Обе уязвимости присутствуют в коде cxl-mailbox-utils.c. Первая уязвимость проявляется начиная с выпуска QEMU 7.1.0 и приводит к чтению памяти из области вне выделенного буфера из-за того, что функция cmd_logs_get_log() ошибочно трактует запрошенное смещение CEL-лога как индекс в массиве, в то время как оно задаётся в байтах. Вторая уязвимость проявляется начиная с QEMU 11.0.0 и приводит к переполнению буфера в функции cmd_features_set_feature() из-за обработки смещения на структуры при записи атрибутов без проверки, что вычисленное значение "offset + bytes_to_copy" укладывается в размер выбранной структуры.

Фактически атака возможна только на последнюю ветку QEMU 11.0.0. Об исправлении пока ничего не сообщается, указано только, что перед раскрытием уязвимости, информация о ней была передана разработчикам QEMU, которые ответили, что поддержка устройства CXL в QEMU реализована не для использования при виртуализации.

Эксплоит проверен с кодовой базой QEMU от 11 мая с последним коммитом 5e61afe. Работа эксплоита завязана на раскладку структур в памяти каждой конкретной сборки QEMU и системной libc, но по мнению исследователей, воспользовавшись для сканирования памяти уязвимостью, приводящей к чтению из области вне буфера, можно создать универсальный эксплоит, работающий с разными версиями QEMU.

1. OpenNews: Опасные уязвимости в QEMU, Node.js, Grafana и Android
2. OpenNews: На соревновании Tianfu Cup продемонстрированы 0-day уязвимости в Chrome и qemu-kvm
3. OpenNews: Уязвимость в vhost-net, позволяющая обойти изоляцию в системах на базе QEMU-KVM
4. OpenNews: Уязвимость, позволяющая выйти из изолированного окружения QEMU
5. OpenNews: QEMU/KVM и Xen подвержены уязвимости в коде эмуляции VGA

Недовольство связано с намерением использовать в составе Fedora AI Developer Desktop сторонние модули ядра и проприетарные компоненты для поддержки технологии NVIDIA CUDA. Поставка сторонних модулей нарушает сложившийся в проекте консенсус в отношении политики поставки сторонних модулей ядра, а поставка CUDA идёт в разрез с идеологией проекта, не приветствующей продвижение проприетарного ПО и привязку решений к одному производителю. Кроме того, в новой редакции предлагалось поставлять LTS-ветки ядра, но не ясно кто их будет поддерживать отдельно от штатных постоянно обновляемых пакетов с ядром, сопровождаемых в Fedora.

По мнению изменившего свой голос члена управляющего совета, изменение стратегии в отношении поставки модулей для ядра в Fedora требует дополнительного согласования и получения экспертных мнений от инженеров и юристов. Предполагается, что проблема может быть урегулирована через переход к поставке штатного драйвера Nova вместо сторонних отрытых модулей от компании NVIDIA, доведение которого до готовности ожидается ближе к концу года.

Изначально предполагалось, что участники из сообщества обратятся к представителям управляющего совета в случае опасений по тем или иным предстоящим решениям, но на деле совет не был уведомлен о возможных проблемах и голосовал на основе информации, предоставленной автором инициативы. Для того чтобы недопустить в будущем решений совета, идущих в разрез с мнением сообщества, Джеф Спалета (Jef Spaleta), лидер проекта Fedora, предложил до начала голосования публиковать позиции совета, по которым в достигнут консенсус, чтобы сообщество могло успеть отреагировать и попытаться переубедить участников. Также упоминается вариант введения предварительного голосования на этапе обсуждения вопросов, вынесенных на рассмотрение совета, с публикацией результатов вне протоколов заседаний для ознакомления сообщества с мнением совета до проведения окончательного голосования.

Проект Fedora AI Developer Desktop нацелен на создание дополнительных атомарно обновляемых дектоп-редакций Fedora Linux для разработчиков, использующих и разрабатывающих AI-технологии. В качестве основы планировалось использовать наработки дистрибутивов Silverblue (GNOME) и Kinoite (KDE), дополненные модулями ядра, инструментариями, платформами и библиотеками для развёртывания AI-моделей на локальной системе, а также разработки приложений, использующих AI. Для тестирования доступен прототип сборки Fedora AI Developer Desktop на базе Fedora Silverblue.

Конечной целью называется желание предоставить решение для использования AI из коробки, не требующее ручной настройки и установки дополнительного ПО. Для корректной работы многих AI-фреймворков обычно требуется ручная настройка и согласование версий ядра, драйверов NVIDIA, инструментария CUDA и runtime для запуска контейнеров. Fedora AI Developer Desktop предоставит уже протестированное рабочее окружение, позволяющее сразу запускать готовые контейнеры с преднастроенными AI-платформами и использовать средства ускорения выполнения AI-моделей при помощи GPU.

Все AI-инструменты и платформы по умолчанию будут поставляться без отправки телеметрии и с отключённым обращением к облачным сервисам. Для задействования ускорения на GPU NVIDIA в состав включены открытые компанией NVIDIA модули ядра, используемые в проприетарных драйверах NVIDIA (в будущем модули ядра NVIDIA планируют заменить на драйвер Nova). Поверх открытых модулей предусмотрена возможность установки CUDA Runtime или CUDA Toolkit. Помимо GPU NVIDIA в планах упомянута возможность работы на системах с GPU ARM, AMD и Intel. Из входящих в базовую поставку компонентов, отмечены преднастроенные AI-агент Goose и графический интерфейс для создания, запуска и управления контейнерами Podman Desktop.

1. OpenNews: Планы по введению статуса проверенного участника Fedora
2. OpenNews: В Fedora утверждены правила использования AI-инструментов при разработке
3. OpenNews: Red Hat опубликовал первый выпуск дистрибутива Red Hat Enterprise Linux AI
4. OpenNews: NVIDIA опубликовала CUDA-oxide, компилятор из Rust в CUDA
5. OpenNews: В Ubuntu намечена интеграция AI

Сведения об уязвимости не были запланированы для раскрытия, но один из исследователей безопасности на основе предложенного для ядра патча смог определить суть уязвимости, позволяющей прочитать файлы, доступные только пользователю root, например, /etc/shadow. В добавленном в ядро изменении корректировалась логика использования функции get_dumpable() в ptrace при определении уровня доступа в функции ptrace_may_access().

Непосредственно уязвимость вызвана состоянием гонки, приводящим к возможности непривилегированного доступа к файловому дескриптору pidfd после обращения к файлу из suid root процесса. В момент времени между открытием файла и сбросом привилегий в suid-программе (например, через функцию setreuid), возникает ситуация, когда приложение, запустившее suid root программу, через дескриптор pidfd может обратиться к открытому в suid-программе файлу, даже если это не позволяют права доступа на файл.

Окно для эксплуатации возникает из-за того, что функция "__ptrace_may_access()" пропускает проверку возможности доступа к файлу, если поле task->mm оказывается выставлено в значение NULL после выполнения exit_mm(), но до вызова exit_files(). В данный момент системный вызов pidfd_getfd считает, что идентификатор пользователя (uid) вызывающего процесса, соответствует идентификатору, которому разрешён доступ к файлу. Примечательно, что ранее на проблему обращали внимание ещё в 2020 году, но она осталась неисправленной.

В эксплоите, получающем содержимое /etc/shadow, атака сводится к цикличному запуску через fork+execl приложения /usr/bin/chage с флагом suid root, читающего содержимое /etc/shadow. После того как процесс ответвился выполняется системный вызов pidfd_open и осуществляется цикличный перебор доступных pidfd-дескрипторов через системный вызов pidfd_getfd и их проверка через /proc/self/fd. В эксплоите sshkeysign_pwn похожие манипуляции осуществляются с suid root программой ssh-keysign.

