OpenNet

Бот, читающий RSS с сайта opennet.dev.

Public Key

npub1g902dy6kzxvzeem29k87n77rfgf6ykglnca5lmu808fxvmq3zk9q3fe4t2

NIP-05 Address

[email protected]

Profile Code

nprofile1qqsyzh4xjdtprxpvua4zmrlfl0p55yazty0euw60a7rhn5nxdsg3tzspzamhxue69uhkummnw3ezuarhd9hxkmr99ekx7mqdv4ur2

Publishing to

nostr.twinkle.lol

Author Public Key

npub1g902dy6kzxvzeem29k87n77rfgf6ykglnca5lmu808fxvmq3zk9q3fe4t2

Show more details

Last Notes

2026-08-29 13:48:01 UTC

98% запросов к git.kernel.org формируют боты, создавая огромную паразитную нагрузку
Константин Рябцев, администратор инфраструктуры kernel.org.
https://www.opennet.ru/opennews/art.shtml?num=66171

2026-08-25 18:32:01 UTC

Доступен Firefox 154.0.1. В Firefox 157 намечено включение JPEG-XL
Доступен корректирующий выпуск Firefox 154.0.1, в котором представлены шесть исправлений.
https://www.opennet.ru/opennews/art.shtml?num=66135

2026-08-21 18:48:02 UTC

Релиз серверной JavaScript-платформы Bun 1.4, переписанной с Zig на Rust
Представлен выпуск платформы Bun 1.4, предназначенной для обособленного выполнения приложений, написанных на языках JavaScript и TypeScript, и нацеленной на использование в качестве прозрачной замены платформы Node.js. Ветка 1.4 примечательная переводом кодовой базы с языка Zig на язык Rust, осуществлённым с использованием AI-инструментов Claude. Код продолжает распространяться под лицензией MIT.
https://www.opennet.ru/opennews/art.shtml?num=66111

2026-08-20 05:48:01 UTC

Компания Canonical представила проект по разработке транслятора с Си на Rust
Компания Canonical анонсировала проект, развиваемый совместной с Бристольским университетом и нацеленный на разработку инструментария для автоматической трансляции кода с языка Си на Rust. Проект ориентирован на перевод больших репозиториев, содержащих сотни тысяч строк кода на Си, в безопасное (без unsafe-операций) и легко сопровождаемое представление на языке Rust. Canonical профинансирует работу исследователей над проектом в течение 3 лет. Развиваемая технология будет опробована для перевода на Rust пакетов AppArmor и snap-confine, чтобы проверить применимость метода к реальным системным компонентам.
https://www.opennet.ru/opennews/art.shtml?num=66099

2026-08-16 19:16:02 UTC

Началось голосование о допустимости использования AI при разработке Debian
Объявлено о начале общего голосования (GR, general resolution) разработчиков по вопросу использования больших языковых моделей и AI-инструментов при разработке дистрибутива. Приём голосов будет осуществляться до 28 августа. Право голоса имеют около тысячи разработчиков, участвующих в сопровождении пакетов и поддержании инфраструктуры Debian.
https://www.opennet.ru/opennews/art.shtml?num=66085

2026-08-14 21:32:01 UTC

В systemd-journald спустя 6 лет признали проблему избыточной нагрузки на накопители
Разработчики проекта systemd приступили к изучению и устранению давней архитектурной проблемы в компоненте "systemd-journald", приводящей к многократному завышению объёма записываемых на диск данных (write amplification) по сравнению с фактическим объёмом логов.
https://www.opennet.ru/opennews/art.shtml?num=66082

2026-08-13 08:48:01 UTC

Выпуск утилиты для синхронизации файлов Rsync 3.5.0 с устранением 33 уязвимостей
Опубликован релиз Rsync 3.5.0, утилиты для синхронизации файлов и резервного копирования, позволяющей минимизировать трафик за счёт инкрементального копирования изменений. В качестве транспорта могут быть использованы ssh, rsh или собственный протокол rsync. Поддерживается организация работы анонимных rsync-серверов, оптимально подходящих для обеспечения синхронизации зеркал.
https://www.opennet.ru/opennews/art.shtml?num=66073

2026-08-07 06:32:02 UTC

TONTOU - атака на CPU Intel и AMD, позволяющая обойти защиту от уязвимостей Spectre v2
Исследователи из массачусетского технологического института выявили технику атаки TONTOU (Time-of-Neutralization to Time-of-Use), предлагающую новый способ эксплуатации микроархитектурных уязвимостей класса Spectre v2. Уязвимость даёт возможность определить содержимое памяти ядра при выполнении эксплоита в пространстве пользователя. Код для блокирования эксплуатации уязвимости принят в состав ядра Linux 5 августа и включён в состав выпусков 7.1.7, 6.18.43, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 и 5.10.263.
https://www.opennet.ru/opennews/art.shtml?num=66045

2026-08-06 03:32:01 UTC

В дистрибутиве Proxmox Virtual Environment реализована поддержка архитектуры ARM64
Разработчики дистрибутива Proxmox Virtual Environment, предназначенного для развертывания и обслуживания виртуальных серверов с использованием LXC и KVM, объявили о начале публикации официальных сборок для архитектуры ARM64 (aarch64). До этого дистрибутив выпускался только для систем x86_64. В arm64-сборках заявлена первичная поддержка платформ NVIDIA Grace Hopper и NVIDIA Vera, а также обеспечена работа на серверных платах с процессорами ARMv9-A и ARMv8-A, на которых используется UEFI (устройства с конфигурацией на базе Device Tree, такие как Raspberry Pi, не поддерживаются).
https://www.opennet.ru/opennews/art.shtml?num=66034

2026-08-04 20:00:02 UTC

Новый червь ChainDrop поразил более 400 NPM-пакетов
Зафиксирована массовая атака на пакеты в репозитории NPM, проводимая с использованием нового самораспространяющегося червя ChainDrop, подставляющего вредоносное ПО в зависимости. В результате атаки опубликовано 2212 вредоносных выпусков для 444 пакетов. Наиболее популярные из скомпрометированных пакетов keyv, flat-cache и file-entry-cache насчитывают 154, 149.9 и 147.6 миллионов загрузок в неделю.
https://www.opennet.ru/opennews/art.shtml?num=66030

2026-08-03 06:16:01 UTC

Переполнение буфера в iwd, эксплуатируемое через Wi-Fi
В фоновм процессе iwd, применяемом для организации подключения Linux-систем к беспроводной сети, выявлена уязвимость (CVE не назначен), приводящая к переполнению буфера при обработке специально оформленного беспроводного запроса (802.11k), не требующего аутентификации в сетях с WPA2 без PMF. Доступен прототип эксплоита.
https://www.opennet.ru/opennews/art.shtml?num=66015

2026-07-31 17:48:02 UTC

Из-за новой атаки в AUR отключена передача бесхозных пакетов новым сопровождающим
Проект Arch Linux объявил о приостановке передачи бесхозных пакетов новым сопровождающим в репозитории AUR (Arch User Repository). В качестве причины называется возобновление атак по подстановке вредоносного кода в пакеты, оставшиеся без сопровождения. Для захвата пакетов атакующие использовали предоставляемую в AUR возможность принимать сопровождение над пакетами, оставшимися без сопровождающих и имеющими статус "orphaned".
https://www.opennet.ru/opennews/art.shtml?num=66005

