooth; bc для встроенного калькулятора; pulseaudio для управления звуковыми устройствами; acpid для обработки различных аппаратных событий; packagekit для отслеживания системных обновлений; udisks2 для монтирования внешних дисков; ddcutil для управления подсветкой экрана; gdb для трассировки аварийных завершений.

Наиболее заметные новшества:

• Добавлена поддержка микширования звука с использованием звукового сервера PipeWire (возможность работы с PulseAudio сохранена).
• Добавлена начальная поддержка платформы NetBSD.
• Добавлен модуль NetworkManager для настройки сетевых подключений через Wi-Fi, Ethernet, Bluetooth и VPN. Реализовано автоматическое определение сетевых конфигураторов NetworkManager и ConnMan. Переделаны диалоги для просмотра списка подключений и настройки Wi-Fi.
• Реализованы индикаторы трафика, режимов защиты Wi-Fi и уровня сигнала, а также возможность просмотра деталей сетевого подключения.
• Добавлена поддержка импорта настроек VPN и вывода запросов учётных данных для аутентификации. Улучшена поддержка подключения с использованием captive-порталов.
• Подготовлен модуль для управления буфером обмена, имеющий опции для сохранения истории операций и удаления отдельных элементов из истории. Улучшено отслеживание изменения содержимого буфера обмена и операций выделения текста.
• Добавлена возможность ограничения верхней границы заряда аккумулятора для продления его ресурса.
• Добавлена поддержка профилей энергопотребления CPU, предоставляемых через ACPI.
• Снижена интенсивность операций опроса состояния при выключенном экране.
• В окружениях на базе X11 предоставлена возможность настройки задержек и частоты срабатывания повторных нажатий при удержании клавиши на клавиатуре.
• Добавлен визуальный эффект "Roll Up" для плавного сворачивания окон.
• Удалена поддержка создания отдельных профилей для разных рабочих столов и экранов.
• Повышена производительность интерфейса переключения между окнами.
• Расширены возможности управления Bluetooth-адаптером.

Одновременно проект Enlightenment опубликовал набор библиотек EFL 1.29 (Enlightenment Foundation Library), позволяющих создавать визуально привлекательные графические интерфейсы, отличающиеся компактностью, низким потреблением ресурсов и высокой производительностью. Несмотря на изначальное развитие в качестве базиса для окружения Enlightenment, компоненты EFL часто используются для построения интерфейсов потребительской электроники и мобильных устройств. Например, EFL является составной частью мобильной платформы Tizen, используются в бытовой технике Electrolux, продуктах Samsung, ProFUSION, Free.fr и Calaos.

Состав EFL:

• Eina - библиотека с реализацией типов данных (массив, хэш, список, дерево) и вспомогательных инструментов (работа с логами, оценка производительности, преобразование форматов и т.д.).
• Eet - библиотека для записи произвольного набора блоков данных в файл для последующего быстрого чтения в произвольном порядке.
• Evas - система рендеринга для организации вывода на экран. Evas оперирует содержимым экрана как сценой с объектами, состояние которых можно отслеживать. Над сценой можно проделывать такие операции как масштабирование, вращение и 3D-трансформации. Подобный подход, абстрагированный от размещения экранных элементов, позволяет разрабатывать интерфейс пользователя с точки зрения дизайнера, а не программиста (в коде достаточно определить только логику и не думать о прорисовке и выводе на экран). Evas также абстрагирует метод вывода, что позволяет использовать один и тот же код в сочетании с программным и аппаратно ускоренным рендерингом.
• Ecore - библиотека для организации цикла обработки событий, предлагающая набор модулей для упрощения связанных с обработкой событий задач, таких как работа с Evas, нитями, сетевыми соединениями и т.п.
• Embryo - встраиваемый интерпретатор языка Pawn (ранее известного как Small).
• Edje - графическая библиотека, отделяющая внешний вид от кода (оформление задаётся в виде загружаемого из файла шаблона). Edje занимает нишу между HTML+CSS и SVG. При помощи данной библиотеки можно сформировать пользовательский интерфейс, снабжённый анимированными визуальными эффектами и поддерживающий динамическое оформление (внешний вид можно полностью поменять, просто сменив EDJ-шаблон и не трогая код, при этом, в отличие от визуальных тем, порядок расположения элементов может быть произвольно изменён).
• Efreet - библиотека, позволяющая использовать в приложениях спецификации Freedesktop.org для работы с пиктограммами, Desktop-файлами и меню.
• Eeze - библиотека для организации взаимодействия с внешними устройствами через udev, HAL и другие механизмы.
• Expedite - инструментарий для измерения производительности, который может тестировать различные движки Evas, такие как X11, XRender, OpenGL, SDL и DirectFB.
• Evil - реализация уровня совместимости для работы на платформе Windows.
• Eio - абстрактный интерфейс для доступа к файловой системе и реализации асинхронного ввода/вывода.
• Emotion - библиотека для интеграции в приложения обработчиков для проигрывания звука и видео. Воспроизведение видео может осуществляться с использованием Gstreamer, Xine или других внешних плагинов (например, VLC), при этом видео отображается как стандартный объект в Evas.
• Ethumb - библиотека для формирования эскизов изображений, соответствующих стандартам freedesktop.org. Ethumb реализован в виде сервиса dbus и клиентской библиотеки, взаимодействующей с данным сервисом.
• Elementary - набор виджетов с готовой реализацией разнообразных графических элементов (от кнопок и элементов управления, до календаря и модуля редактирования текста).
• Eldbus - надстройкой над DBus.
• Ephysics - предоставляет средства для использования движка симуляции физических процессов Bullet в приложениях на базе EFL. Ephysics обеспечивает связку Bullet с библиотеками Ecore и Evas.
• Ecore Audio - API для работы со звуком.