CVE-идентификатор проблеме пока не присвоен, обновление ядра и пакетов в дистрибутивах не опубликованы. В выпущенных несколько часов назад ядрах 7.0.7, 6.18.30 и 6.12.88 уязвимость не устранена. На момент написания новости можно использовать только патч. Обсуждаются возможные обходные пути блокирования уязвимости, такие как выставление sysctl kernel.yama.ptrace_scope=3 или удаление флага suid root с исполняемых файлов в системе (как минимум с утилит ssh-keysign и chage, используемых в эксплоитах).

Дополнение: Уязвимости присвоен идентификатор CVE-2026-46333. Сформированы обновления ядра Linux 7.0.8, 6.18.31, 6.12.89, 6.6.139, 6.1.173, 5.15.207 и 5.10.256 с устранением уязвимости. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora.

1. OpenNews: Предложен killswitch для экстренного отключения уязвимой функциональности в ядре Linux
2. OpenNews: В ядре Linux выявлен новый вариант уязвимости Dirty COW
3. OpenNews: Уязвимости Dirty Frag, изменяющие страничный кэш для получения root в любых дистрибутивах Linux
4. OpenNews: Copy Fail - уязвимость в ядре Linux, позволяющая получить root в большинстве дистрибутивов
5. OpenNews: Fragnesia - уязвимость в ядре Linux, позволяющая получить root через изменение страничного кэша

SoDeV представляет собой комбинированный продукт, сочетающий дистрибутив AGL UCB, LXC (Linux Containers), VirtIO, гипервизор Xen, Zephyr RTOS и другие проекты Linux Foundation. Первый релиз SoDeV может запускаться на платах Renesas Sparrow Hawk, в облачных окружениях или в виртуальных машинах. Проект позволяет автопроизводителям ускорить вывод продукта на рынок, благодаря отделению разработки программного обеспечения от аппаратных систем с абстрагированием оборудования через виртуализацию. В течение 2026 года планируют реализовать более широкую поддержку SoC, применяемых автопроизводителями. Проект развивается при участии компаний Panasonic Automotive Systems, Honda, Toyota, Mazda, AISIN и Renesas.

Дистрибутив AGL UCB основан на наработках проектов Tizen, GENIVI и Yocto. Графическое окружение базируется на Qt, Wayland и наработках проекта Weston IVI Shell. Демонстрационные сборки платформы сформированы для QEMU, плат Renesas H3, Intel Up², Raspberry Pi 4 и Raspberry Pi 5. В разработке дистрибутива участвуют такие компании, как Toyota, Ford, Nissan, Honda, Jaguar Land Rover, Mazda, Mitsubishi и Subaru.

AGL UCB может использоваться автопроизводителями как каркас для создания конечных решений, после проведения необходимой адаптации для оборудования и кастомизации интерфейса. Платформа позволяет уделить основное внимание разработке приложений и собственных методов организации работы пользователя, не задумываясь о низкоуровневой инфраструктуре и минимизируя затраты на сопровождение. Проект является полностью открытым - все компоненты доступны под свободными лицензиями.

Предоставляется набор рабочих прототипов типовых приложений, написанных с использованием технологий HTML5 и Qt. Например, имеется реализация домашнего экрана, web-браузера, приборной панели, навигационной системы (используется Google Maps), климат-контроля, мультимедийного проигрывателя с поддержкой DLNA, интерфейса для настройки звуковой подсистемы, программы для чтения новостей. Предлагаются компоненты для голосового управления, поиска информации, взаимодействия со смартфоном по Bluetooth и подключения к CAN-сети для доступа к датчикам и передачи данных между узлами автомобиля.

Среди изменений в новой версии AGL UCB:

• Осуществлена синхронизация с компонентами платформы Yocto 5.0.16;
• Обновлены инструментарии Flutter Embedder и Workspace Automation, в которые повышена производительность, решены проблемы с отрисовкой, добавлены новые возможности интерфейса пользователя. Обновлены версии Flutter SDK 3.38.3 и языка Dart 3.10.1.
• Задействована библиотека Qt 6.8.
• До версии 6.0 обновлена спецификация VSS (Vehicle Signal Specification).
• Фреймворк распределённого отображения (Distributed Display Framework) переведён на использование протокола gRPC.
• Обновлены слои BSP (Board Support Package): meta-arm, meta-freescale, meta-freescale-3rdparty, meta-raspberrypi, meta-renesas, meta-riscv, meta-rockchip, meta-tegra, meta-ti.
• Обновлены слои meta-aws, meta-clang, meta-flutter, meta-openembedded, meta-selinux, meta-virtualization, meta-python-ai, meta-qt6.

1. OpenNews: Выпуск свободной операционной системы реального времени Zephyr 1.8
2. OpenNews: Toyota Camry станет первым автомобилем, оснащённым платформой Automotive Grade Linux
3. OpenNews: Toyota развивает собственный открытый игровой движок Fluorite
4. OpenNews: Компания LG опубликовала платформу webOS Open Source Edition 2.28
5. OpenNews: Компания Igalia представила Moonforge, дистрибутив для встраиваемых систем

Основные изменения в KDE Plasma 6.7:

• В состав включён пользовательский интерфейс Plasma Bigscreen, предназначенный для использования на мультимедийных устройствах, подключаемых к телевизорам и проекторам. Окружение оптимизировано для работы с большими экранами и управления без клавиатуры c использованием пультов дистанционного управления или голосового помощника.
• В состав включён унифицированный движок стилей Union, позволяющий использовать разные технологии стилевого оформления приложений, доступные в KDE. По умолчанию для стилей задействован формат CSS вместо ранее используемого SVG. Подготовлена новая реализация темы Breeze, оформленная в формате CSS. Движок Union состоит из трёх слоёв:
  • Входной слой реализуется через подключаемые плагины, обеспечивающие разбор входных форматов файлов со стилями и их преобразование в абстрактное описание для отрисовки. Например, в качестве входного формата могут использоваться темы оформления в формате SVG или CSS.
  • Промежуточный слой оформлен в виде библиотеки, описывающей модель данных и методы для применения стилей к каждому элементу.
  • Выходной слой содержит плагины для преобразования сформированного промежуточным слоем универсального стиля в команды для отрисовки, специфичные для конкретного графического стека. Например, на выходе могут формироваться стили для QtQuick или Qt Widgets.
  
• Реализована полноценная поддержка сохранения и восстановления сеансов при использовании Wayland, позволяющая восстановить состояние, привязку к виртуальным рабочим столам и позицию окон прерванного сеанса после перезагрузки или аварийного завершения работы. Реализация основана на добавленной в KWin поддержке протокола xdg-session-management, предложенного в выпуске Wayland-Protocols 1.48.
• Добавлена возможность независимого переключения между виртуальными рабочими столами на каждом экране (ранее виртуальные рабочие столы переключались синхронно на всех мониторах, а теперь в привязке к каждому монитору).
  
  
• Добавлен режим ввода с клавиатуры диакритических знаков и спецсимволов, отсутствующих на физической клавиатуре. При удержании нажатия клавиши, связанной со спецсимволом, теперь показывается всплывающая подсказка, позволяющая во время ввода быстро выбрать нужный спецсимвол. Выбор осуществляется клавишами управления курсором, нажатием упомянутых в подсказке цифр или кликом мыши. Режим реализован в модуле plasma-keyboard и требует включения виртуальной клавиатуры (System Settings > Keyboard > Virtual Keyboard).
  
  
• Предоставлена возможность установки собственных звуковых тем из загруженных архивов, без необходимости их предварительной ручной распаковки в каталог .../share/sounds.
• Добавлена функция для проверки настроек микрофона, позволяющая записать себя, а потом воспроизвести запись для оценки выставленной чувствительности микрофона.
  