2026-07-25 08:00:01 UTC

1434 уязвимости в продуктах Oracle, 82 из которых затрагивают Java, MySQL, VirtualBox и Solaris
Компания Oracle опубликовала плановый выпуск обновлений своих продуктов (Critical Patch Update), нацеленный на устранение критических проблем и уязвимостей. Отмечается, что июльское обновление стало крупнейшим в истории по числу уязвимостей - устранено 1449 проблем с безопасностью, затрагивающих 334 продукта Oracle. Всплеск числа уязвимостей объясняется разбором проблем, выявленных благодаря применению AI-инструментов.
https://www.opennet.ru/opennews/art.shtml?num=65976

2026-07-23 11:48:01 UTC

Клон SQLite на Rust, воссозданный AI на основе спецификаций
Компания Cursor опубликовала исходный код minisqlite, реализации СУБД SQLite, воссозданной на языке Rust и успешно проходящей официальный набор тестов sqllogictest от проекта SQLite. Проект подготовлен в ходе эксперимента, в котором проверялась эффективность работы AI-моделей GPT-5.5, Grok 4.5, Opus 4.8 и Fable 5, по воссозданию SQLite только на основе официального 835-страничного руководства, без доступа к оригинальному коду, интернету, наборам тестов и исполняемому файлу SQLite. Основная идея эксперимента - использование подробной спецификации в качестве промпта для создания сложного продукта.
https://www.opennet.ru/opennews/art.shtml?num=65963

2026-07-22 19:48:02 UTC

Git-хостинг Codeberg запретил размещение проектов, созданных при помощи AI
Git-хостинг Codeberg, использующий свободную платформу совместной разработки Forgejo, внёс изменение в правила, запрещающие размещение проектов, большая часть кода в которых подготовлена с использованием генеративных AI-моделей, включая AI-сервисы, такие как Claude и Codex.
https://www.opennet.ru/opennews/art.shtml?num=65954

2026-07-22 11:00:02 UTC

432 отчёта об уязвимостях в ядре Linux. Локальная root-уязвимость Frag Gap
За сутки в списке рассылки linux-cve-announce опубликовано 432 новых отчёта об уязвимостях в ядре Linux, которым присвоены CVE-идентификаторы. Из общей массы можно выделить уязвимость Frag Gap, для которой подготовлен рабочий эксплоит, позволяющий непривилегированному локальному пользователю получить права root в системе.
https://www.opennet.ru/opennews/art.shtml?num=65952

2026-07-16 20:32:02 UTC

Линус Торвальдс поддержал право использовать AI-инструменты при разработке ядра
Линус Торвальдс прокомментировал попытки обсудить запрет на применение AI-инструментов в разработке ядра Linux. Официальная позиция в том, что ядро Linux, как проект, не против использования AI. AI рассматривается как инструмент, упрощающий работу над кодом, такой же как и любые другие инструменты. Использование AI личное дело каждого разработчика и фактором при приёме изменений является качество кода, а не то, какие инструменты использовались для создания этого кода.
https://www.opennet.ru/opennews/art.shtml?num=65913

2026-07-16 18:48:02 UTC

Регрессия в ядре Linux 7.0, существенно снижающая производительность приложений, использующих AMD ROCm
Инженеры из компании Canonical предупредили о наличии регрессий в предстоящем обновлении пакета с ядром 7.0.0-28.28, которое будет доставлено пользователям Ubuntu 26.04 и Ubuntu 24.04. Регрессия проявляется при использовании драйвера amdgpu и приводит к существенному снижению производительности некоторых приложений, использующих стек AMD ROCm. Например, из-за регрессии время выполнения модели Stable Diffusion XL (SDXL) при помощи ComfyUI замедлилась в 42 раза (с 9 секунд до 388 секунд).
https://www.opennet.ru/opennews/art.shtml?num=65916

2026-07-15 20:32:01 UTC

Обновление nginx 1.31.3 с устранением RCE-уязвимости
Сформирован выпуск основной ветки nginx 1.31.3, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.4, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 3 уязвимости.
https://www.opennet.ru/opennews/art.shtml?num=65910

2026-07-08 20:32:02 UTC

73% проектов на Flathub, созданных с помощью AI, были заброшены спустя несколько месяцев
После запрета размещения в каталоге Flathub приложений, сгенерированных при помощи AI, один из разработчиков решил проверить, не лишился ли Flathub из-за подобного запрета ценных участников. Для этого была изучена судьба проектов, отмеченных тегом "AI Slop", который начал применяться во в Flathub январе этого года, для пометки проектов, файл-манифест для которых создан при помощи AI или разработчики которых использовали AI при общении с рецензирующими.
https://www.opennet.ru/opennews/art.shtml?num=65871

2026-07-08 06:32:02 UTC

Большинство пользователей LineageOS используют устаревшие версии прошивок и запуск в Waydroid
Проект LineageOS ввёл в строй новый раздел со статистикой использования прошивок. Заявлено, что проект насчитывает почти 1.5 млн активных установок, из которых только 26% (374 тысячи) приходится на официальные сборки, а 74% (1.1 млн) затрагивают неофициальные сборки, собранные сторонними проектами. В рейтинге устройств лидирует не смартфон, а Waydroid - окружение для запуска Android-приложений в Linux. На втором месте смартфон Xiaomi Mi 8, который по числу установок более чем в 2 раза отстаёт от Waydroid.
https://www.opennet.ru/opennews/art.shtml?num=65861

2026-07-04 07:32:02 UTC

Ядро Linux оказалось на первом месте по числу CVE-идентификаторов уязвимостей
Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной и "staging" веток ядра Linux, сообщил, что за первые 6 месяцев 2026 года в ядре Linux было выявлено 2308 уязвимостей, которым присвоены отдельные CVE-идентификаторы. Таким образом ядро Linux поднялось со второго на первое место по числу присвоенных CVE-идентификаторов среди производителей ПО. Отмечается, что подобный показатель не является объективным, так как большинство производителей присваивают CVE-идентификаторы только опасным уязвимостям, в то время как в ядре Linux учитываются все уязвимости, независимо от степени опасности.
https://www.opennet.ru/opennews/art.shtml?num=65841

2026-07-03 15:32:01 UTC

Уязвимость в пакетном менеджере Guix, допускающая удалённое выполнение кода в системе
В пакетном менеджере Guix выявлены уязвимости (CVE не назначены) в реализации внутренней команды "guix substitute", автоматически вызываемой фоновым процессом guix-daemon при выполнении операций установки пакетов. Команда применяется для загрузки уже собранных бинарных пакетов с внешних серверов с проверкой их целостности при помощи цифровой подписи. Наиболее опасная уязвимость позволяет удалённо организовать выполнение кода на системе пользователя с правами под которыми выполняется фоновый процесс guix-daemon.
https://www.opennet.ru/opennews/art.shtml?num=65837

2026-07-02 20:16:01 UTC

Проблемы с очисткой ключей шифрования диска из ОЗУ при переходе Linux в ждущий режим
В ходе портирования для NixOS инструментария cryptsetup-suspend была выявлена ошибка в подсистеме дискового шифрования LUKS (Linux Unified Key Setup), из-за которой начиная с ядра Linux 6.9 (проблемный коммит), выпущенного в мае 2024 года, переслала работать очистка ключей шифрования из оперативной памяти при переходе системы в ждущий режим.
https://www.opennet.ru/opennews/art.shtml?num=65831