В новой версии EFL для сборки задействован инструментарий Meson 0.60, улучшена поддержка BSD-систем и Windows, объявлен устаревшим движок на базе API DirectDraw, повышена эффективность кэширования, расширены возможности для вывода текста и работы со шрифтами, добавлены оптимизации на базе инструкций AVX2, оптимизирована отрисовка векторной графики, добавлен бэкенд для PipeWire, добавлена поддержка использования штатных меню в macOS, реализована возможность сортировки элементов меню приложений с учётом локали, улучшена поддержка Wayland, реализован новый API для вывода звука, добавлен новый рендер на базе OpenGL с поддержкой градиентов и композитинга.

1. OpenNews: Выпуск пользовательского окружения Enlightenment 0.27 и библиотек EFL 1.28
2. OpenNews: Уязвимость в пользовательском окружении Enlightenment, позволяющая получить права root
3. OpenNews: Выпуск пользовательского окружения Moksha 0.2, форка Enlightenment 17

Основные новшества:

• По молчанию задействовано собственное микроядро, развиваемое проектом Genode, что позволило избавиться от проблем, возникавших при планировании задач и управлении памятью ядра. Проведены оптимизации производительности микроядра на ПК. Для снижения нагрузки в режиме простоя переделаны механизмы работы с таймером и обработки таймаутов.
• Завершён переход с файлов конфигурации в формате XML на собственный формат HID (Human-Inclined Data), представляющий данные в форме иерархии узлов, имеющих свои атрибуты. Поддержка старого XML-формата прекращена.
• Перенесённые из ядра Linux драйверы для USB-контроллеров, Wi-Fi, Ethernet-адаптеров и GPU синхронизированы с ядром 6.18 (ранее использовались драйверы из ядра 6.12).
• Встроенный драйвер для хост-контроллеров USB преобразован в подключаемый компонент, который можно удалять и перезапускать без нарушения работы USB-клиентов. Например, в случае сбоя в драйвере его можно перезапустить, при появлении обновления установить новую версию без перезагрузки ОС, а при необходимости снизить энергопотребление выгрузить драйвер.
• Для выполнения виртуальных машин задействована система виртуализации VirtualBox 7.2 вместо ранее применявшейся ветки 6.x.
• В гипервизор Seoul добавлена поддержка функции обмена файлами между хост-системой и гостевой ОС.
• Расширены возможности запуска Goa SDK в основном окружении, что позволяет без применения виртуализации разрабатывать, компилировать и тестировать компоненты Genode. Для работы в основной системе портированы GCC, Binutils, Git, Sequoia, Expect, Curl, man, Make и CMake.
• В интерфейсе пользователя реализована поддержка масштабирования и изменения внешнего вида курсора мыши.
• Проведена переработка C runtime и кода VFS. Добавлена поддержка перенастройки и реструктуризации виртуальных файловых систем на лету.

Система поставляется с графическим интерфейсом Leitzentrale, позволяющим выполнять типовые задачи по администрированию системы. В левом верхнем углу графического интерфейса отображается меню с инструментами для управления пользователями, подключения накопителей и настройки сетевого соединения. В центре присутствует конфигуратор для определения начинки системы в виде графа, показывающего взаимосвязь между системными компонентами. В интерактивном режиме можно удалять или добавлять компоненты, формируя состав системного окружения или виртуальных машин.

При желании пользователь может переключиться в консольный режим управления, предоставляющий большую гибкость в управлении. Традиционный рабочий стол может быть получен через запуск дистрибутива TinyCore Linux в виртуальной машине с Linux. В данном окружении доступны браузеры Firefox и Aurora, текстовый редактор на базе Qt и различные приложения. Для запуска утилит командной строки предлагается окружение "Noux".

Фреймворк Genode предоставляет унифицированную инфраструктуру для создания пользовательских приложений, работающих поверх ядра Linux (32 и 64 бит) или микроядер NOVA (x86 с виртуализацией), seL4 (x86_32, x86_64, ARM), Muen (x86_64), Fiasco.OC (x86_32, x86_64, ARM), L4ka::Pistachio (IA32, PowerPC), OKL4, L4/Fiasco (IA32, AMD64, ARM). В состав входит паравиртуализированное Linux-ядро L4Linux, работающее поверх микроядра Fiasco.OC, позволяющее выполнять в окружении Genode обычные Linux-программы. Ядро L4Linux не работает с оборудованием напрямую, а использует сервисы Genode через набор виртуальных драйверов.