  
• Старый диалог для управления очередью вывода на печать заменён на вызов отдельного приложения plasma-print-queue, позволяющего наглядно управлять несколькими очередями для разных локальных или внешних принтеров.
• В композитный менеджер KWin добавлена возможность использования замещающих друг друга виртуальных фреймбуферов при работе с несколькими GPU (multi-GPU swapchain), а также реализована поддержка графического API Vulkan в DRM-бэкенде (Direct Rendering Manager), что после внесения оптимизаций в будущем позволит добиться увеличения производительности в конфигурациях с несколькими GPU. На текущем этапе производительность связок из встроенных GPU AMD и Intel с дискретными видеокартами AMD и NVIDIA при использовании Vulkan примерно соответствует OpenGL.
• Добавлена поддержка xdg-портала Notification для настройки и вывода уведомлений из изолированных приложений, например, поставляемых в формате Flatpak.
• Добавлена поддержка портала (xdg-desktop-portal) "Background apps" (org.freedesktop.background.Monitor), позволяющего графическим приложениям переходить в фоновый режим со скрытием окон, оставляя лишь индикатор о своём состоянии в системном лотке.
• Добавлена поддержка второй версии портала org.freedesktop.impl.portal.InputCapture, применяемого для организации доступа к захвату ввода из изолированных приложений.
• В KWin добавлена поддержка Wayland-протокола ext-background-effect-v1, дающего возможность создавать такие эффекты, как размытие фона.
• В композитном менеджере KWin реализована поддержка экспериментального Wayland-протокола xx-fractional-scale-v2, благодаря которому удалось избавиться от излишних зазоров между соседними элементами на экранах с высокой плотностью пикселей, например, между развёрнутым на весь экран окном и панелью. Протокол xx-fractional-scale предоставляет возможность масштабирования системы логических координат, значения в которой задаются целыми числами, для повышения точности позиционирования и увеличения разрешения логических координат до отдельных пикселей. Подобная возможность решает проблему с ограниченным разрешением системы логических координат, недостаточным для позиционирования на уровне отдельных пикселей, необходимого для полноценной реализации дробного масштабирования в KDE.

  При помощи протокола xx-fractional-scale композитный сервер и клиент могут согласованно использовать разные системы координат (логические и пиксельные) при работе с объектом wl_surface. Логические координаты применяются для описания размера содержимого и позиций окон с точки зрения пользователя, а пиксельные координаты отражают фактические размеры в буферах при отрисовке на экран. Протокол xx-fractional-scale вводит коэффициент масштабирования (scale), связывающий логические и пиксельные координаты, и позволяющий обрабатывать ситуации, когда на единицу логических координат приходится несколько пикселей.
  
  

• В KWin внесены оптимизации, повышающие производительность и эффективность энергопотребления в программах, осуществляющих отрисовку при помощи CPU. Оптимизация заметна в большинстве программ KDE и в приложениях, использующих QtWidgets (в QtWidgets для отрисовки применяется CPU, а в QtQuick задействовано ускорение через GPU). Например, при работе в KDevelop теперь всегда плавно двигается указатель, а нагрузка на CPU при прокрутке снизилась с 80-90% до 20%.
• В KWin продолжена работа по реализации поддержки графического API Vulkan в DRM-бэкенде (Direct Rendering Manager). Ожидается, что использование Vulkan позволит добиться увеличения производительности в конфигурациях с несколькими GPU. Реализована возможность использования Vulkan для загрузки текстур из GPU в CPU.
• На системах с драйверами i915 и Intel XE для GPU Intel в KWin включена поддержка аппаратных overlay-плоскостей (overlay plane), позволяющих отображать содержимое напрямую без прохождения через композитинг. Изменение повысило производительность и сократило энергопотребление приложений и игр, поддерживающих добавленную функциональность.
  
  
  
• В меню, использующих тему оформления Breeze, реализовано изменение фона элементов при клике.
  
  
• Упрощён интерфейс показа QR-кода в виджете работы с буфером обмена (кнопка копирования перенесена в заголовок).
• Повышена точность позиционирования виджетов на рабочем столе. При перемещении виджета в область, в которую он не помещается, теперь выводится эскиз, показывающий ближайшее свободное место, в котором фактически окажется виджет.
  
  
• Обеспечено изменение стиля всплывающих подсказок в соответствии с активной темой оформления.
• Улучшена реализация эффекта Mouse Marks (превращение курсора в маркер, оставляющий линии на экране) на сенсорных экранах. Добавлена поддержка рисования одновременно нескольких линий на экранах с поддержкой мультитач.
• В синхронизированные с Plasma Login Manager настройки добавлены параметры раскладки клавиатуры.
• В виджетах Task Manager и System Tray удалена опция для использования более крупных пиктограмм и увеличенных отступов на сенсорных экранах и планшетах. Указано, что данная опция не работала корректно и приводила к проблемам при отображении.
• Реализован глобальный режим push-to-talk, при котором микрофон включается только во время нажатия и удержания определённой комбинации клавиш.
• В виджеты управления яркостью и цветопередачей добавлены кнопки для быстрого переключения между светлым и тёмным режимами оформления.
  
  
• В конфигураторе реализован показ страниц настройки игровых контроллеров, мыши и тачпада только при наличии данных устройств.
• Улучшено редактирование элементов на рабочем столе на системах с сенсорным экраном.
• При поиске по слову "память" (memory) теперь в числе рекомендаций предлагается запустить приложение System Monitor.
• В виджетах и приложении System Monitor реализована поддержка отслеживания сетевой активности на платформе FreeBSD.
• В диалог завершения зависших процессов добавлен индикатор прогресса выполнения операции.
  
  
• В виджете определения цвета пикселя (Color Picker) обеспечен вывод подсказки об отсутствии выбранного цвета (ранее показывалось, что выбран цвет #000000).
• В обзорном режиме реализована возможность использования прокрутки или клавиш Page Up/Page Down для переключения между виртуальными рабочими столами.
• На системах с Wayland обеспечена синхронизация изображения указателя стилуса с указателем мыши и тачпада.
• В KWin реализована возможность определения постоянных правил, исключающих содержимое определённых окон при записи скринкастов.
• В программу для создания скриншотов Spectacle добавлена опция "--release-capture", эквивалентная опции "Accept on click-and-release" в настройках (создание скриншота сразу после отпускания кнопки мыши после выделения прямоугольной области, без отдельного подтверждения операции).
• В приложении System Monitor и виджете для отслеживания состояния системы учтён выбор единиц измерения информации, например, GB (миллиард байт) или GiB (2^30).
• Реализовано округление уровня масштабирования экрана, близкого к 100%, 200% и 300%, до данных величин для повышения производительности.
• На рабочем столе обеспечено появление панели управления виджетами (Widget Explorer) рядом с указателем мыши, а не рядом с левым краем экрана.
• В конфигураторе страница с настройками удалённого рабочего стола (Remote Desktop) перенесена в группу "Безопасность и приватность".
• В виджете "Disks & Devices" улучшена обработка устройств, примонтированных в loop-режиме.
  
  
• В меню приложений Kicker по аналогии с Kickoff появилась возможность использования не квадратных кнопок в панели.
• В конфигураторе реализована поддержка предпросмотра видео для тем оформления экрана входа SDDM.
• Улучшено оформление диалогов, создаваемых KWin.
• Добавлена настройка для изменения задержки перед появлением интерфейса переключения между окнами после начала удержания Alt+Tab.
• В настройки виджета просмотра списка окон добавлены опции для изменения порядка сортировки и группировки по виртуальным рабочим столам и комнатам (activitie).
• В конфигураторе на странице настройки курсора при предпросмотре обеспечено приведение изображений курсоров к выбранному размеру.
• В Kwin реализовано запоминание для каждого экрана отступов между окнами в мозаичном режиме.
• При повторном открытии интерфейса выбора обоев рабочего стола обеспечен переход к тому месту, на котором пользователь остановился в прошлый раз.
• В интерфейсе выбора Emoji варианты значков с разным цветом кожи сгруппированы в отдельный всплывающий диалог.
• Предоставлена возможность выставления глобальной комбинации клавиш для очистки истории уведомлений.
  