2026-07-02 18:32:02 UTC

На kernel.org по ошибке удалили со всех зеркал архивы с кодом ядра
Из-за ошибки при настройке нового первичного зеркала сайта kernel.org и внесении изменений в инфраструктуру, обеспечивающую работу первичных и вторичных зеркал, на существующих зеркалах оказалась удалены все данные в иерархии kernel.org/pub/, в которой среди прочего хранились архивы с кодом всех выпусков ядра, патчи и файлы со списками изменений. Эталонные данные не пострадали, удалены оказались лишь копии на зеркалах, что привело к показу пустого каталога при обращении к kernel.org/pub/. В настоящее время ведётся работа по восстановлению содержимого зеркал.
https://www.opennet.ru/opennews/art.shtml?num=65830

2026-06-28 11:16:02 UTC

Раскрыты эксплоиты для 23 неисправленных уязвимостей в FFmpeg, VLC, Firefox, Docker, PHP, OpenVPN, nmap, libssh2, nghttp2 и 7zip
Анонимный исследователь безопасности опубликовал в открытом доступе прототипы 23 эксплоитов, в которых задействованы ещё не исправленные (0-day) уязвимости в таких проектах, как FFmpeg, VLC, Firefox, Docker, PHP, OpenVPN, nmap, libssh2, nghttp2, 7zip, Ghidra, Gitea, c-ares, Floci, Flowise, ImageMagick, Lunar Client, MyBB, objdump и RustDesk. Уязвимости были выявлены в результате fuzzing-тестирования проектов с привлечением AI-модели GPT-5.5-3-Codex-Spark. Утверждается, что эксплоиты, за исключением эксплоита к RustDesk, были написаны вручную, но вся сопроводительная документация к ним сгенерирована через AI.
https://www.opennet.ru/opennews/art.shtml?num=65794

2026-06-26 21:32:02 UTC

PEdit-CoW и DirtyClone - уязвимости в ядре Linux, позволяющие получить root через изменение страничного кэша
Раскрыта информация о двух новых уязвимостях в ядре Linux, позволяющих непривилегированному пользователю получить права root, перезаписав данные в страничном кэше. Для обеих уязвимостей подготовлены рабочие эксплоиты.
https://www.opennet.ru/opennews/art.shtml?num=65784

2026-06-23 12:16:02 UTC

Cloudflare, Google, Mozilla и Microsoft развивают механизм для отсеивания web-ботов
Компании Cloudflare, Google, Mozilla, Microsoft и Shopify представили совместный проект по разработке и стандартизации протокола Private Access Control Tokens (PACT), позволяющего отделять реальных пользователей и легитимно действующих ботов от мусорного трафика и неконтролируемой активности AI-ботов, сохраняя при этом конфиденциальность пользователя. Заявлено, что новый протокол даст возможность фильтровать бот-трафик на сайтах при помощи анонимных токенов, обходясь без запроса капчи, обязательной аутентификации и отслеживания через Cookies.
https://www.opennet.ru/opennews/art.shtml?num=65749

2026-06-17 20:00:01 UTC

Обновление nginx 1.31.2 с устранением уязвимостей, эксплуатируемых через HTTP/3, HTTP2 и gRPC
Сформирован выпуск основной ветки nginx 1.31.2, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.3, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 3 уязвимости.
https://www.opennet.ru/opennews/art.shtml?num=65712

2026-06-14 12:00:02 UTC

В AUR осуществлена подстановка вредоносного кода ещё в 54 пакета
Несмотря на меры, предпринятые разработчиками Arch Linux, деятельность по подстановке вредоносного кода в репозитории AUR (Arch User Repository). Несколько часов назад вредносный код подставлен ещё в 54 пакета, оставшихся без сопровождающих (история отмены вредоносных правок). В отличие от первых атак, вместо пакетного менеджера npm для установки вредоносных зависимостей на этот раз задействована платформа bun. Для обхода реализованных фильтров в функцию post_install вставлена обфусцированная строка, в которой вызывается команда "bun add" для установки пакетов с вредоносным кодом, осуществляющим сканирование и отправку на внешний сервер ключей, токенов и учётных данных.
https://www.opennet.ru/opennews/art.shtml?num=65685

2026-06-13 18:48:01 UTC

Удостоверяющий центр GlobalSign начал отзыв EV-сертификатов у компаний, находящихся под санкциями
Удостоверяющий центр GlobalSign, зарегистрированный в Бельгии и принадлежащий японской корпорации GMO Group, начал отзыв SSL-сертификатов, ранее выданных российским компаниям, подпадающим под действующие в Евросоюзе санкции. В письме к партнёрам компании, отправленном директором российского представительства GlobalSign, сказано, что отзыв сертификатов начался 13 июня в 04:10 (MSK) и будет проводиться поэтапно. В качестве причины указано утверждение консорциумом CA/Browser Forum, выступающим площадкой для совместного принятия решений с учётом интересов производителей браузеров и удостоверяющих центров, новых требований по проверке организаций.
https://www.opennet.ru/opennews/art.shtml?num=65681

2026-06-12 15:16:01 UTC

В Chrome 151 будет удалён обходной путь для установки uBlock Origin
В намеченном на 30 июня выпуске Chrome 150 будет удалена поддержка флага kExtensionManifestV2Disabled, позволявшего вернуть возможность установки из каталога Chrome Web Store дополнений, использующих вторую версию манифеста Chrome. Позавчера из которой базы Chromium, на базе которой формируется выпуск Chrome 151, запланированный на 28 июля, дополнительно был удалён код с реализацией параметра AllowLegacyMV2Extensions, позволявшего вручную в режиме разработчика загружать дополнения на базе второй версии манифеста. За несколько дней до этого из кодовой базы Chromium также были удалены параметры kExtensionManifestV2Unsupported и ExtensionManifestV2Availability, которые около года назад были объявлены неподдерживаемыми.
https://www.opennet.ru/opennews/art.shtml?num=65675

2026-06-12 08:16:02 UTC

Атакующие скомпрометировали 469 пакетов в репозитории AUR
Зафиксирована массовая компрометация пакетов в репозитории AUR (Arch User Repository), применяемом в Arch Linux для распространения приложений от сторонних разработчиков. Атакующие получили контроль над 469 пакетами и смогли внедрить в них вредоносный код для кражи паролей и ключей доступ с систем пользователей. Среди прочего, вредоносный код был интегрирован в поставляемый через AUR пакет ALVR, популярный у любителей компьютерных игр.
https://www.opennet.ru/opennews/art.shtml?num=65670

2026-06-11 20:48:02 UTC

Выпуск X-сервера yserver 1.0.0, написанного на Rust и пригодного для запуска MATE, Xfce и Cinnamon
Опубликован первый значительный выпуск X11-сервера yserver, написанного с нуля на языке Rust и поддерживающего актуальные расширения протокола X11. Проект не ставит перед собой цель повторить все возможности Xorg Server и ограничивается только функциональностью, необходимой для запуска современных сред рабочего стола, оконных менеджеров, приложений и графических библиотек (GTK, Qt, SDL, GLFW). Из протестированных окружений отмечены MATE, Xfce и Cinnamon, а также оконные менеджеры FVWM3, e16 и wmaker. Код проекта распространяется под лицензией MIT.
https://www.opennet.ru/opennews/art.shtml?num=65671

2026-06-11 19:48:01 UTC

Уязвимость в phpBB, позволяющая получить доступ к любому аккаунту без аутентификации
В свободном движке для создания форумов phpBB выявлена уязвимость, позволяющая через отправку одного HTTP-запроса подключиться к сеансу любого пользователя форума. Уязвимость проявляется в конфигурации phpBB по умолчанию. Проблема устранена в версии phpBB 3.3.17.
https://www.opennet.ru/opennews/art.shtml?num=65667