Для Genode портированы различные компоненты Linux и BSD, обеспечена поддержка Gallium3D, выполнена интеграция Qt, GCC и WebKit, реализована возможность создания гибридных Linux/Genode программных окружений. Имеется порт VirtualBox, работающий поверх микроядра NOVA. Многие приложения адаптированы для запуска напрямую поверх микроядра и окружения Noux, обеспечивающего виртуализацию на уровне ОС. Для запуска не портированных программ предлагается система виртуальных окружений, работающая на уровне отдельных приложений и позволяющая запускать программы в виртуальном Linux-окружении с использованием паравиртуализации.

1. OpenNews: Проект Genode опубликовал выпуск ОС общего назначения Sculpt OS 26.04
2. OpenNews: Прототип отечественной ОС Phantom на базе Genode будет готов до конца года
3. OpenNews: Выпуск MirageOS 3.5, платформы для запуска приложений поверх гипервизора
4. OpenNews: Микроядерная ОС Genode переходит на лицензию AGPL

Для дополнительной защиты в Tor Browser включена настройка "HTTPS Only", позволяющая использовать шифрование трафика на всех сайтах, где это возможно. Для снижения угрозы от проведения атак с использованием JavaScript и блокирования по умолчанию плагинов в комплекте поставляется дополнение NoScript. Для борьбы с инспектированием трафика применяются fteproxy и obfs4proxy. Для организации шифрованного канала связи в окружениях, блокирующих любой трафик кроме HTTP, предлагаются альтернативные транспорты.

Для защиты от отслеживания перемещения пользователя и от выделения специфичных для конкретного посетителя особенностей отключены или ограничены API WebGL, WebGL2, WebAudio, Social, SpeechSynthesis, Touch, AudioContext, HTMLMediaElement, Mediastream, Canvas, SharedWorker, WebAudio, Permissions, MediaDevices.enumerateDevices и screen.orientation, а также отключены средства отправки телеметрии, Pocket, Reader View, HTTP Alternative-Services, MozTCPSocket, "link rel=preconnect", модифицирован libmdns.

В новой версии:

• Осуществлён переход на кодовую базу Firefox 153 ESR (ранее использовался Firefox 140). В процессе перехода проведён аудит изменений в Firefox, в ходе которого проанализированы и устранены 274 потенциальные проблемы, которые могли негативно повлиять на конфиденциальность и безопасность. Дополнение NoScript обновлено до версии 13.6.37.1984, а инструментарий Tor до версии 0.4.9.15.
• Переработан интерфейс конфигуратора, в котором расширены возможности поиска настроек, улучшена навигация, обновлены метки и описание настроек. Cекция "General" разделена на несколько новых разделов с настройками внешнего вида, загрузок, вкладок, языков и средств для людей с ограниченными возможностями. Для единообразия с Firefox переделаны специфичные для Tor разделы с настройками подключения и уровня безопасности. Скрыты или снабжены предупреждениями настройки, снижающие конфиденциальность или упрощающие скрытую идентификацию.
• В раздел настроек "Privacy and security" добавлена секция, посвящённая защите от отслеживания сторонними приложениями открываемых в браузере страниц. В секции пока предложена только одна опция для отключения отображения названий открытых страниц в заголовке окна. При её включении в заголовке всегда будет показываться только строка "Tor Browser". Так как получение информации из заголовков других окон не требует отдельных полномочий, любое стороннее приложение может собирать информацию об открываемых страницах через отслеживание изменения заголовка.

  Реализация рассматриваемой опции также передана в кодовую базу Firefox и уже доступна для включения через параметры privacy.exposeContentTitleInWindow и privacy.exposeContentTitleInWindow.pbm на странице about:config.

  
• Переписано и синхронизировано с документацией на сайте руководство пользователя, предложенное на странице about:manual (в меню "Help → Tor Browser manual")
• Добавлены сборки для Linux-систем на архитектуре AArch64, которые, среди прочего, можно использовать на платах Raspberry Pi и компьютерах Mac с чипами Apple Silicon.
• Прекращена поддержка 32-разрядных Linux-сборок для систем x86. По оценке разработчиков ежедневно фиксируется лишь около 200 запросов на проверку наличия обновлений для подобных сборок.
• В версии для Android продолжен переход на использование фреймворка Jetpack Compose. Оформление значительной части интерфейса переделано в соответствии с концепцией Material Design 3. Проведена работа по сокращению APK-пакета, чтобы не превышать лимит Google Play в 100 МБ.

1. OpenNews: Релиз Tor Browser 15.0
2. OpenNews: Уязвимость в API IndexedDB, позволяющая идентифицировать пользователей Firefox и Tor Browser
3. OpenNews: Tor и Mullvad VPN подготовили новый web-браузер Mullvad Browser
4. OpenNews: Выпуск Whonix 18.2, дистрибутива для анонимных коммуникаций
5. OpenNews: Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений

Проект придерживается жёсткой политики в отношении AI и пытается насколько это возможно не использовать ПО, содержащее код, сгенерированный через AI. В базовую систему и в основной репозиторий пакетов запрещено включение компонентов, созданных через AI. Все пакеты, включающие код, документацию, бинарные файлы и прочие ресурсы, созданные через AI, помечены специальной меткой и распространяются через отдельный репозиторий "tainted". В процессе разработки AlpineBSD также запрещено применение AI-инструментов.