  
• В конфигураторе задействована более традиционная кнопка "< Back" для возвращения из подкатегорий (ранее было "< Название категории").
• Добавлен отдельный интерфейс для конфигурирования сетевых принтеров, совместно используемых в Windows-сетях.
• В конфигураторе на странице с настройками уведомлений реализована поддержка воспроизведения выбираемых звуков уведомлений, независимо от включения звука уведомлений.
• В конфигураторе на страницу настройки сети добавлены опции для VPN L2TP.
• Возвращена возможность выбора темы оформления Air Plasma, более легковесной, чем тема Oxygen.
• Реализован скруглённый стиль выделения элементов в приложениях на базе QtWidgets, таких как Dolphin, Okular и KMail. Изменение позволило унифицировать внешний вид и повсеместно перейти к стилю выделения, ранее задействованному в приложениях на базе QtQuick.
• В меню приложений Kickoff обеспечено мерцание секции меню "избранное" сразу после добавления приложения в "избранное" через контекстное меню, чтобы наглядно показать где теперь можно быстро найти приложение.
  
  
• В уведомлениях, генерируемых рабочим столом Plasma, изменена пиктограмма и сокращён заголовок.
• В виджет с часами добавлена поддержка вьетнамского лунного календаря.
• Обновлён интерфейс для настройки OpenVPN, в который добавлена поддержка параметров для управления сжатием, MTU, NCP, TLS, таймаутами и шифрами.
• В конфигураторе на странице настройки сетевого соединения объединены вкладки "Wi-Fi" и "Wi-Fi Security".
• В конфигураторе на странице управления правами доступа приложений появилась кнопка для отзыва разом всех полномочий на запись приложениями скринкастов.
• Подготовлен обработчик KIO S3, позволяющий напрямую из Dolphin и приложений KDE работать с файлами, хранимыми в S3-совместимых облачных хранилищах, таких как Amazon S3, Cloudflare R2, DigitalOcean Spaces и MinIO.
• В виджетах для управления буфером обмена и сетевым подключением реализовна унифицированная кнопка возврата на прошлую страницу (на вложенных страницах теперь не показываются две кнопки "Назад").
  
  
• В KRunner по умолчанию включён плагин вывода информации о глобальных комбинациях клавиш.
• В виджете с реализацией глобального меню обеспечен показ меню для активного окна, даже если это окно размещено на другом экране. Для возвращения старого поведения, при котором меню пропадает после перемещения окна на другой экран, в настройки добавлена специальная опция.
• При мозаичной компоновке двух смежных окон они теперь равномерно центрируются во всём доступном экранном пространстве с учётом панелей (раньше ближайшее к панели окно сжималось больше, чем другое окно).
• В изолированных приложениях повышена надёжность инициирования записи скринкастов и запросов к удалённым рабочим столам.
• Налажено задействование 3D-ускорения в конфигурациях с несколькими GPU, один из которых не поддерживает OpenGL.
• Решены проблемы работы с буфером обмена в некоторых приложениях на базе фреймворка wxWidgets, таких как KiCad и Audacity. Исправление включено в состав находящейся в разработке ветки wxWidgets 3.3.3.
• В утилиту kscreen-doctor добавлена поддержка изменения свойства экранов "AutoRotatePolicy", определения активного экрана и одновременного включения/выключения поддержки HDR и расширенного диапазона цветов (Wide Gamut).
• В диалоге выбора экрана для его трансляции на другие системы или предоставления совместного доступа улучшена визуализация эскизов и обеспечен показ обоев рабочего стола в качестве фона.
• Предоставлена возможность добавления дополнительных виджетов с часами для разных часовых поясов, которые среди прочего будут показывать отличия времени от текущего часового пояса.
• В виджете с глобальным меню скруглены углы подсвечиваемых элементов меню.
• Предоставлена возможность определения отдельной клавиши-модификатора для перевода фокуса на панель.
• Диалог для выбора каталогов унифицирован с диалогом, применяемым при сохранении и открытии файлов (вместо отдельного диалога для каталогов в штатный диалог открытия файлов добавлен режим показа только каталогов).
• В инструмент для шифрования каталогов Plasma Vault добавлена индикация монтирования в режиме только для чтения.
• В апплете настройки сети предоставлена возможность ограничения диапазона частот Wi-Fi (2.4 GHz или 5 GHz).
• При отключении активации KRunner при попытке набора с клавиатуры на рабочем столе, реализован вызов обработчика для выделения файлов по первым набранным буквам.
• В виджет System Tray добавлена опция для сортировки элементов в обратном порядке.
• На системах с несколькими GPU обеспечена корректная запись содержимого экрана в Spectacle и приложениях на базе KPipeWire (раньше могло использоваться не то устройство отрисовки).
• В утилиту System Monitor и виджет показа информации о системе добавлено определение конфигураций с несколькими GPU, а так же предоставление статистики о полнодисковом шифровании и RAID.
• В KWin добавлена поддержка 3D LUTs (3D Lookup Tables) для переназначения цветов, что снизило потребление ресурсов на GPU, предоставляющих функции для ускорения преобразования цветов.
• Прекращено создание контекстов OpenGL для приложений, не использующих OpenGL, что позволило снизить потребление памяти на 10-15 MB для каждого подобного приложения и сократить время запуска.
• В KWin внесены оптимизации, повышающие производительность интерфейса переключения между окнами по Alt+Tab при включении эффекта "Highlight Window" и большом числе свёрнутых окон.
• В конфигураторе на странице "Default Applications" появилась возможность выбора вызываемого по умолчанию приложения с реализацией календаря-планировщика.
• В апплет, вызываемый при клике средней кнопки мыши на часах, добавлена опция для открытия календаря-планировщика.
• Добавлена поддержка помещения в избранное операций в приложениях, показанных в результатах поиска.
• В контекстное меню, показываемое при клике правой кнопкой мыши на обоях рабочего стола, добавлен пункт для просмотра информации об изображении.
• В System Monitor обеспечено разделение GPU по названиям. Через контекстное меню, показываемое для приложения System Monitor, теперь можно напрямую вызвать конкретные режимы мониторинга, например, просмотр списка запущенных процессов.
• Виджет для вставки в панель разделителя теперь доступен через кнопку добавления новых элементов на странице настройки панели, а не через боковую панель со списком виджетов.
• Для многомониторных конфигураций добавлена опция, позволяющая отображать интерфейс переключения между окнами по Alt+Tab только на основном экране, независимо от того на каком экране находится фокус ввода.
• В меню приложений Kicker обеспечена маркировка специальным значком недавно установленных программ, по аналогии с тем как это делается в интерфейсе Kickoff.
• Разрешено перемещение мышью приложений в секцию "избранное" виджетов Kickoff, Kicker и Dashboard.
• В KRunner расширены возможности вычисления произвольных математических выражений, например, теперь можно вводить не только "sqrt(2) + 2", но и "2 + sqrt(2)".
• Уменьшен размер анимированных GIF-изображений, создаваемых в приложениях, использующих библиотеку KPipeWire.
• В KWin добавлена эвристика, определяющая целесообразность применения прямого вывода (direct scan-out) для повышения производительности и снижения энергопотребления при раскрытии окон на весь экран.
• Реализована возможность выставления для дисплея цветового профиля ICC при включённом режиме HDR.
• Для многих ноутбуков с процессорами AMD реализована возможность отключения драйвера адаптивной модуляции подсветки экрана или ручной регулировки параметров при его использовании. Указанный драйвер изменяет цвета на экране для улучшения видимости информации при низком уровне яркости.
• При выводе информации о системе (Info Center) показания датчиков температуры теперь выводятся в единицах измерения, заданных в системных настройках.
• В меню Kickoff добавлена поддержка удаления приложений из секции "Избранное", путём перемещения мышью ярлыка за пределы виджета.
  