2026-06-11 19:00:02 UTC

Проект ReactOS достиг возможности запуска игр Half-Life и Unreal Tournament 2004
Разработчики открытой операционной системы ReactOS, нацеленной на обеспечение совместимости с программами и драйверами Microsoft Windows, объявили достижении возможности запуска игры Half-Life. Запуск был осуществлён в ReactOS, установленном на реальном оборудовании - ПК Dell OptiPlex 990 c CPU Intel Core i5-2400, 1 ГБ ОЗУ и видеокартой NVIDIA GeForce 8400 GS. За несколько дней до этого в ReactOS удалось запустить игру Unreal Tournament 2004.
https://www.opennet.ru/opennews/art.shtml?num=65665

2026-06-10 12:32:01 UTC

Уязвимость в процессорах ARM, позволяющая обойти изоляцию виртуальных машин
Компания ARM раскрыла информацию об уязвимости (CVE-2025-10263) в своих процессорах, позволяющей осуществить запись в ресурсы, принадлежащих более высокому уровню исключений (Exception Level), что потенциально позволяет добиться повышения привилегий в системе. В контексте гипервизора Xen уязвимость даёт возможность из гостевой системы осуществить запись в память, принадлежащую гипервизору.
https://www.opennet.ru/opennews/art.shtml?num=65660

2026-06-10 06:48:02 UTC

Lets Encrypt ввёл запрет на выдачу сертификатов для стран под санкциями США
Некоммерческий удостоверяющий центр Let's Encrypt, контролируемый сообществом и предоставляющий сертификаты безвозмездно всем желающим, внёс изменение в пользовательское соглашение, определяющее права и обязанности получателей сертификатов. В секцию с условиями запроса и использования сертификатов добавлен пункт, не допускающий выдачу сертификатов для физических лиц и организаций, постоянно проживающих или зарегистрированных в странах или на территориях, на которые распространяются полномасштабные (comprehensive) санкции США.
https://www.opennet.ru/opennews/art.shtml?num=65656

2026-06-09 06:16:01 UTC

Обновление Chrome 149.0.7827.102 с устранением 17 критических уязвимстей
Компания Google сформировала обновление Chrome 149.0.7827.102 с исправлением 74 уязвимостей, из которых 17 помечены как критические. Критические проблемы позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, известно лишь, что уязвимости вызваны обращением к памяти после её освобождения (use-after-free) в компонентах и API Ozone, Aura, File Input, TabStrip, Bluetooth, Gamepad, Autofill, Views, Printing, Compositing, Web Apps и Proxy.
https://www.opennet.ru/opennews/art.shtml?num=65646

2026-06-08 20:16:02 UTC

Релиз http-сервера Apache 2.4.68 с устранением 13 уязвимостей
Представлен релиз HTTP-сервера Apache 2.4.68, в котором устранено 13 уязвимостей и внесено несколько изменений.
https://www.opennet.ru/opennews/art.shtml?num=65645

2026-06-08 19:00:02 UTC

Для ОС Redox портирована среда рабочего стола Xfce и реализован планировщик задач EEVDF
Разработчики операционной системы Redox, написанной с использованием языка Rust и концепции микроядра, опубликовали отчёт о развитии проекта за май. Из достижений отмечено успешное портирование среды рабочего стола Xfce, работа которой в Redox отмечена, как более стабильная, чем порт MATE, в котором имеются нерешённые проблемы с файловым менеджером Caja.
https://www.opennet.ru/opennews/art.shtml?num=65643

2026-06-05 21:00:02 UTC

В Chrome устранено 429 уязвимостей, а в Android - 124
Компания Google внесла изменения в объявление о выпуске Chrome 149, в котором раскрыла сведения об устранении 429 уязвимостей. 22 уязвимости отмечены как критические, а 87 - как опасные. Критические проблемы позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, упомянуто только, что большая часть критических проблем вызвана переполнением буфера или обращением к уже освобождённой памяти в компонентах ANGLE, Ozone, Chromecast, Chromoting, GFX и процессе для взаимодействия с GPU. Наибольший размер вознаграждения за уязвимость составил 97 тысяч долларов.
https://www.opennet.ru/opennews/art.shtml?num=65624

2026-06-04 12:32:02 UTC

Атака на реализации HTTP/2, приводящая к исчерпанию доступной памяти
Раскрыта информация об уязвимости "HTTP/2 Bomb", затрагивающей различные реализации протокола HTTP/2 и позволяющей добиться отказа в обслуживании через исчерпание всей доступной процессу памяти. Наличие проблемы подтверждено в HTTP-серверах nginx, Apache httpd (CVE-2026-49975), Microsoft IIS, Envoy (CVE-2026-47774) и Cloudflare Pingora в конфигурации по умолчанию.
https://www.opennet.ru/opennews/art.shtml?num=65616

2026-06-01 20:16:02 UTC

Атакующие встроили вредоносное ПО в 32 NPM-пакета Red Hat
В результате компрометации процесса формирования релизов на базе GitHub Actions в принадлежащих компании Red Hat репозиториях RedHatInsights, злоумышленники смогли опубликовать в каталоге NPM 64 вредоносные версии, охватывающие 32 NPM-пакета для платформы Red Hat Cloud Services. Для каждого из поражённых NPM-пакетов были выпущены по две вредоносные версии, в которые был интегрирован код для активации нового варианта червя mini-shai-hulud, выполняющего поиск токенов и учётных данных в текущем окружении.
https://www.opennet.ru/opennews/art.shtml?num=65599

2026-06-01 13:48:01 UTC

Разработаны правила использования AI в проекте Rust
Разработчики языка программирования Rust готовят к публикации правила применения AI-ассистентов в проекте. Предложенные правила отточены в ходе обсуждения, насчитывающего более 3000 сообщений, одобрены 4 сопровождающими и ожидают публикации. За отдельными исключениями, правила запрещают передачу кода, сгенерированного через AI, в основной репозиторий rust-lang/rust, но не распространяются на субмодули, подветки и зависимости из каталога crates.io, а также другие репозитории организации. При этом правила разрешают использование AI для анализа, изучения, рецензирования и проверки кода.
https://www.opennet.ru/opennews/art.shtml?num=65597

2026-05-30 12:48:01 UTC

Каталог GNOME Circle не будет принимать приложения, созданные с использованием AI
Комитет, управляющий каталогом GNOME Circle, утвердил новые правила, запрещающие публикацию приложений, сгенерированных при помощи AI-инструментов. GNOME Circle предоставляет площадку для размещения приложений и библиотек, созданных сторонними разработчиками с использованием технологий GNOME, для упрощения их вхождения в экосистему GNOME.
https://www.opennet.ru/opennews/art.shtml?num=65583

2026-05-29 17:16:01 UTC

Выпуск Rust 1.96. Оценка пригодности Rust для создания прошивок к микроконтроллерам
Опубликован релиз языка программирования Rust 1.96, основанного проектом Mozilla, но ныне развиваемого под покровительством независимой некоммерческой организации Rust Foundation. Язык сфокусирован на безопасной работе с памятью и предоставляет средства для достижения высокого параллелизма выполнения заданий, при этом обходясь без использования сборщика мусора и runtime (runtime сводится к базовой инициализации и сопровождению стандартной библиотеки).
https://www.opennet.ru/opennews/art.shtml?num=65574

2026-05-29 07:32:01 UTC

CIFSwitch - уязвимость в CIFS-подсистеме ядра Linux, позволяющая получить права root
Раскрыты детали и опубликован эксплоит для уязвимости CIFSwitch (CVE пока не присвоен) в модуле ядра CIFS и инструментарии cifs-utils, позволяющей непривилегированному пользователю получить права root в системе. Исправление доступно только в виде патча, который опубликован 16 мая и 19 мая был принят в основную ветку ядра Linux (корректирующие выпуски ядра ещё недоступны).
https://www.opennet.ru/opennews/art.shtml?num=65572

