Выпуск сканера сетевой безопасности Nmap 7.99

Обновлены базы идентификаторов приложений, ОС и сервисов. Библиотеки OpenSSL, libpcap, libpcre2 и zlib подтянуты до актуальных версий. Графический интерфейс Zenmap теперь распространяется в универсальном формате whl (Python 3) вместо rpm-пакетов — работать будет на любых системах. На Windows добавили поддержку сканирования через виртуальные VPN-интерфейсы (OpenVPN TAP). В NSE-скрипт http-internal-ip-disclosure добавили поддержку IPv6 и HTTPS.

Linux / Линукс 🥸

Linux / Линукс 🥸

Ubuntu 26.10: ntpd-rs на Rust вместо chrony и резкое сокращение поддержки файловых систем в /boot

В осеннем выпуске Ubuntu 26.10 планируют задействовать ntpd-rs — NTP-сервер на Rust, который уже используется в Let’s Encrypt. Проект станет третьим Rust-компонентом в системе (после Rust Coreutils и sudo-rs). В планах объединить в ntpd-rs поддержку NTP, NTS и PTP, чтобы заменить сразу chrony и linuxptp. Разработку профинансирует Canonical, а сам проект развивает Trifecta Tech Foundation (те же, что сделали sudo-rs).

Параллельно в Canonical хотят сократить количество парсеров в GRUB, чтобы уменьшить поверхность атаки. Из заверенных цифровой подписью сборок GRUB предложено удалить поддержку btrfs, xfs, zfs, hfsplus, jpeg, png, LVM, MD-RAID (кроме raid1) и LUKS для раздела /boot. В инсталляторе Ubuntu /boot всегда ставится на ext4, а другие варианты не тестируются и несут риски обхода верифицированной загрузки.

Шифрование /boot признано бесполезным (security by obscurity) — целостность важнее, а её обеспечивает TPM FDE. На других разделах LUKS, LVM и RAID останутся без изменений.

Linux / Линукс 🥸

Почему она ушла?

Linux / Линукс 🥸

Атака на PyPI-пакет Telnyx

Злоумышленники скомпрометировали учётную запись сопровождающего популярного PyPI-пакета telnyx (756 тысяч загрузок в месяц) и выпустили версии 4.87.1 и 4.87.2. Вредоносные выпуски были доступны около шести часов, после чего их заблокировала администрация PyPI.

В пакет внедрили код, который при импорте загружал звуковые файлы ringtone.wav (Unix) и hangup.wav (Windows). Файлы воспроизводились как обычные звуки, но содержали скрытые вредоносные обработчики (стеганография). На Windows обработчик сохранялся в автозагрузку как msbuild.exe. На Linux и macOS воровал SSH-ключи, токены AWS/GCP/Azure, данные от криптокошельков и пароли к БД. Украденное шифровалось (AES-256-CBC + RSA-4096) и отправлялось на внешний сервер.

Эта атака стала частью более масштабной кампании TeamPCP, в рамках которой ранее скомпрометировали LiteLLM, Trivy, дополнение Checkmarx в OpenVSX и 68 пакетов в NPM.

Linux / Линукс 🥸

Спасибо Гуглу за такую функцию комбинации смайлов 😁

Gnome 🩵

Linux / Линукс 🥸

Выпуск дистрибутива SystemRescue 13.0

Доступен релиз SystemRescue 13.0, специализированного Live-дистрибутива на основе Arch Linux, предназначенного для восстановления системы после сбоя. В качестве графического окружения используется Xfce. Размер iso-образа - 1.3 ГБ (amd64).

В новом выпуске добавлен скрипт для изменения уровня масштабирования для экранов с высокой плотностью пикселей. Решена проблема с показом слишком мелких шрифтов в консоли на экранах HiDPI. В состав включены пакеты fatsort и nss-mdns, а также новая утилита yq для обработки файлов в форматах YAML, XML и TOML. Написанная на Python утилита iotop заменена на iotop-c. Ядро Linux обновлено до ветки 6.18 (ранее поставлялась ветка 6.12). Обновлены версии bcachefs 1.37.3 и GParted 1.8.1.