  
• В виджет управления выводом на печать добавлена индикация числа активных и находящихся в очереди заданий вывода на печать по отдельности для каждого из принтеров.
• В KWin добавлены оптимизации, снижающие энергопотребление при работе с полноэкранными окнами и эффектами, на которые не влияет применение прямого вывода (direct scan-out).
• В меню приложений Kicker добавлена опция для отображения списка недавно открытых каталогов. В виджетах Kicker и Dashboard предоставлена возможность удаления элементов из секции "Избранное" через их перемещение мышью за пределы виджета.
• В виджет управления сетью добавлена поддержка создания дубликатов профилей сетевых соединений.
• В правила переопределения атрибутов окон приложений (KWin Window Rules) добавлена возможность привязки диалоговых окон к указанному родительскому окну.
• Добавлена возможность переименования или перемещения типового каталога "Projects", который с недавних пор стал создаваться дистрибутивами в домашнем каталоге пользователя в дополнение к каталогам "Documents", "Downloads", "Desktop", "Videos", "Music" и "Pictures".
• Добавлена функция увеличения содержимого экрана без заметной потери качества, основанная на эффекте Zoom в KWin.
• В размещаемый на панели виджет вывода на печать добавлены метки о числе активных и находящихся в очереди работ.
• При запросе X11-приложением, выполняемым через XWayland, прав на отправку программно сгенерированных событий мыши и клавиатуры, теперь отображается имя приложения. В конфигураторе обеспечен вывод списка приложений, которым ранее было предоставлено подобное полномочие.
• Обеспечено применение стиля оформления KDE к диалогам, выводимым Qt-приложениями, использующими QML-тип MessageDialog (например, используется приложением Sticky Note в диалоге подтверждения).
• Упрощено нажатие на кнопки в верхней части Widget Explorer (нажатие теперь срабатывает если кликнуть уперев курсор в границу экрана над кнопкой, без точного попадания по кнопке).
• Реализован учёт дополнительных параметров при автоматическом изменении яркости экрана для более качественной работы в условиях часто меняющегося освещения.
• Убрано ограничение, отводившее 25 секунд на выбор цвета после вызова виджета с пипеткой (Color Picker).
  1. OpenNews: Опубликован KDE Gear 26.04, набор приложений от проекта KDE
  2. OpenNews: Релиз среды рабочего стола KDE Plasma 6.6
  3. OpenNews: Плагин к KWin для использования KDE в виртуальной реальности
  4. OpenNews: Проект MiDesktop развивает форк KDE 1 для современных систем
  5. OpenNews: Возобновлена разработка окружения KDE Plasma Bigscreen для телевизоров

На данный момент на Rust реализован прямой порт с языка Zig, который включает множество блоков unsafe кода, использует ту же архитектуру, те же структуры данных и прежние внешние библиотеки. Отмечается, что порт на Rust успешно прошёл проверку существующим тестовым набором на всех платформах. Попутно было устранено несколько утечек памяти и сбоев в тестах.

После сборки версии на Rust исполняемый файл получился на 3-8 МБ меньше, чем при сборке версии на Zig. В тестах производительности версия на Rust оказалась либо быстрее, либо на том же уровне. При этом по мнению Джарред самым важным преимуществом варианта на Rust стала возможность отлавливания и предотвращения ошибок при работе с памятью, диагностика которых последние годы отнимала у разработчиков Bun уйму времени.

В качестве причины переписывания на Rust ранее отмечалось желание устранить проблемы в Bun, вызванные утечками памяти, наличие разногласий с авторами Zig в плане применения AI для написания кода и неприемлемая для крупных проектов политика Zig в отношении принятия в язык изменений, нарушающих совместимость.

JavaScript-платформа Bun развивается как высокопроизводительный аналог платформ Node.js и Deno. Проект разрабатывается с оглядкой на обеспечение совместимости с серверными приложениями для Node.js и поддерживает большую часть API Node.js. В состав платформы входит набор инструментов для создания и выполнения приложений на языках JavaScript и TypeScript, а также runtime для выполнения JavaScript-приложений без браузера, пакетный менеджер (совместимый с NPM), инструментарий для выполнения тестов, система сборки самодостаточных пакетов и прослойка для встраивания обработчиков, написанных на языке Си. По производительности Bun заметно обгоняет Deno и Node.js (в тестах на базе фреймворка React платформа Bun в 2 раза опережает Deno и почти в 5 раз Node.js). Для выполнения JavaScript задействован JavaScript-движок JavaScriptCore и компоненты проекта WebKit с дополнительными патчами.

1. OpenNews: Автор платформы Bun проводит эксперимент по переписыванию с Zig на Rust
2. OpenNews: Опубликована платформа Node.js 26.0.0
3. OpenNews: Доступна платформа Deno 2.0, развиваемая автором Node.js
4. OpenNews: Доступна серверная JavaScript-платформа Bun 1.0, более быстрая, чем Deno и Node.js
5. OpenNews: В JavaScript-платформе Bun добавлена поддержка вызова кода на языке Си

Образы контейнеров публикуются для архитектур amd64 и arm64. В настоящее время в каталоге предложено 49 вариантов контейнеров (c учётом редакций FIPS и multi-arch - 157), позволяющих развернуть рабочие окружения с Python, Go, Node.js, Rust, Ruby, OpenJDK, .NET, PostgreSQL, nginx и другими открытыми проектами. Образы формируются в соответствии с принципом "Distroless", т.е. не включают пакетный менеджер и программный интерпретатор (shell), а содержат только целевое приложения и необходимые для его работы компоненты.

95% пакетов, задействованных в образах контейнеров Hummingbird, собираются из репозитория Fedora Rawhide, а остальные 5% загружаются и собираются напрямую из репозиториев основных проектов (upstream). В эти 5% входят приложения, отсутствующие в Rawhide или имеющие в Rawhide не самые свежие выпуски. Для формирования Hummingbird независимо от Fedora раздельно сопровождаются собственные RPM-пакеты, собираемые в отдельной инфраструктуре из штатных SPEC-файлов Fedora, что позволяет при необходимости добавлять в них специфичные для проекта оптимизации и модификации.

Предоставляемые сборки совместимы с образами из Docker Hub, Red Hat UBI и других реестров, что упрощает миграцию на Hummingbird уже имеющихся систем. В отличие от проекта CoreOS, предоставляющего минималистичные хостовые сборки для оркестровки контейнеров, Hummingbird нацелен на разработчиков, которым необходимо одновременно использовать разные версии runtime (Python 3.11-3.14, Go 1.25-1.26, Node.js 20-25 и т.п.) и раздельно поддерживать жизненный цикл каждой версии.

В отличие от традиционных контейнеров, большинство вариантов Hummingbird работают по умолчанию под непривилегированным пользователем без прав root. Контейнеры поддерживают воспроизводимую сборку и могут быть пересобраны пользователем из предоставляемого исходного кода, чтобы убедиться что свои и распространяемые проектом готовые образы полностью совпадают. Для упрощения проверки отдельно поставляются source-контейнеры со всем необходимым кодом и исходными RPM-пакетами. Для обеспечения безопасности содержимое контейнеров собирается в изолированном окружении, не имеющем доступа к сети.