2026-05-28 19:48:02 UTC

Утилита для взаимодействия с AI из консоли с использованием неименованных каналов
Опубликован прототип консольной утилиты ai-cli для встраивания больших языковых моделей (GitHub Models, OpenAI, Groq, DeepSeek и др.) в конвейер вызова команд в командной строке. Утилита принимает запрос из аргументов или входного потока и отправляет его в выбранную большую языковую модель, а полученный ответ (команду, сообщение, данные) направляет в терминал, файл, буфер обмена или стандартный вывод. Проект написан на языке Rust и распространяется под лицензией MIT.
https://www.opennet.ru/opennews/art.shtml?num=65567

2026-05-28 08:16:02 UTC

Грег Кроа-Хартман рассказал о том, как Rust может помочь в борьбе с ошибками в ядре Linux
Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной и "staging" веток ядра Linux, и занимающий пост мэйнтейнера в 16 подсистемах ядра, выступил с докладом на конференции Rust Week 2026, в котором рассказал, как язык Rust может помочь в предотвращении появления в ядре уязвимостей, возникающих из-за типичных ошибок разработчиков на языке Си при работе с памятью, блокировками, обработкой ошибок и работой с незаслуживающими доверия данными. В качестве основного преимущества Rust называется возможность выявлять подобные ошибки на этапе сборки, а не рецензирования кода людьми. При этом, Rust не рассматривается как панацея, способная избавить от всех проблем, и никто не собирается переписывать ядро на Rust - ожидается постепенное внедрение Rust через его использования для новых драйверов и подсистем.
https://www.opennet.ru/opennews/art.shtml?num=65549

2026-05-27 18:32:01 UTC

Уязвимости в Samba, допускающие удалённое выполнение кода в редких конфигурациях
Представлены корректирующие релизы пакета Samba 4.24.3, 4.23.8 и 4.22.10, предоставляющего открытую реализацию протоколов SMB и Active Directory. В новых версиях устранено 6 уязвимостей, из которых две позволяют удалённому неаутентифицированному атакующему выполнить свой код на сервере.
https://www.opennet.ru/opennews/art.shtml?num=65545

2026-05-26 08:32:01 UTC

Google случайно раскрыл детали неисправленной уязвимости в Chromium
Компания Google случайно открыла публичный доступ к отчёту (общедоступная копия), содержащему детальное пояснение и пример эксплоита для уязвимости, ещё не исправленной в движке Chromium. Уязвимость признана опасной и выявившему проблему исследователю было выплачено вознаграждение в $1000. Информация о проблеме была отправлена ещё в 2022 году и тех пор периодически поднималось, но не доводилось до конца, обсуждение по её исправлению (требовалась реализация новых лимитов на непрерывную загрузку). В одном из таких обсуждений разработчики по ошибке посчитали уязвимость исправленной и открыли публичный доступ к информации, хотя проблема оставалась нерешённой.
https://www.opennet.ru/opennews/art.shtml?num=65491

2026-05-23 16:32:01 UTC

При помощи AI-модели Mythos выявлены 23 тысячи уязвимостей в открытом ПО
Компания Anthropic подвела первые итоги тестирование предварительного варианта AI-модели Mythos, в которой были существенно расширены возможности по поиску ошибок, выявлению уязвимостей и написанию готовых эксплоитов. Компания Anthropic провела сканирование при помощи AI-модели Mythos более тысячи важных открытых проектов, в ходе которого было выявлено 23019 уязвимостей. 6202 уязвимостям был назначен высокий или критический уровень опасности.
https://www.opennet.ru/opennews/art.shtml?num=65515

2026-05-22 20:32:01 UTC

GRO Frag - седьмая уязвимость класса Copy Fail, предоставляющая права root в Linux
В открытом доступе размещён эксплоит для седьмой уязвимости (1, 2-3, 4, 5, 6) в ядре Linux, позволяющей непривилегированному локальному пользователю получить права root, перезаписав данные в страничном кэше. CVE-идентификатор ещё не присвоен, кроме кода эксплоита информации о проблеме пока нет. Исправление доступно только в виде патча, который опубликован 20 мая и 21 мая был принят в основную ветку ядра Linux (корректирующие выпуски ядра ещё недоступны).
https://www.opennet.ru/opennews/art.shtml?num=65504

2026-05-22 20:00:01 UTC

В nginx выявлена вторая за 10 дней удалённо эксплуатируемая уязвимость
Сформированы корректирующие выпуски nginx 1.31.1 и 1.30.2, в которых устранена критическая уязвимость (CVE-2026-9256), позволяющая удалённо добиться выполнения кода с правами рабочего процесса nginx через отправку специально оформленного HTTP-запроса. Выявившие проблему исследователи продемонстрировали рабочий эксплоит, который будет опубликован вместе с полным описанием спустя 30 дней после исправления. Уязвимость получила кодовое имя nginx-poolslip. Проблема проявляется начиная с версии nginx 0.1.17. Для angie и freenginx на момент написания новости исправления не опубликованы.
https://www.opennet.ru/opennews/art.shtml?num=65505

2026-05-22 11:32:02 UTC

Во FreeBSD устранено 4 уязвимости, позволяющие поднять привилегии, и одна удалённая root-уязвимость
Во FreeBSD устранено 7 уязвимостей, среди прочего позволяющих удалённо выполнить код с правами root или повысить свои привилегии в системе. Уязвимости устранены в обновлениях FreeBSD 15.0-RELEASE-p9, 14.4-RELEASE-p5 и 14.3-RELEASE-p14.
https://www.opennet.ru/opennews/art.shtml?num=65497

2026-05-22 07:32:01 UTC

Выпуск Proxmox VE 9.2, дистрибутива для организации работы виртуальных серверов
Опубликован релиз Proxmox Virtual Environment 9.2, специализированного Linux-дистрибутива на базе Debian GNU/Linux, нацеленного на развертывание и обслуживание виртуальных серверов с использованием LXC и KVM, и способного выступить в роли замены таких продуктов, как VMware vSphere, Microsoft Hyper-V и Citrix Hypervisor. Размер установочного iso-образа 1.7 ГБ.
https://www.opennet.ru/opennews/art.shtml?num=65501

2026-05-20 08:32:02 UTC

Релиз Firefox 151
Состоялся релиз web-браузера Firefox 151 и сформированы обновления прошлых веток с длительным сроком поддержки - 140.11.0 и 115.36.0. На стадию бета-тестирования в ближайшее время будет переведена ветка Firefox 152, релиз которой намечен на 16 июня.
https://www.opennet.ru/opennews/art.shtml?num=65481

2026-05-18 21:00:01 UTC

DirtyDecrypt - очередная уязвимость класса Copy Fail, предоставляющая права root в Linux
В ядре Linux выявлена уязвимость, по аналогии с уязвимостями Copy Fail, Dirty Frag и Fragnesia, позволяющая непривилегированному пользователю получить права root, перезаписав данные в страничном кэше. Уязвимости присвоено кодовое имя DirtyDecrypt (проблема также упоминается под именем DirtyCBC). Доступен прототип эксплоита.
https://www.opennet.ru/opennews/art.shtml?num=65473