Проект развивает Дрю ДеВолт (Drew DeVault), автор пользовательского окружения Sway, языка программирования Hare, почтового клиента Aerc и платформы совместной разработки SourceHut. В AlpineBSD пока отсутствует отдельный инсталлятор и установочные сборки. Для тестирования проекта предлагается загрузиться с установочного носителя NetBSD, после чего скачать сборку пакетного менеджера apk, добавить репозитории, установить apk-пакеты и настроить систему инициализации s6.

1. OpenNews: Релиз операционной системы NetBSD 11.0
2. OpenNews: Релиз минималистичного дистрибутива Alpine Linux 3.24
3. OpenNews: Выпуск сервисного менеджера s6-rc 0.7

Код для загрузки вредоносных компонентов был добавлен в начало файла extension.js и активировался при инициализации дополнения после запуска VS Code (для активации вредоносного кода взаимодействие пользователя с Claude не требовалось). Вредоносная активность сводилась к созданию директории ~/.ssh и добавлению в файл ~/.ssh/authorized_keys открытого ключа ssh-ed25519 c примечанием "svc-telemetry". После этого осуществлялась проверка наличия фонового процесса sshd в Linux и macOS, и активация SSH-сервера в случае его отсутствия. В Windows через PowerShell выполнялась установка OpenSSH.

Далее вредоносный код сохранял закрытый ключ во временный файл с именем ".stk_*" и настраивал обратный туннель с внешним SSH-сервером 134.209.82.225 для удалённого доступа, запуская ssh с опциями "-N -R '*:0:localhost:22'". Соединение обновлялось каждые 60 секунд. Скрипты для обновления туннеля и отправки данных на внешние серверы сохранялись в файлах ~/.config/.smt и ~/.config/.smtk. Периодический запуск в Linux настраивался через cron, в macOS через LaunchAgent (com.apple.sysmond.plist), а в Windows через SysMon и автозапуск.

Помимо этого в системе собирались сведения об имени хоста, зарегистрированных пользователях, операционной системе, домашнем каталоге, email (через git config --global user.email) и переменных окружения c именами, содержащими слова KEY, TOKEN, SECRET, PASS, AWS и GCP. Найденные данные отправлялись в формате JSON по URL http://134.209.82.225:8099/beacon.

Пользователям дополнения Claude Code к VS Code рекомендуется проверить свои системы на предмет установки вредоносной версии 2.1.313. Индикаторами компрометации системы является появление файлов ~/.config/.smt, ~/.config/.smtk, ~/Library/LaunchAgents/com.apple.sysmond.plist, ${TMPDIR}/.stk_*, ~/.config/smt.cmd, ~/.config/smtk, SysMon и sysmon.cmd, а также обращение по портам 22 и 8099 к IP-адресу 134.209.82.225, и отправка HTTP/HTTPS-запросов к хостам ifconfig.me и api.ipify.org.

Как именно злоумышленники добились подстановки вредоносного кода в дополнение пока не ясно, предполагается, что могла быть взломана учётная запись сотрудника Anthropic, занимающегося сопровождением пакета, или была использована проблема с безопасностью в системе публикации релизов.

Дополнение: Вредоносная версия опубликована только в каталоге Cursor Marketplace. В каталогах OpenVSX, Microsoft и NPM вредоносная версия не появлялась. По заявлению представителя Anthropic инфраструктура компании и рабочие станции сотрудников не были скомпрометированы - атакующий воспользовался доступом к Cursor Marketplace для размещения вредоносного выпуска, который был собран вне систем Anthropic. Вредоносный выпуск распространялся с 12:27 по 23:35(MSK) 29 октября. Вредоносную версию успели загрузить около 5000 пользователей, которые уже уведомлены о проблеме компанией Cursor.

1. OpenNews: Утечка кода инструментария Claude Code из-за забытого в NPM-пакете map-файла
2. OpenNews: Уязвимость в обработчике GitHub Actions, позволявшая скомпрометировать пакеты в Nixpkgs
3. OpenNews: Скомпрометирован NPM-пакет axios, имеющий 100 млн загрузок в неделю
4. OpenNews: Компрометация GitHub-токена Grafana Labs привела к утечке закрытого кода
5. OpenNews: Компрометация регистраторов 3 доменных зон позволила получить TLS-сертификаты к сервисам Google

Подготовленный эксплоит может быть применён при использовании любых серверных приложений на языке Go, включая HTTP-сервер Caddy, при наличии возможности отправки сетевых пакетов на создаваемый ими слушающий сокет. Так как уязвимость присутствует непосредственно в TCP-стеке и не специфична для MPTCP, не исключается создание эксплоитов, работающих без привязки к MPTCP, но подобные эксплоиты пока не продемонстрированы. Например, возможна эксплуатация уязвимости при обработке запросов миграции сокетов, доступная в конфигурациях с параметром net.ipv4.tcp_migrate_req=1 или при использовании eBPF-программ с опцией BPF_SK_REUSEPORT_SELECT_OR_MIGRATE.