Помимо контейнеров для запуска конечных приложений проектом развивается загрузочный хостовый образ bootc-os, построенный с использованием технологии загрузочных контейнеров и пригодный для установки на диск. Системный образ комбинирует компоненты Hummingbird, пакеты c ядром Linux от проекта CKI (Continuous Kernel Integration), загрузчик и системные сервисы из Fedora. Вся система оформляется в виде контейнера OCI. Обновление bootc-os осуществляется автоматически при каждой перезагрузке. Для запуска контейнеров из окружения bootc-os задействованы инструментарии Podman и Skopeo.

1. OpenNews: Выпуск дистрибутива Fedora Linux 44
2. OpenNews: Релиз дистрибутива Vanilla OS 2, использующего контейнеры и атомарные обновления
3. OpenNews: Представлено семейство атомарно обновляемых дистрибутивов Fedora Atomic Desktops
4. OpenNews: Опубликован Bottlerocket 1.15, дистрибутив на базе изолированных контейнеров
5. OpenNews: Компания Canonical опубликовала монолитный дистрибутив Ubuntu Core 24

Отмечено, что выделенные средства помогут вывести основные продукты проекта, такие как среда рабочего стола KDE Plasma и дистрибутив KDE Linux, на новый уровень, который позволит обычным пользователям, компаниям и госучреждениям восстановить свою приватность, безопасность и контроль над цифровым суверенитетом. В 2023 и 2024 годах миллион евро также получил проект GNOME. Фонд STF рассматривает выделение средств ключевым средам рабочего стола, используемым в Linux, как инвестицию в устойчивость и надёжность цифровой инфраструктуры, на которую опирается современное общество.

Организация STF учреждена в Германии для стимулирования развития открытой цифровой инфраструктуры и экосистем с открытым исходным кодом. Фонд создан на средства, предоставленные Министерством экономики и защиты климата Германии, и курируется Федеральным агентством прорывных инноваций SPRIND (Federal Agency for Breakthrough Innovation). Отмечается, что инвестирование в открытое ПО способствует развитию инноваций в Германии и Европе, а также повышает конкурентоспособность, продуктивность и возможность продвижения инноваций в малых и средних предприятиях.

Помимо KDE в этом году финансовую поддержку получили проекты:

• Mastodon (614 тысяч евро),
• libmicrohttpd3 (234 тысячи евро),
• Debian CI (180 тысяч евро),
• PHPStan (210 тысяч евро),
• OSGi (165 тысяч евро),
• Sequoia (225 тысяч евро),
• FFmpeg (280 тысяч евро).

Всего с 2022 года организация STF инвестировала 37.3 млн евро в 108 открытых проектов, среди которых FreeBSD, GNOME, Samba, Rust, Pipewire, Eclipse, OpenStreetMap, Arch Linux и FFmpeg. Помимо уже отмеченных KDE и Mastodon, наибольший объем средств выделен проектам:

• GNOME (миллион евро),
• Rust (826 тысяч евро),
• Samba (688 тысяч евро),
• FreeBSD (686 тысяч евро),
• Arch Linux (562 тысячи евро),
• Servo (545 тысяч евро),
• Eclipse (515 тысяч евро),
• Maven (450 тысяч евро),
• OpenSSL (405 тысяч евро),
• systemd (399 тысяч евро),
• R Project (392 тысячи евро),
• Scala (377 тысяч евро),
• PHP (223 тысячи евро)

1. OpenNews: Фонд Sovereign профинансирует Scala, Servo, Drupal, PHP, OpenSSL, OpenPrinting, R и systemd
2. OpenNews: Фонд Sovereign инвестировал 562 тысячи евро в модернизацию управления пакетами в Arch Linux
3. OpenNews: Фонд Sovereign инвестирует 688 тысяч евро в развитие проекта Samba
4. OpenNews: Фонд Sovereign инвестирует 686 тысяч евро в обновление инфраструктуры FreeBSD
5. OpenNews: Проект GNOME получил миллион евро на развитие

Уязвимость (CVE-2026-42945), которой присвоен критический уровень опасности, вызвана переполнением буфера в модуле ngx_http_rewrite_module, которое может быть эксплуатировано для выполнения кода с правами рабочего процесса nginx через отправку HTTP-запроса со специально оформленным URI. Проблема проявляется в конфигурациях с директивой "rewrite", в которой в регулярных выражениях используются подстановки масок при помощи неименованных переменных (например, $1 и $2), при условии, что в заменяющей строке имеется символ "?". Пример уязвимой конструкции:

   rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

Выражения с именованными подстановками уязвимости не подвержены. Например, уязвимость не затрагивает конструкции:

   rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

Уязвимость присутствует начиная с версии 0.6.27, выпущенной в марте 2008 года. Причиной появления уязвимости стало то, что буфер выделялся с расчётом, что в него будут записаны неэкранированные данные, а фактически копировались данные после выполнения экранирования спецсимволов, размер которых был больше, так как каждый символ "+", "%" и "&" кодировался не одним, а тремя байтами. Подобное рассогласование возникало из-за того, что при наличии в правиле rewrite символа "?" выставлялся флаг "e->is_args", при котором включалось экранирование, но выделение буфера осуществлялось при сброшенном флаге, при котором экранирование не применялось.

Другие уязвимости:

• CVE-2026-42926 - возможность подстановки данных атакующего в проксируемый запрос при использовании в настройках директивы "proxy_set_body" и обращении к бэкенду через HTTP/2 (proxy_http_version=2).
• CVE-2026-40701 - обращение к памяти после её освобождения (use-after-free) в модуле ngx_http_ssl_module, возникающее при обработке ответов от DNS-сервера в конфигурациях с директивой "ssl_ocsp".
• CVE-2026-42946 - чтение из области за пределами буфера в модулях ngx_http_uwsgi_module и ngx_http_scgi_module, возникающее при обработке специально оформленного ответа. Проблема может привести к утечке содержимого памяти рабочего процесса или его аварийному завершению.
• CVE-2026-42934 - чтение из области за пределами буфера в рабочем процессе, возникающее при обработке ответов с декодированием из кодировки UTF-8 при использовании директивы "charset_map". Проблема может привести к утечке содержимого памяти рабочего процесса или его аварийному завершению.
• CVE-2026-40460 - уязвимость в реализации протокола HTTP/3, допускающая спуфинг IP-адреса для обхода авторизации или ограничений.

Улучшения, добавленные в выпуске nginx 1.31.0:

• В состав включён модуль ngx_http_tunnel_module, реализующий возможность работы в виде прокси ("forward proxy"), перенаправляющего запросы на другой сервер при обращении клиента при помощи метода HTTP/1.1 CONNECT. Возможна настройка аутентификации обращения к прокси, используя директивы "auth_basic", "satisfy" и "auth_delay".
• В блок "upstream" добавлена директива "least_time", включающая метод балансировки нагрузки с передачей запроса серверу с наименьшими средним временем ответа и наименьшим числом активных соединений.
• В модуль "stream_proxy" добавлена директива "proxy_ssl_alpn" для задания списка протоколов, допустимых в расширении ALPN при подключении к проксируемому серверу. Например: "proxy_ssl_alpn h2 http/1.1".
• Обеспечено отклонение запросов по протоколам HTTP/2 и HTTP/3, включающим заголовки "Connection", "Proxy-Connection", "Keep-Alive", "Transfer-Encoding", "Upgrade".
• В модуле ngx_http_dav_module обеспечено отклонение запросов COPY и MOVE с повторяющимися исходным и целевым ресурсом или вложенными коллекциями.
• Уровень логгирования ошибок SSL "invalid alert", "record layer failure" и "SSL alert number N" понижен с "crit" до "info".
• В скрипт configure добавлен параметр "--without-http_upstream_sticky_module" для отключения сборки модуля http_upstream_sticky_module (параметр "--without-http_upstream_sticky" объявлен устаревшим).

Дополнение: Доступен эксплоит для RCE-уязвимости в ngx_http_rewrite_module.