2026-05-18 08:00:01 UTC

Размер кодовой базы KDE достиг 8 млн строк кода
Корнелиус Шумахер (Cornelius Schumacher), президент организации KDE e.V., проанализировал статистику о размере кодовой базы KDE. Суммартный размер кода библиотек KDE Frameworks, среды рабочего стола KDE Plasma и базового набор приложений KDE Gear составил 8 173 148 строк. Объём кода удвоился по сравнению с 2009 годом (было 4 273 291 строк). Общее число добавленных в репозиторий строк кода, с учётом изменённых и удалённых строк, оценивается в 55 млн.
https://www.opennet.ru/opennews/art.shtml?num=65468

2026-05-16 20:00:02 UTC

На соревновании Pwn2Own в Берлине продемонстрированы взломы RHEL, Windows 11 и AI-агентов
Подведены итоги трёх дней соревнований Pwn2Own Berlin 2026, на которых были продемонстрированы успешные атаки с использованием 47 ранее неизвестных уязвимостей (0-day) в операционных системах, браузерах, AI-системах и платформах виртуализации. При проведении атак использовались самые свежие программы и операционные системы со всеми доступными обновлениями и в конфигурации по умолчанию.
https://www.opennet.ru/opennews/art.shtml?num=65464

2026-05-16 19:16:02 UTC

Новые версии Debian 12.14 и 13.5
Сформировано пятое корректирующее обновление дистрибутива Debian 13, в которое включены накопившиеся обновления пакетов и добавлены исправления в инсталлятор. Выпуск включает 144 обновления с устранением проблем со стабильностью и 103 обновления с устранением уязвимостей. Из изменений в Debian 13.5 можно отметить обновление до свежих стабильных версий пакетов apache2, openssl и systemd. Удалён пакет dav4tbsync, функциональность которого теперь доступна в Thunderbird 140.
https://www.opennet.ru/opennews/art.shtml?num=65462

2026-05-15 05:48:01 UTC

Уязвимость в Linux-подсистеме pidfd, позволяющая прочитать недоступные пользователю файлы
В ядре Linux выявлена четвёртая (1, 2, 3) за последние две недели критическая уязвимость, позволяющая пользователю поднять свои привилегии в системе. Опубликовано два рабочих эксплоита: sshkeysign_pwn даёт возможность непривилегированному пользователю прочитать содержимое закрытых хостовых SSH-ключей /etc/ssh/ssh_host_*_key, а chage_pwn - прочитать содержимое файла /etc/shadow с хэшами паролей пользователей.
https://www.opennet.ru/opennews/art.shtml?num=65452

2026-05-14 17:32:01 UTC

Утверждён перевод JavaScript-платформы Bun на язык Rust
Джарред Самнер (Jarred Sumner), создатель и основной разработчик серверной JavaScript-платформы Bun, признал успешным эксперимент по переписыванию проекта с языка Zig и Rust при помощи AI-ассистента Claude Code, и принял решение о переводе Bun на язык Rust. Переписанный вариант на языке Rust уже принят в основной репозиторий проекта, а код на языке Zig намечен к удалению. Также автор Bun объявил о найме сотрудников для поддержки Bun, имеющих более 5 лет опыта разработки на языках C/C++ и Rust.
https://www.opennet.ru/opennews/art.shtml?num=65448

2026-05-13 11:00:01 UTC

Уязвимость в Exim, приводящая к удалённому выполнению кода на сервере
В почтовом сервере Exim выявлена критическая уязвимость (CVE-2026-45185), позволяющая удалённо добиться выполнения кода на сервере. Проблема проявляется начиная с ветки Exim 4.97 при сборке с библиотекой GnuTLS ("USE_GNUTLS=yes") и устранена в выпуске Exim 4.99.3. Сборки с OpenSSL и другими библиотеками, отличными от GnuTLS, уязвимость не затрагивает.
https://www.opennet.ru/opennews/art.shtml?num=65436

2026-05-13 08:00:01 UTC

Уязвимость в CPU AMD Zen 2, позволяющая повысить привилегии и обойти изоляцию виртуальных машин
Компания AMD раскрыла сведения об уязвимости (CVE-2025-54518) в процессорах на базе микроархитектуры Zen 2, вызывающей повреждение кэша объектных кодов. Успешная эксплуатация уязвимости позволяет выполнить инструкции CPU на более высоком уровне привилегий. На практике, проблема потенциально позволяет повысить свои привилегии в системе, например, из пространства пользователя добиться выполнения кода с правами ядра или получить доступ к хост-окружению из виртуальной машины.
https://www.opennet.ru/opennews/art.shtml?num=65435

2026-05-12 20:16:01 UTC

В 42 NPM-пакета TanStack интегрирован самораспространяющийся червь
В результате компрометации процесса формирования релизов на базе GitHub Actions в проекте TanStack атакующим удалось опубликовать в репозитории NPM 84 вредоносные версии, охватывающие 42 NPM-пакета из стека TanStack. Некоторые из скомпрометированных пакетов насчитывали более 10 миллионов загрузок в неделю.
https://www.opennet.ru/opennews/art.shtml?num=65432

2026-05-12 15:16:02 UTC

Уязвимости в dnsmasq, допускающие отравление DNS-кэша и выполнение кода с правами root
В пакете Dnsmasq, объединяющем кэширующий DNS-резолвер, сервер DHCP, сервис для анонсов маршрутов IPv6 и систему загрузки по сети, выявлено 6 уязвимостей, позволяющих выполнить код с правами root, перенаправить домен на другой IP, определить содержимое памяти процесса и вызвать аварийное завершение сервиса. Проблемы устранены в выпуске dnsmasq 2.92rel2. Исправления также доступны в форме патчей.
https://www.opennet.ru/opennews/art.shtml?num=65431

2026-05-12 10:32:01 UTC

AI-модель Claude Mythos не продемонстрировала особых достижений при поиске уязвимостей в Curl
Дэниел Cтенберг (Daniel Stenberg), автор утилиты для получения и отправки данных по сети curl, подвёл итог применения AI-модели Claude Mythos для анализа уязвимостей в кодовой базе Curl. По мнению Дэниела, анонсированные компанией Anthropic прорывные возможности AI-модели Claude Mythos в области поиска уязвимостей, из-за которых компания ограничила доступ к модели, являются скорее маркетинговым приувеличением, так как при проверке кода Curl модель не показала существенных преимуществ по сравнению с AI-продуктами от других производителей.
https://www.opennet.ru/opennews/art.shtml?num=65428

2026-05-12 07:00:01 UTC

NVIDIA опубликовала CUDA-oxide, компилятор из Rust в CUDA
Компания NVIDIA опубликовала первый выпуск инструментария CUDA-oxide, позволяющего создавать на языке Rust параллельно исполняемые в GPU ядра CUDA SIMT (Single Instruction, Multiple Threads). Проект позволяет компилировать код на языке Rust, использующий штатную систему типов и модель владения Rust, напрямую в инструкции для выполнения в виртуальной машине CUDA PTX (Parallel Thread Execution) без применения промежуточных предметно-ориентированных языков (DSL) и обвязок. Код инструментария написан на языке Rust и распространяется под лицензией Apache 2.0. Первый выпуск позиционируется как начальная альфа-версия.
https://www.opennet.ru/opennews/art.shtml?num=65426