Уязвимость вызвана состоянием гонки, возникающим при одновременной обработке повторно переданных SYN-запросов при установке TCP-соединения. Так как функция tcp_v4_syn_recv_sock() передаёт дочернему сокету параметры из структуры ireq->ireq_opt через ссылку, а не через копирование, при определённом стечении обстоятельств возникает ситуация, когда память под структуры inet_opt и ireq_opt с параметрами сокета уже освобождена, но связанные с ней опции сокета продолжают использоваться (use-after-free).

Удалённая эксплуатация осуществляется через отправку серии синхронизированных во времени сетевых запросов. Созданный эксплоит успешно применим в том числе к ядрам, в которых используется рандомизация адресов (KASLR), но попадание в окно состояния гонки занимает достаточно много времени и требует большого числа повторных попыток. Эксплуатацию упрощает то, что не попадание в окно состояния гонки приводит лишь к сбросу сеанса установки соединения (handshake), а не краху ядра, что даёт возможность бесконечно продолжать попытки. В созданном прототипе эксплоита на проведение атаки потребовалось около часа - 48 минут на определение раскладки памяти и ещё 5 минут на организацию выполнения кода.

Гарантированно блокирующие уязвимость обходные пути защиты пока не представлены - как единственный надёжный вариант предлагается установить обновление ядра. Проблема проявляется начиная с ядра Linux 4.4 и устранена в выпусках 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56, 7.2.10 и 7.3. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

Из рекомендаций по противодействию конкретным методам эксплуатации, не блокирующих уязвимость в общем виде, можно отметить отключение поддержки MPTCP и выставление sysctl-параметра ядра net.ipv4.tcp_migrate_req в значение 0:

   sysctl -w net.mptcp.enabled=0
   sysctl -w net.ipv4.tcp_migrate_req=0

Для определения наличия в системе процессов, использующих сокеты с MPTCP, можно использовать команды:

   ip mptcp endpoint show
   ip mptcp limits show
   ss -Mlnp

Для отключения поддержки MPTCP в программах на языке Go, следует использовать флаг "multipathtcp=0", для выставления которого можно установить переменную окружения "GODEBUG=multipathtcp=0". Для отключения поддержки MPTCP на этапе сборки можно добавить "godebug multipathtcp=0" в файл с модулем go.mod. В коде приложения использование MPTCP можно отключить через функции net.Dialer.SetMultipathTCP и net.ListenConfig.SetMultipathTCP.

Помимо рассмотренной проблемы компания Anthropic также анонсировала серию локально эксплуатируемых уязвимостей в ядре Linux, OpenBSD и FreeBSD, позволяющих получить права root в системе и выйти из изолированных контейнеров; уязвимости в Chrome и Safari, приводящие к выполнению кода в системе при открытии специально оформленных web-страниц; уязвимость в ядре Windows, приводящая к аварийному завершению работы; уязвимость в платформе Android, позволяющая обойти блокировку экрана и получить доступ к персональной информации и фотографиям без разблокировки устройства (атака продемонстрирована на смартфоне Google Pixel 9).

Дополнение 1:

• В nginx возможность активации опции IPPROTO_MPTCP для слушающего сетевого сокета присутствует начиная с версии 1.29.7, но не применяется по умолчанию.
• В Lighttpd опция для включения MPTCP доступна начиная с выпуска 1.4.76.
• В Apache httpd патчи для поддержки MPTCP были добавлены в ветку Apache httpd 2.5-HEAD в 2024 году.
• В systemd поддержка включения MPTCP при активации по сокету добавлена в версии 257.
• В Apache Traffic Server опция для включения MPTCP поддерживается начиная с версии 9.2.4.
• В HAProxy начиная с версии 3.1.0 доступна опция "mptcp{,4,6}@<address>".
• В Traefik выставление флага IPPROTO_MPTCP включено по умолчанию начиная с выпусков 2.11.26, 3.4.2 и v3.5.0-rc1.
• В СУБД Valkey начиная с версии 9.0.0 доступна опция "--mptcp" и настройки "mptcp yes" и "repl-mptcp yes".