1. OpenNews: В Apache httpd 2.4.67 устранена уязвимость в HTTP/2, не исключающая удалённое выполнение кода
2. OpenNews: Вышел nginx 1.4.1 с устранением уязвимости, приводящей к удалённому выполнению кода
3. OpenNews: Атаки, меняющие настройки nginx для перенаправления трафика
4. OpenNews: Обновления nginx 1.29.7 и 1.28.3 с устранением 6 уязвимостей
5. OpenNews: Выпуск nginx 1.30.0 и форка FreeNginx 1.30.0

Уязвимость проявляется в ядрах Linux, выпущенных после 5 мая, из-за случайной активации исправлением уязвимости Dirty Frag. Для устранения уязвимости Fragnesia для ядра Linux было предложено исправление. Анализ данного исправления показал, что его недостаточно, после чего был подготовлен второй вариант патча.

Уязвимость присутствует в подсистеме xfrm в реализации механизма инкапсуляции протокола ESP (Encapsulating Security Payload) в TCP (ESP-in-TCP, RFC 8229), применяемой для туннелирования трафика IPsec поверх TCP. Для исключений лишней буферизации операции с использованием алгоритма AES-GCM выполнялись по месту через выполнение операции XOR к данным в страничном кэше. Из-за логической ошибки возникали условия, позволяющие перезаписать 1 байт в страничном кэше по выбранному смещению. Повторяя операции можно байт за байтом изменить содержимое любого файла в страничном кэше.

Все операции чтения из файлов в первую очередь отдают содержимое из страничного кэша. В случае модификации данных в страничном кэше операции чтения из файла приведут к возвращению не реально хранимой на накопителе информации, а подменённых данных. Эксплуатация уязвимости сводится к изменению страничного кэша для исполняемого файла с флагом suid root, предварительного прочитанного для попадания в страничный кэш. В предложенном исследователями эксплоите первые 192 байт файла /usr/bin/su в страничном кэше перезаписываются кодом для запуска /usr/bin/sh. Последующий запуск утилиты "su" приводит к тому, что в память будет загружен не оригинальный исполняемый файл с накопителя, а изменённая копия из страничного кэша.

Для эксплуатации уязвимости Fragnesia в системе должно быть разрешено создание пространств имён идентификаторов пользователей (user namespace). В Ubuntu подобная операция по умолчанию запрещена, но может быть разрешена через sysctl "kernel.apparmor_restrict_unprivileged_userns=0" или профили AppArmor. В остальных дистрибутивах доступность "user namespace" непривилегированным пользователям зависит от выставления sysctl "kernel.unprivileged_userns_clone" (если 0, то запрещено).

Обновления с исправлениями для ядра Linux и пакетов с ядром в дистрибутивах пока не опубликованы. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE/openSUSE, RHEL, Gentoo, Arch, Fedora. В качестве обходного пути защиты можно заблокировать загрузку модулей ядра esp4 и esp6:

   sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 2>/dev/null; true"

1. OpenNews: Уязвимости Dirty Frag, изменяющие страничный кэш для получения root в любых дистрибутивах Linux
2. OpenNews: Copy Fail - уязвимость в ядре Linux, позволяющая получить root в большинстве дистрибутивов
3. OpenNews: Атака по определению состояния памяти процессов при помощи страничного кэша
4. OpenNews: Уязвимость в ядре Linux, позволяющая исказить файлы, доступные только для чтения
5. OpenNews: В ядре Linux выявлен новый вариант уязвимости Dirty COW

Проблема вызвана обращением к уже освобождённой памяти (use-after-free) в бэкенде к GnuTLS и может быть эксплуатирована при обращении к серверам, поддерживающим расширение "ESMTP CHUNKING" и команду BDAT для передачи порциями тела письма вместо передачи неделимым блоком при помощи команды DATA. Повреждение содержимого памяти процесса возникает при инициировании клиентом преждевременного завершения сеанса TLS при помощи команды close_notify во время передачи тела сообщения через BDAT и отправки следом в том же TCP-соединении одного байта без шифрования в открытом виде.

Получив команду close_notify в бекенде GnuTLS вызывается функция прерывания TLS-сеанса, которая освобождает связанные с сеансом буферы. Из-за ошибки в коде бэкенда, несмотря на освобождение TLS-буфера обработчик BDAT продолжает читать данные из потока и вызывает функцию ungetc(), что при отправке следом незашифрованных данных приводит к записи одного байта в уже освобождённый буфер. Данный байт повреждает метаданные аллокатора памяти в куче (heap), что было использовано для проведения экспериментов по созданию эксплоита, выполняющего произвольный код на сервере.

Вначале исследователи сгенерировали частично работающий эксплоит через AI, который позволил добиться выполнения кода, но был работоспособен только в тепличных условиях, на системах с отключённой защитой ASLR и PIE, и определённой версией библиотеки libc. Далее была предпринята попытка создания эксплоита при участии человека, в которой часть трудностей удалось преодолеть и добиться утечки адреса стека, но до запланированной даты раскрытия информации об уязвимости эксплоит не был доведён до конца. По мнению выявивших уязвимость исследователей AI-ассистенты ещё не способны создавать эксплоиты для сложных продуктов, но надеются, что в будущем другие исследователи смогут довести их работу до конца и написать полноценно работающий эксплоит.

Из крупных дистрибутивов версии Exim 4.97+ используются в Debian 13, Ubuntu 24.04+, SUSE/openSUSE, Arch Linux, Alpine Linux 3.19+, ALT Linux p11, ROSA, Gentoo, OpenWRT, Fedora, EPEL (exim не входит в штатный репозиторий RHEL) и FreeBSD. Сборка Exim с GnuTLS применяется по умолчанию в Debian и Ubuntu, в других дистрибутивах требует уточнения. В качестве обходного пути блокирования уязвимости можно отключить расширение CHUNKING при помощи настройки chunking_advertise_hosts в файле конфигурации.

1. OpenNews: Обновление почтового сервера Exim 4.99.2 с устранением 4 уязвимостей
2. OpenNews: Раскрыты подробности критической уязвимости в Exim
3. OpenNews: Опубликован Exim 4.92.3 с устранением четвёртой за год критической уязвимости
4. OpenNews: Три критические уязвимости в Exim, позволяющие удалённо выполнить код на сервере
5. OpenNews: Обновление Exim 4.94.2 с устранением 10 удалённо эксплуатируемых уязвимостей

Уязвимость выявлена сотрудниками AMD, детали эксплуатации пока не приводятся. Заявлено, что проблема вызвана некорректной изоляцией совместно используемых ресурсов при выполнении операций с кэшем объектных кодов CPU. Через повреждение элементов в кэше атакующий может добиться изменения инструкций, выполняемых на другом уровне привилегий.

Уязвимость проявляется только в процессорах AMD на базе микроархитектуры Zen2 (Fam17h). Проблема затрагивает гипервизор Xen и может использоваться для обхода изоляции. Для веток Xen c 4.17 по 4.21 опубликованы патчи. Исправление для блокирования уязвимости также передано для включения в состав ядра Linux.

В десктопных и мобильных сериях CPU AMD Ryzen 3000, 4000, 5000, 7020, 7030 и Threadripper PRO 3000 WX уязвимость устранена осенью прошлого года. Во встраиваемых CPU AMD Ryzen Embedded V2000 уязвимость устранена в конце декабря. В процессорах серии AMD EPYC 7002 проблема остаётся неисправленной и её предлагается блокировать на уровне операционной системы.