2026-05-11 07:32:01 UTC

Google увеличил вознаграждение за выявление уязвимостей в Android до $1.5 млн, а в Chrome - до $500 тысяч
Компания Google объявила о расширении программы выплаты вознаграждений за выявление уязвимостей в платформе Android, браузере Chrome и лежащих в их основе компонентах. Максимальный размер премии за создание экплоита для платформы Android, позволяющего добиться выполнения кода на уровне чипа Pixel Titan M2 без выполнения специальных действий пользователем (zero-click), установлен в 1.5 миллиона долларов, если атакующему удастся закрепиться в системе, и 750 тысяч долларов для атак, не устанавливающих постоянный контроль над системой. Дополнительно учреждены премии за извлечение защищённых конфиденциальных данных (до $375 тысяч) и программный обход экрана блокировки (до $150 тысяч).
https://www.opennet.ru/opennews/art.shtml?num=65422

2026-05-10 19:00:01 UTC

Новый reCAPTCHA не позволит пройти проверку на Android-устройствах без сервисов Google
Компания Google анонсировала новое поколение системы отсеивания ботов reCAPTCHA, применяемой на многих сайтах для проверки обращения человеком. В новой реализации reCAPTCHA вместо выбора картинок, соответствующих заданному вопросу, применяется подтверждение через сканирование QR-кода смартфоном. Проблема в том, что в числе требований к смартфонам, которые могут использоваться для прохождения капчи, заявлены относительно новые версии iPhone/iPad, а также устройства с платформой Android c установленным проприетарным пакетом Google Play Services.
https://www.opennet.ru/opennews/art.shtml?num=65420

2026-05-09 08:00:01 UTC

Уязвимость в системном вызове execve, предоставляющая root-доступ во FreeBSD
Во FreeBSD выявлена уязвимость (CVE-2026-7270), позволяющая непривилегированному пользователю выполнить код с правами ядра и получить root-доступ к системе. Уязвимость затрагивает все выпуски FreeBSD, сформированные с 2013 года. В открытом доступе размещён эксплоит, работа которого проверена на системах с FreeBSD 11.0 по 14.4. Уязвимость устранена в обновлениях FreeBSD 15.0-RELEASE-p7, 14.4-RELEASE-p3, 14.3-RELEASE-p12 и 13.5-RELEASE-p13. Для более старых веток можно использовать патч.
https://www.opennet.ru/opennews/art.shtml?num=65408

2026-05-08 11:32:01 UTC

Обновление Firefox 150.0.2. За апрель в Firefox устранено 423 уязвимости
Доступен корректирующий выпуск Firefox 150.0.2, в котором устранено 27 уязвимостей (10 уязвимостей собрано под CVE-2026-8093 и 16 под CVE-2026-8092). Все уязвимости вызваны проблемами при работе с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц. Всем уязвимостям присвоен высокий уровень опасности.
https://www.opennet.ru/opennews/art.shtml?num=65405

2026-05-08 10:32:01 UTC

Скомпрометирован официальный Twitter-канал Ubuntu
Следом за DDoS-атакой на инфраструктуру компании Canonical злоумышленникам удалось получить контроль над каналом Ubuntu в социальной сети X.com (Twitter). В канале Ubuntu был размещён анонс AI-агента Numbat, который преподносился как децентрализованный AI, созданный на базе блокчейна и технологий криптовалюты Solana. Заявлялось, что AI-гент можно протестировать на сайте ai-ubuntu.com, который был зарегистрирован за несколько часов до размещения объявления. Оформление сайта было стилизовано под страницу ubuntu.com/ai, а в тексте использовались факты из анонсированного вице-президентом компании Canonical проекта по интеграции AI-технологий в Ubuntu.
https://www.opennet.ru/opennews/art.shtml?num=65402

2026-05-08 07:00:01 UTC

Уязвимости Dirty Frag, изменяющие страничный кэш для получения root в любых дистрибутивах Linux
В ядре Linux выявлены две уязвимости, по своей сути аналогичные несколько дней назад раскрытой уязвимости Copy Fail, но проявляющиеся в других подсистемах - xfrm-ESP и RxRPC. Серии уязвимостей присвоено кодовое имя Dirty Frag (также встречается упоминание Copy Fail 2). Уязвимости позволяют непривилегированному пользователю получить права root, перезаписав данные процесса в страничном кэше. Доступен эксплоит, работающий во всех актуальных дистрибутивах Linux. Информация об уязвимости раскрыта до публикации исправлений, но есть обходной метод блокирования проблемы.
https://www.opennet.ru/opennews/art.shtml?num=65395

2026-05-06 11:48:02 UTC

Атакующие получили 27 сертификатов, скомпрометировав ПК сотрудников удостоверяющего центра Digicert
Удостоверяющий центр Digicert раскрыл информацию об инциденте с безопасностью, в результате которого злоумышленники смогли получить сертификаты, пригодные для формирования цифровых подписей к драйверам и приложениям для платформы Windows. Атакующие смогли организовать выполнение своего кода на двух компьютерах сотрудников Digicert, отправив в чат службы поддержки сообщения о проблеме c приложением ZIP-архива со скриншотами. Внутри архива был размещён исполняемый файл в формате scr, содержащий вредоносный код.
https://www.opennet.ru/opennews/art.shtml?num=65383

2026-05-05 11:32:02 UTC

Уязвимости в Nix и Lix, позволяющие поднять привилегии в системе
В пакетных менеджерах Nix и Lix выявлена уязвимость, позволяющая выполнить код с правами фонового процесса, который в NixOS и многопользовательских установках выполняется под пользователем root. Проблема (CVE не присвоен) проявляется в фоновом процессе nix-daemon, применяемом для организации доступа непривилегированных пользователей к сборочным операциям и хранилищу пакетов.
https://www.opennet.ru/opennews/art.shtml?num=65364

2026-05-05 06:00:02 UTC

В Apache httpd 2.4.67 устранена уязвимость в HTTP/2, не исключающая удалённое выполнение кода
Представлен релиз HTTP-сервера Apache 2.4.67, в котором устранено 11 уязвимостей и внесено несколько исправлений. Наиболее опасная уязвимость (CVE-2026-23918) вызвана двойным освобождением памяти в модуле mod_http2 и потенциально может привести к удалённому выполнению кода на сервере через манипуляции с протоколом HTTP/2. Уязвимость проявляется только в выпуске 2.4.66. Проблеме присвоен уровень опасности 8.8 из 10.
https://www.opennet.ru/opennews/art.shtml?num=65361

2026-05-04 11:32:02 UTC

Автор Notepad++ потребовал переименовать порт для macOS из-за нарушения товарного знака
Автор открытого редактора кода Notepad++ обратил внимание на появление неофициального порта "Notepad++ for macOS", использующего без разрешения товарный знак Notepad++ и логотип проекта. Порт не имеет никакого отношения к основному проекту, но на своём сайте копирует оформление официального сайта Notepad++, использует на странице загрузки название "Notepad++ 1.0.5", а на странице с информацией о проекте упоминает создателя Notepad++ среди автора порта.
https://www.opennet.ru/opennews/art.shtml?num=65358

2026-05-01 16:16:02 UTC

Доступен дистрибутив Proxmox Backup Server 4.12
Компания Proxmox, известная разработкой продуктов Proxmox Virtual Environment и Proxmox Mail Gateway, опубликовала выпуск дистрибутива Proxmox Backup Server 4.2, который преподносится как готовое решение для резервного копирования и восстановления виртуальных окружений, контейнеров и начинки серверов. Установочный ISO-образ доступен для свободной загрузки. Специфичные для дистрибутива компоненты открыты под лицензией AGPLv3. Для установки обновлений доступен как платный репозиторий Enterprise, так и два бесплатных репозитория, которые отличаются уровнем стабилизации обновлений.
https://www.opennet.ru/opennews/art.shtml?num=65338