Linux / Линукс 🥸

Linux / Линукс 🥸

Лидер Ubuntu MATE уходит из проекта

Мартин Вимпрес, сооснователь и лидер Ubuntu MATE, объявил, что его участие в проекте подходит к концу. У него поменялись интересы, пропал энтузиазм и не хватает времени. Он ищет разработчиков, готовых продолжить работу над дистрибутивом и сопровождать пакеты MATE в репозитории Ubuntu.

Ubuntu MATE до сих пор сидит на ветке MATE 1.26 (выпущена в 2021 году), имеет нерешённые проблемы и страдает от нехватки разработчиков. Релизу 26.04 не присвоили статус LTS, а бета-версия так и не была сформирована — хотя для других редакций Ubuntu бета вышла ещё 27 марта. Сама среда MATE находится в стагнации с весны 2024 года.

Linux / Линукс 🥸

Linux / Линукс 🥸

ИИ-агенты могут вернуть свободному ПО его первоначальный смысл

Разработчик Джордж Лондон считает, что с приходом ИИ-агентов свободное программное обеспечение (в понимании Столлмана) снова станет значимым. Если агент может читать, понимать и изменять код, то доступ к исходникам превращается из символического права в реальную возможность для миллионов пользователей.

Лондон напоминает, как в 1990-е свободное ПО (Linux, Apache, MySQL, PHP) стало основой интернета. Затем корпорации подхватили идею, переименовали её в «открытый исходный код» и превратили в удобную методологию разработки, выхолостив философию прав пользователей. GPL не срабатывала для SaaS, и на смену пришли AGPL, SSPL, BSL — попытки закрыть лазейку. Но пользователям стало всё равно.

Сейчас Лондон пытается автоматизировать свой рабочий процесс с помощью ИИ, но упирается в закрытость: у приложения Sunsama нет открытого API, iOS не позволяет программно создавать ярлыки. «Мой агент может написать сервер на TypeScript за секунды, но не может создать пятишаговый ярлык iOS», — пишет он. Если бы Sunsama и iOS были свободным ПО, агент просто прочитал бы исходный код, изменил поведение меню — и всё.

Идея в том, что ИИ-агенты преодолевают разрыв между абстрактным правом и практической возможностью. Четыре свободы Столлмана всегда предполагали, что кто-то прочитает код. В 2026 году это сможет сделать ИИ — и сделает это от вашего имени.

Конечно, самостоятельный хостинг требует ответственности за безопасность, бэкапы и DNS. Но, возможно, появятся новые модели — SaaS с радикальной открытостью, полным API и возможностью запускать пользовательский код. Или же уже в 2027 году агенты научатся не только писать, но и разворачивать софт.

Лондон заключает: маятник качнётся не потому, что люди вдруг полюбят свободу ПО, а потому что они захотят, чтобы их агенты действительно помогали. А агенты не могут помочь, когда программное обеспечение заблокировано.

Linux / Линукс 🥸

Linux / Линукс 🥸

Мобильная платформа ALT Mobile 11.0, построенная на технологиях GNOME

Компания «Базальт СПО» представила ALT Mobile 11.0 — мобильную платформу на пакетной базе репозитория Сизиф (p11) с графической оболочкой Phosh (GNOME + композитный сервер Phoc). Система предназначена для смартфонов, планшетов, терминалов сбора данных, касс и других устройств с сенсорным экраном.

Образы подготовлены для архитектур x86_64 и ARM64. Из коробки поддерживаются PinePhone, PinePhone Pro, PineTab 2, планшеты «MIG» на x86-64, а также портированы на игровые приставки Anbernic, PowKiddy, Retroid (Rockchip, Allwinner, Qualcomm).

Для физических лиц платформа свободна, юридическим для коммерческого использования нужна лицензия (кодовая база открыта полностью). Есть поддержка нескольких пользователей (менеджер входа Phrog), полнодисковое шифрование LUKS, Waydroid для Android-приложений и Wine для Windows-софта. При подключении монитора, клавиатуры и мыши система превращается в полноценную GNOME-рабочую станцию.

В составе — GNOME-приложения (конфигуратор, центр приложений, файловый менеджер), мобильные (Fractal, Foliate, Warp, Livi, Telegram) и собственные разработки ALT Linux Team (Folder Manager, Hashsum, ALT Tweaks).