Дополнение 2: На днях доступны исправления для ещё 16 уязвимостей в ядре Linux, которые потенциально могут быть эксплуатированы удалённо и имеют высокий уровень опасности:

• CVE-2026-98490 - обращение к памяти после её освобождения в коде отслеживания состояния соединений в подсистеме openvswitch. Проблеме присвоен уровень опасности 9.8 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-98548 - обращение к памяти после её освобождения в реализации протокола SCTP из-за отбрасывания хвоста пакета при возникновении ошибки из-за передачи устаревшего cookie. Проблеме присвоен уровень опасности 9.8 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-98959 - повреждение памяти в коде btrfs при упаковке нескольких расширенных атрибутов (xattr) в один элемент. Проблеме присвоен уровень опасности 9.8 из 10. Не исключается выполнение кода при обработке специально оформленных образов ФС.
• CVE-2026-99078, CVE-2026-99079 - обращение к уже освобождённой памяти в сетевом драйвере mlx5e из-за использования устаревшего буфера XSK при повторной попытке заполнения элементов WQE и MPWQE (Multi Packet Work Queue Element). Проблеме присвоен уровень опасности 9.8 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-98549 - чтение из обрасти вне границы очереди повторной передачи (rtx queue) в протоколе TCP из-за некорректного объединения структур sk_buff. Проблеме присвоен уровень опасности 9.1 из 10. Возможны удалённая утечка данных или отказ в обслуживании.
• CVE-2026-98374 - обращение к памяти после её освобождения в TCP-стеке из-за некорректного использования потерявшего актуальность указателя retransmit_skb_hint в функции tcp_send_synack(). Проблеме присвоен уровень опасности 8.8 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-98451 - утечка содержимого памяти ядра через манипуляции с открытием символических ссылок с флагом O_CREAT в SMB-клиенте. Проблеме присвоен уровень опасности 8.8 из 10.
• CVE-2026-98870 - обращение к памяти после её сопровождения в ksmbd. Проблеме присвоен уровень опасности 8.8 из 10. Для атаки требуется наличие доступа к SMB-серверу. Не исключается удалённое выполнение кода.
• CVE-2026-99083 - запись за пределы буфера в функции krb5_authenticate() в ksmbd. Проблеме присвоен уровень опасности 8.8 из 10. Для атаки требуется наличие доступа к SMB-серверу. Не исключается удалённое выполнение кода.
• CVE-2026-98405 - переполнение буфера в SMB-клиенте из-за отсутствия должной проверки значений iov в функции parse_posix_sids(). Проблеме присвоен уровень опасности 8.1 из 10. Возможны удалённая утечка содержимого памяти ядра или отказ в обслуживании.
• CVE-2026-98454 - чтения из области вне буфера в SMB-клиенте. Проблеме присвоен уровень опасности 8.1 из 10. Возможны удалённая утечка содержимого памяти ядра или отказ в обслуживании.
• CVE-2026-98532 - обращение к памяти после её освобождения в стеке IPv6 из-за возврата функцией ipv6_find_hdr() некорректного смещения на данные в пакете IPv6. Проблеме присвоен уровень опасности 8.1 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-98968 - обращение к памяти после её освобождения в реализации протокола AMT. Проблеме присвоен уровень опасности 8.1 из 10. Не исключается удалённое выполнение кода.
• CVE-2026-99064 - переполнение буфера в реализации механизма CIPSO (Commercial Internet Protocol Security Option) из-за некорректного обновления прокэшированных смещений IP-опций во время удаления атрибута CIPSO из сетевого пакета. Проблеме присвоен уровень опасности 8.1 из 10. Не исключается удалённое выполнение кода.

1. OpenNews: Удалённо эксплуатируемая уязвимость в драйвере NVMe-oF/TCP из состава ядра Linux
2. OpenNews: 19 удалённо эксплуатируемых уязвимостей в TCP/IP-стеке Treck
3. OpenNews: Уязвимости в TCP-стеках Linux и FreeBSD, приводящие к удалённому отказу в обслуживании
4. OpenNews: Уязвимость в IPv6-стеке ядра Linux, допускающая удалённое выполнение кода
5. OpenNews: PwnEscape - уязвимость в сетевом стеке ядра Linux, позволяющая обойти изоляцию гипервизоров и контейнеров

Возможности Nim включают систему макросов, работающих на AST во время компиляции, поддержку обобщённого программирования с концептами, множественную диспетчеризацию (multiple dispatch), детерминированное управление памятью с поддержкой нескольких стратегий (ARC/ORC, refc, маркировка-и-подметание), встроенную поддержку async/await для асинхронного программирования и FFI для простой интеграции с C/C++/JavaScript. Nim позиционируется как системный язык, подходящий для разработки от встраиваемых систем до веб-серверов, с акцентом на эффективность, безопасность памяти и удобство разработки.

Основные изменения:

• Реализован режим оптимизации коротких строк (SSO, Small-String Optimization), включаемый через опцию "--strings:sso" и приводящий к хранению небольших строк непосредственно в самом объекте, без отдельного выделения памяти в куче. Для эффективного использования этого режима предложен новый низкоуровневый API, в котором вместо синтаксиса "addr myString[offset]" предложены раздельные операции для чтения и записи (readRawData, readRawDataStable, beginStore и endStore). Например, при использовании нового API операции "addr s[i]" и "unsafeAddr s[i]" заменяются на вызов "readRawData(s, i)", а связка "setLen" и "addr s[oldLen]" заменяется на "beginStore(s, newLen, start)" с последующим "endStore(s)".