2026-05-01 08:32:02 UTC

Microsoft открыл код 86-DOS и PC-DOS под лицензией MIT
Компания Microsoft опубликовала под лицензией MIT исходный код операционных систем 86-DOS 1.00 и PC-DOS 1.00, а также runtime-библиотеки компилятора Microsoft BASIC-86, ассемблер SCP, утилиты CHKDSK и EDLIN. PC-DOS 1.00 примечателен тем, что был первым выпуском DOS для компьютеров IBM PC. Код был восстановлен в рамках проекта по реконструкции кода первых версий DOS для CPU 8086, путём сканирования и транскрибирования архивных бумажных распечаток, созданных в 1981 и 1982 годах.
https://www.opennet.ru/opennews/art.shtml?num=65332

2026-04-29 08:16:02 UTC

Обновления Firefox 150.0.1 и Chrome 147.0.7727.137 с устранением критических уязвимостей
Доступен корректирующий выпуск Firefox 150.0.1, в котором устранено 28 уязвимостей (19 уязвимостей собрано под CVE-2026-7322, 4 под CVE-2026-7323 и 4 под CVE-2026-7324). Все узявимости вызваны проблемами при работе с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц. 19 уязвимостям присвоен критический уровень опасности, подразумевающий возможность исполнения кода атакующего с обходом sandbox-изоляции при открытии специально оформленной web-страницы.
https://www.opennet.ru/opennews/art.shtml?num=65317

2026-04-28 20:16:01 UTC

В Python-пакет elementary-data, имеющий 1.1 млн загрузок в месяц, внедрён вредоносный код
Компания Elementary Data сообщила о компрометации рабочих процессов GitHub Actions, в результате которой атакующие смогли опубликовать в каталоге PyPI и в GitHub-репозитории выпуск пакета elementary-data 0.23.3, в который был внедрён вредоносный код для кражи конфиденциальной информации с систем пользователей. Вредоносный выпуск также был включён в состав официального Docker-образа проекта. В прошлом месяце пакет elementary-data был загружен из репозитория PyPI более 1.1 млн раз.
https://www.opennet.ru/opennews/art.shtml?num=65313

2026-04-25 07:32:01 UTC

В законопроект о верификации возраста CO SB51 добавлено исключение для открытых проектов
Карл Ричелл (Carl Richell), основатель и руководитель компании System76, разрабатывающей дистрибутив Pop!_OS и среду рабочего стола COSMIC, добился внесения поправок в продвигаемый в штате Колорадо законопроект CO SB51 (Colorado Senate Bill 51), определяющий требования по верификации возраста в операционных системах. В текст законопроекта добавлено исключение, выводящее из области действия будущего закона дистрибутивы и приложения, поставляемые под открытыми лицензиями.
https://www.opennet.ru/opennews/art.shtml?num=65283

2026-04-24 08:48:01 UTC

Уязвимость в PackageKit, позволяющая получить права root в разных дистрибутивах Linux
В PackageKit, D-Bus-прослойке, унифицирующей операции управления пакетами, выявлена уязвимость Pack2TheRoot (CVE-2026-41651), позволяющая непривилегированному пользователю установить или удалить произвольный пакет и получить root-доступ к системе. Проблема проявляется начиная с версии 1.0.2 (2014 год) и устранена в выпуске PackageKit 1.3.5.
https://www.opennet.ru/opennews/art.shtml?num=65277

2026-04-24 07:00:01 UTC

В Firefox встроен движок блокирования рекламы adblock-rust, используемый в Brave
В кодовую базу Firefox добавлен движок блокирования рекламы adblock-rust, развиваемый разработчиками браузера Brave. Переход Brave на adblock-rust позволил снизить потребление памяти на 75% по сравнению ранее используемым движком - после замены браузер Brave стал занимать на 45 МБ меньше памяти в конфигурации по умолчанию. Экономия достигается благодаря задействованию вместо структур Vecs и HashMaps формата FlatBuffers для компактного хранения правил блокировки. Движок написан на языке Rust и распространяется под лицензией MPL 2.0.
https://www.opennet.ru/opennews/art.shtml?num=65276

2026-04-23 06:32:01 UTC

Проект WSL9x для запуска современных Linux-ядер в окружении Windows 95
Не связанный с компанией Microsoft энтузиаст реализовал инструментарий WSL9x (Windows 9x Subsystem for Linux), позволяющий запускать современные ядра Linux внутри ядра Windows 95/98/ME. Проект даёт возможность в одной системе бок о бок выполнять приложения для Linux и Windows 9x, по аналогии с тем как прослойка WSL позволяет работать с Linux-приложениями в современных версиях Windows. Поддерживается запуск только консольных Linux-программ. Код компонентов WSL9x написан на Си и ассемблере и распространяется под лицензией GPLv3.
https://www.opennet.ru/opennews/art.shtml?num=65270

2026-04-21 16:00:01 UTC

Релиз Firefox 150 с устранением 359 уязвимостей
Состоялся релиз web-браузера Firefox 150 и сформированы обновления прошлых веток с длительным сроком поддержки - 140.10.0 и 115.35.0. На стадию бета-тестирования в ближайшие часы будет переведена ветка Firefox 151, релиз которой намечен на 19 мая.
https://www.opennet.ru/opennews/art.shtml?num=65260

2026-04-16 12:00:02 UTC

В ядре Linux 7.1 начали удаление поддержки процессоров Baikal
Линус Торвальдс принял в состав ядра Linux 7.1 изменения, удаляющие поддержку контроллеров AHCI SATA и PCIe, применяемых в SoC Baikal-T1. Помимо этого на рассмотрении находятся pull-запросы на удаление связанных с Baikal драйверов таймера, памяти, physmap, шины, hwmon и bt1-rom. В качестве причины удаления упоминается отсутствие сопровождения и незавершённая интеграция в состав ядра компонентов платформы Baikal. Например, отмечается, что драйвер PCIe так и не был доведён до полностью работоспособного состояния.
https://www.opennet.ru/opennews/art.shtml?num=65222

2026-04-16 06:32:01 UTC

5 критических уязвимостей в Chrome. Оценка работающих в Chrome методов скрытой идентификации
Компания Google сформировала обновление Chrome 147.0.7727.101 с исправлением 31 уязвимости, из которых 5 помечены как критические. Критические проблемы позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. Детали пока не раскрываются, известно лишь, что уязвимости вызваны выходом за границы буфера в прослойке ANGLE (трансляция вызовов OpenGL ES в другие графические API) и библиотеке Skia (отрисовка 2D-графики), а также обращениями к уже освобождённой памяти (Use-after-free) в механизме упреждающей отрисовки (Prerender), компонентах для виртуальной реальности (XR) и реализации Proxy-объектов.
https://www.opennet.ru/opennews/art.shtml?num=65219

2026-04-13 20:32:02 UTC

Выпуск браузерного движка Servo 0.1.0, который теперь доступен в форме crate-пакета
Опубликован выпуск браузерного движка Servo 0.1.0 и развиваемого вместе с ним демонстрационного браузера ServoShell, написанных на языке Rust. Готовые сборки сформированы для Linux, Android, macOS и Windows. Помимо отдельных сборок Servo теперь поставляется и в форме crate-пакета, позволяющего использовать движок в форме библиотеки.
https://www.opennet.ru/opennews/art.shtml?num=65197

2026-04-10 14:32:02 UTC

Опасные уязвимости в GStreamer, CUPS, wolfSSL, OpenSSL, OpenClaw, Nix и ядре Linux
Несколько выявленных за последние дни опасных уязвимостей, большинство из которых можно эксплуатировать удалённо.
https://www.opennet.ru/opennews/art.shtml?num=65183