Linux / Линукс 🥸

Linux / Линукс 🥸

Euro-Office: европейский форк ONLYOFFICE с удалённым логотипом и спором о лицензии

Группа европейских компаний и организаций (Nextcloud, IONOS, Eurostack, XWiki, OpenProject и другие) представила форк офисного пакета ONLYOFFICE под названием Euro-Office. В форке провели ребрендинг и удалили из текста лицензии AGPLv3 дополнительные условия, добавленные разработчиками ONLYOFFICE в 2021 году, которые требовали сохранять оригинальный логотип и содержали отказ от предоставления прав на товарные знаки.

Создатели Euro-Office ссылаются на раздел 7 AGPLv3, разрешающий удалять дополнительные ограничения, не предусмотренные разделами 7(a)–7(f). Они считают, что логотип не относится к обязательному упоминанию авторства, а пункт о товарных знаках избыточен, так как AGPL и так их не предоставляет.

Разработчики ONLYOFFICE (компания Ascensio System) назвали это нарушением лицензии и потребовали немедленно исправить ситуацию. Их юристы настаивают, что право на создание производной работы даётся только на условиях исходной лицензии, включая все её дополнения.

Создатели форка объясняют необходимость отдельного проекта закрытостью и сложностями с внесением изменений в оригинальный ONLYOFFICE: непринятием pull-запросов, размытыми коммитами, обфусцированным кодом, бинарными блобами и тем, что значительная часть разработчиков находится в России, что, по их мнению, подрывает доверие в текущей политической ситуации.

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск Archinstall 4.0

Консольный интерфейс переведён с curses на библиотеку textual, так внешний вид стал современнее, а код проще поддерживать.

Инсталлятор по-прежнему работает в диалоговом (guided) и автоматизированном режимах, поддерживает профили для быстрой установки рабочих столов (KDE, GNOME, Awesome), веб-серверов и СУБД. В новой версии добавили поддержку firewalld в меню межсетевого экрана, переработали сетевую настройку, вынесли обработчики LVM в отдельный модуль и прекратили поддержку NTFS для корневой файловой системы.

Linux / Линукс 🥸

Linux / Линукс 🥸

Claude нашёл 0-day в ядре FreeBSD, Vim и Emacs, причём написал эксплоиты сам

Сотрудники Anthropic с помощью Claude обнаружили и закрыли критическую уязвимость в ядре FreeBSD (CVE-2026-4747). Проблема в модуле kgssapi.ko (RPCSEC_GSS) позволяла удалённо выполнить код на уровне ядра через отправку специальных пакетов NFS-серверу. Исследователи из команды Calif использовали только общий отчёт об уязвимости и за 4 часа работы Claude получили рабочий эксплоит, который разворачивал виртуальную машину, настраивал отладку и в итоге запускал /bin/sh с правами root.

На этом эксперименты не закончились: Claude получил задачу «найди 0-day в Vim, возникающую при открытии файла» и справился. Уязвимость (CVE-2026-34714) в modeline позволяла выполнить произвольный код через опцию tabpanel и автозагрузку unsafe-функции autocmd_add(). Исправлена в Vim 9.2.0272.

В Emacs уязвимость (исправлять отказались) связана с автоматическим запуском git ls-files при открытии файла из каталога с подкаталогом .git/. Через конфигурационный файл config можно подсунуть опцию core.fsmonitor с любой командой. Сопровождающие GNU Emacs указали, что проблема в Git, а не в них.

Дополнительно: use-after-free в libfuse (CVE-2026-33150) и переполнение буфера в liblzma (CVE-2026-34743, исправлено в XZ Utils 5.8.3).

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск набора wayland-protocols 1.48

В категорию staging добавлен протокол xdg-session-management, позволяющий восстанавливать позицию и состояние окон после аварийного завершения композитного сервера или приложения.

В text-input (стабильный) добавили флаг no_emoji, поддержку дополнительных действий, передачу языка, запросы для показа/скрытия панели ввода и настройку стиля предварительного редактирования.

В экспериментальной ветке появились протоколы xx-cutouts (для учёта вырезов под камеру на смартфонах), xx-zones (логическая расстановка окон относительно друг друга) и xx-keyboard-filter (перехват и модификация событий клавиатуры).

Linux / Линукс 🥸