  
      # До: установка длины и копирование по адресу элемента строки
      result.setLen newLen
      copyMem(addr result[oldLen], buf, buflen)
  
      # После: beginStore устанавливает длину, обеспечивает уникальное
      # владение и возвращает указатель для записи; endStore завершает запись
      copyMem(beginStore(result, newLen, oldLen), buf, buflen)
      endStore(result)
  

• Реализована поддержка параллельной и инкрементальной сборки, активируемой через опцию "--ic:on". Распараллеливание реализовано на основе многопроцессности, а не многопоточности, поэтому макросы, использующие глобальные переменные ".compileTime", могут потребовать доработки для ускорения сборки. Ускорение наблюдается не только при повторных пересборках, но и при первой сборке за счёт распараллеливания. Например, сборка компилятора Nim на машине с 16 физическими ядрами при использовании опции "--ic:on" сократилась с 31 до 25 секунд.
• Добавлен новый алгоритм управления памятью YRC, активируемый опцией "--mm:yrc" и обеспечивающий корректную обработку циклических ссылок, пересекающих границы потоков. YRC предоставляет тот же API, что и ORC, но помимо возможностей последнего обеспечивает потокобезопасность. Для ациклических данных применяется атомарный подсчёт ссылок, а для циклических - барьер записи (write barrier), который активируется только при присваивании указателей. При этом в тесте orcbench YRC примерно в два раза медленнее ORC и потребляет вдвое больше памяти.
• Поддержка типов-сумм (sum types), при объявлении которых применяется сопоставление с образцом.

  
      type
        Node = ref object
          case
          of IntLit: intVal: int
          of FloatLit: floatVal: float
          of StringLit: strVal: string
          of AddOp, SubOp:
            leftOp, rightOp: Node
          of IfStmt:
            condition, thenPart, elsePart: Node
  

  Имя ветви служит конструктором с именованными аргументами:

  
      let n = AddOp(leftOp: IntLit(intVal: 40), rightOp: IntLit(intVal: 2))
  

  Поддерживаются обобщённые типы-сумм (generic), в которых конкретный экземпляр выводится из значений полей или из ожидаемого типа:

  
      type
        Opt[T] = object
          case
          of None: discard
          of Some: val: T
  
      let a = Some(val: "abc")      # Opt[string]
      let b: Opt[int] = None()      # ожидаемый тип выбирает экземпляр
  

  Доступ к полям осуществляется исключительно через сопоставление с образцом, поэтому обращение к полю чужой ветви (FieldDefect) невозможно. Поля привязываются к именам, следующим за именем ветви:

  
      proc eval(n: Node): int =
        case n
        of IntLit(v): v                    # v привязано к intVal
        of AddOp(a, b): eval(a) + eval(b)  # a, b — leftOp, rightOp
        of SubOp(a, b): eval(a) - eval(b)
        else: raiseAssert "not an arithmetic expression"
  

• Добавлен экспериментальный модификатор "owned" для управления памятью на основе явного владения без использования сборщика мусора, активируемый при указании опции "--experimental:ownedRefs". Типы "owned ref T" и замыкания "owned" гарантируют наличие единственного владельца у объекта. Подобные объекты нельзя копировать и можно только перемещать, а при выходе из области видимости они автоматически уничтожаются.
• Добавлена прагма "{.cyclic.}" для обработки циклического импорта модулей, ссылающихся друг на друга, которая позволяет связывать модули напрямую без выноса типов в отдельный файл и избавляет от необходимости подбирать строгий порядок объявлений в коде.

1. OpenNews: В компиляторе Nimony для будущего Nim 3.0 реализованы самокомпиляция и JavaScript-бэкенд
2. OpenNews: Релиз языка программирования Nim 2.2.12
3. OpenNews: В языке Nim представлен YRC - потокобезопасный сборщик циклических ссылок
4. OpenNews: Представлены принципы дизайна компилятора Nimony для будущего Nim 3.0
5. OpenNews: Релиз языка программирования Nim 2.0

В отличие от существующих атомарно обновляемых дистрибутивов, системные компоненты в которых монтируются в режиме только для чтения, в Ubuntu Core Desktop применяется модель "все компоненты в формате snap". При использовании подобной модели содержимое системного окружения, ядро Linux, загрузчик, среды рабочего стола, мультимедийные серверы, запускаемые фоновые процессы и приложения поставляются в формате snap и управляются инструментарием snapd.

В отличие от ранее развивавшегося прототипа дистрибутив намерены сделать более модульным и вместо поставки одного snap-пакета с системным окружением Ubuntu Core, разделить базовую систему на набор отдельно обновляемых snap-пакетов. Все приложения намерены запускать с изоляцией от основной системы, а для пакетов не поддерживающих изоляцию предоставят прослойку для запуска с использованием виртуализации.

Для контроля над доступом приложений к системным и внешним ресурсам развивается механизм запроса полномочий, требующий у пользователя подтверждения доступа, например, при обращении из snap-пакетов к файлам в домашнем каталоге, web-камере или микрофону. Динамический вывод запросов осуществляется на основании анализа обращений к системным вызовам, а разграничение доступа организовано с использованием AppArmor.