1. OpenNews: CPU AMD Zen 5 подвержены уязвимости, допускающей изменение микрокода и обход изоляции SEV-SNP
2. OpenNews: Уязвимости в CPU AMD, позволяющие выполнить код на уровне SMM
3. OpenNews: Уязвимость в загрузчике микрокода в CPU AMD, позволяющая обойти изоляцию SEV-SNP
4. OpenNews: Sinkclose - уязвимость в CPU AMD, позволяющая получить доступ к SMM
5. OpenNews: Уязвимость в CPU AMD, позволяющая обойти механизм защиты SEV (Secure Encrypted Virtualization)

Интерфейс пользователя основан на реализованном в ветке Android 16 десктоп-режиме для больших экранов, позволяющем одновременно работать с окнами нескольких приложений по аналогии с традиционной средой рабочего стола.

Платформа Googlebook преподносится как переход от традиционных операционных систем к умным системам, в которые тесно интегрированы AI-сервисы. Активация AI-ассистента Gemini осуществляется при помощи умного курсора - достаточно подёргать курсор из стороны в сторону, и курсор перейдёт в режим вывода контекстных подсказок, появляющихся при его наведении на любой интересующий контент на экране. Например, после наведения курсора на дату в письме AI-ассистент предложит назначить встречу, а при выборе курсором нескольких изображений можно сгенерировать новое изображение на их основе. Подобным образом также можно сравнивать контент и задавать AI-ассистенту вопросы о содержимом.

При помощи AI также осуществляется создание пользовательских виджетов - достаточно нажать кнопку создания виджета и естественным языком описать, что хочется получить. Для создания персонализированных виджетов, AI-ассистент Gemini может выполнить поиск в интернете и подключиться к приложениям Google, таким как Gmail и Calendar.

Поддерживается бесшовное взаимодействие со смартфонами на базе платформы Android и предоставляется возможность устанавливать созданные для Android приложения из каталога Google Play. Из интерфейса Googlebook также можно запускать приложения, установленные на связанном смартфоне, не доставая смартфон и не переустанавливая их на ноутбуке.

Для работы с файлами имеется полноценный файловый менеджер, через который можно не только осуществлять навигацию по файловой системе ноутбука, но и обращаться к содержимому смартфона и быстро переносить, просматривать и искать файлы на разных Android-устройствах пользователя.

В платформе задействованы перенесённые из Chrome OS интерфейс запуска приложений (Launcher), файловый менеджер, а также отдельные системные сервисы, приложения, элементы прошивки, фоновые процессы и библиотеки. Ядро Linux, GKI-модули (Generic Kernel Image), компоненты взаимодействия с оборудованием (HAL), Android Runtime, Android API, системные фоновые процессы, библиотеки и другие компоненты задействованы из Android.

1. OpenNews: Google подтвердил грядущее слияние Android и Chrome OS
2. OpenNews: Планы по слиянию Chrome OS и Android в одну платформу
3. OpenNews: Google намерен перевести Chrome OS на платформу Android
4. OpenNews: Google переводит ChromeOS на компоненты платформы Android
5. OpenNews: Поставка ОС Aluminium намечена на 2028 год. Поддержка ChromeOS сохранится до 2034 года

Доступ к публикации релизов был получен из-за неверной настройки pull_request_target "Pwn Request" в GitHub Actions (указание маски в настройках привело к запуску pull_request_target для pull-запросов в сторонние форки), отравления кэша GitHub Actions через форк и возможности извлечения OIDC-токена из памяти запущенного runner-процесса (Runner.Worker) через чтение содержимого /proc/<pid>/mem.

NPM-пакеты с вредоносными изменениями были опубликованы 11 мая с 22:20 до 22:26 (MSK), замечены через 20 минут и блокированы спустя полтора часа. Для каждого из поражённых NPM-пакетов были выпущены по две вредоносные версии, в которые был интегрирован код для активации червя mini-shai-hulud, выполняющего поиск токенов и учётных данных в текущем окружении. В случае обнаружения токена подключения к каталогу NPM червь автоматически публиковал новые вредоносные релизы для разрабатываемых в текущем окружении пакетов, поражая дерево зависимостей. Таким способом было поражено более 400 NPM-пакетов, использующих пакеты TanStack в числе зависимостей.

Червь размещался в файле router_init.js и активировался при установке поражённого пакета вручную разработчиком или автоматизированно в окружении непрерывной интеграции при помощи команд "npm install", "pnpm install" или "yarn install". После активации червь выполнял поиск в системе токенов к NPM (~/.npmrc), AWS, GCP, Azure, HashiCorp и KubernetesK8s, а также закрытых ключей SSH. Найденные данные отправлялись злоумышленникам через децентрализованный P2P-мессенджер getsession.org.

В черве было предусмотрено совершение деструктивных действий в случае отзыва перехваченного NPM-токена - в системе настраивался периодический запуск скрипта ~/.local/bin/gh-token-monitor.sh, который каждые 60 секунд проверял активность токена через обращение к api.github.com/user и в случае отзыва токена выполнял команду "rm -rf ~/".

1. OpenNews: Анализ конфиденциальных данных, захваченных червём Shai-Hulud 2
2. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
3. OpenNews: Скомпрометирован NPM-пакет axios, имеющий 100 млн загрузок в неделю
4. OpenNews: Утечка кода инструментария Claude Code из-за забытого в NPM-пакете map-файла
5. OpenNews: Раскрыты подробности захвата учётных данных сопровождающего NPM-пакет axios

Выявленные проблемы:

• CVE-2026-4892 - переполнение буфера в реализации DHCPv6, позволяющее атакующему, имеющему доступ к локальной сети, выполнить код с правами root через отправку специально оформленного пакета DHCPv6. Переполнение вызвано тем, что при записи DHCPv6 CLID в буфер не учитывалось то, что в пакете данные сохраняются в шестнадцатеричном представлении, в котором используется три байта "%xx" на каждый фактический байт CLID (например, сохранение 1000-байтового CLID приведёт к записи 3000 байт).
• CVE-2026-2291 - переполнение буфера в функции extract_name(), позволяющее атакующему подставить фиктивные записи в кэш DNS и добиться перенаправления домена на другой IP-адрес. Переполнение возникло из-за выделения буфера без учёта экранирования некоторых символов во внутреннем представлении доменного имени в dnsmasq.
• CVE-2026-4893 - утечка информации, позволяющая обойти проверку через отправку специально оформленного DNS-пакета с информацией о подсети клиента (RFC 7871). Уязвимость может использоваться для изменения маршрута DNS-ответа и перенаправления пользователей на домен атакующего. Уязвимость вызвана тем, что в функцию check_source() передавалась длина записи OPT вместо длины пакета, из-за чего функция всегда возвращала успешный результат проверки.
• CVE-2026-4891 - чтение из области вне границы буфера при валидации DNSSEC, приводящее к утечке в ответе данных из памяти процесса при обработке специально оформленного DNS-запроса.
• CVE-2026-4890 - зацикливание при валидации DNSSEC, позволяющее вызвать отказ в обслуживании через отправку специально оформленного DNS-пакета.
• CVE-2026-5172 - чтение из области вне буфера в функции extract_addresses(), приводящее к аварийному завершению при обработке специально оформленных DNS-ответов.

Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, OpenWRT, FreeBSD. Проект Dnsmasq задействован в платформе Android и специализированных дистрибутивах, таких как OpenWrt и DD-WRT, а также в прошивках беспроводных маршрутизаторов многих производителей. В обычных дистрибутивах Dnsmasq может устанавливаться при использовании libvirt для обеспечения работы DNS-сервиса в виртуальных машинах или активироваться в конфигураторе NetworkManager.

1. OpenNews: Проект Dnsmasq стал обладателем первой премии BlueHats
2. OpenNews: Уязвимости в Dnsmasq, позволяющие подменить содержимое в кэше DNS
3. OpenNews: Уязвимости в Dnsmasq, позволяющие удалённо выполнить код атакующего
4. OpenNews: Уязвимость в uClibc и uClibc-ng, позволяющая подменить данные в кэше DNS
5. OpenNews: Уязвимости KeyTrap и NSEC3, затрагивающие большинство реализаций DNSSEC