Разработка ведётся с оглядкой на три базовых сценария использования:

• Рабочая станция, на которой основная активность связана с использованием web-браузера и работы с web-приложениями. Данный сценарий рассматривается как самый быстро реализуемый, так как уже имеются готовые snap-пакеты с Firefox и Chromium, а также налажена поддержка запроса полномочий при доступе к камере и микрофону.
• Система для разработчиков ПО, позволяющая использовать одновременно несколько сред разработки, устанавливаемых в изолированных окружениях при помощи инструментария workshop, использующего LXD для управления контейнерами. При необходимости запустить приложения из deb-пакетов, пакетов в формате flatpak или классических snap-пакетов, не работающих поверх Ubuntu Core, будут использованы контейнеры или виртуализация.
• Система для любителей компьютерных игр, построенная вокруг snap-пакета Steam. Составные части игрового стека, такие как Proton, Mesa и драйверы, будут также поставляться в формате snap, что даст возможность устанавливать самые последние версии данных компонентов или использовать разные версии с разными играми.

В процессе подготовки следующего релиза Ubuntu планируется провести работу по разделению составных частей среды рабочего стола на разные модули, сформировать snap-интерфейсы для поддержки разных функций и сценариев использования рабочего стола, а также протестировать новую архитектуру Ubuntu Core Desktop на вышеотмеченных трёх сценариях использования. Помимо этого совместно с разработчикам проекта KDE Neon началась работа над вариантом дистрибутива KDE Neon, реализованного поверх Ubuntu Core, что позволит адаптировать Ubuntu Core Desktop для поддержки различных рабочих столов, не ограничиваясь GNOME.

1. OpenNews: Компания Canonical опубликовала монолитный дистрибутив Ubuntu Core 26
2. OpenNews: Canonical готовит вариант Ubuntu Desktop, содержащий только пакеты Snap
3. OpenNews: Планы развития Ubuntu Desktop 26.10
4. OpenNews: В Ubuntu намечена интеграция AI
5. OpenNews: Представлено семейство атомарно обновляемых дистрибутивов Fedora Atomic Desktops

Реализация успешно проходит все проверки из официального набора тестов riscv-tests и способна выполнять скомпилированный код на C и MicroPython. При выполнении арифметических вычислений с большими числами Qwenputer обеспечивает точность 97.5-100%, что сопоставимо или превосходит результаты базовой модели Qwen3.5 с подключённым внешним интерпретатором Python.

Для симуляции оперативной памяти в модели задействованы отдельные слои Gated DeltaNet (линейные RNN), применяемые в штатной AI-модели Qwen для сохранения изменённого состояния при работе с большими контекстными окнами. Путём фиксации состояния гейта и применения унитарного кодирования (one-hot) каждый запрос на запись перезаписывает ровно одну строку матрицы состояния, что позволяет использовать состояние DeltaNet как адресуемую память фиксированного размера, избегая линейного роста KV-кэша (Key-Value) при увеличении длины контекста. В подобной памяти размещаются регистры CPU, данные и выполняемый машинный код.

Инструкции процессора, такие как чтение регистров, арифметические операции и условные переходы, компилируются непосредственно в веса слоёв трансформера. С каждой инструкцией сопоставляются специальные токены (ADDR, VAL, STEP), которые слои AI-модели интерпретируют как логику работы CPU. Для инициализации CPU и загрузки прошивки применяется небольшой внешний драйвер RvChat, но сам машинный код обрабатывается полностью внутри весов модели.

Из ограничений проекта упоминается примерно двухкратное по сравнению с исходной моделью Qwen увеличение размера (18.8 ГБ) при сохранении срезов состояния (checkpoint), возникающее в основном из-за добавочного заполнения дополнительных слоёв. Также отмечается относительно низкая скорость вычислений (порядка 3200 токенов в секунду на GPU L4), из-за чего сложные расчёты могут занимать секунды, а не миллисекунды.

Дополнительно реализован вариант AI-модели с экспериментальной файловой системой, позволяющей хранить внутри весов AI-модели до 512 файлов с 53 тысячами токенов текста. Как и в реализации оперативной памяти хранение организовано в привязке к состояниям DeltaNet, но отличается тем, что ФС обеспечивает постоянное хранение, не теряющее состояние между сеансами.

Наработки Qwenputer также легли в основу исследования новых потенциальных проблем с безопасностью в AI. На примере Qwenputer показано как специально модифицированная AI-модель может скрывать свои рассуждения в RNN-состоянии и обходить механизмы мониторинга рассуждений модели (CoT, Chain-of-Thought). Также продемонстрирована возможность создания механизмов контроля и мониторинга безопасности, встроенных в веса AI-модели, которые сама модель не может отключить или изменить.

1. OpenNews: Проект PyXL развивает процессор для выполнения байт-кода Python
2. OpenNews: Проект по производству открытого процессора, совместимого с Z80
3. OpenNews: Представлен RV64X, открытый GPU на базе технологий RISC-V
4. OpenNews: Открытый GPU Nyuzi задействован для научных исследований
5. OpenNews: Опубликован Vortex 3.0, открытый GPGPU на базе архитектуры RISC-V