Linux / Линукс 🥸

Мобильная платформа ALT Mobile 11.0, построенная на технологиях GNOME

Компания «Базальт СПО» представила ALT Mobile 11.0 — мобильную платформу на пакетной базе репозитория Сизиф (p11) с графической оболочкой Phosh (GNOME + композитный сервер Phoc). Система предназначена для смартфонов, планшетов, терминалов сбора данных, касс и других устройств с сенсорным экраном.

Образы подготовлены для архитектур x86_64 и ARM64. Из коробки поддерживаются PinePhone, PinePhone Pro, PineTab 2, планшеты «MIG» на x86-64, а также портированы на игровые приставки Anbernic, PowKiddy, Retroid (Rockchip, Allwinner, Qualcomm).

Для физических лиц платформа свободна, юридическим для коммерческого использования нужна лицензия (кодовая база открыта полностью). Есть поддержка нескольких пользователей (менеджер входа Phrog), полнодисковое шифрование LUKS, Waydroid для Android-приложений и Wine для Windows-софта. При подключении монитора, клавиатуры и мыши система превращается в полноценную GNOME-рабочую станцию.

В составе — GNOME-приложения (конфигуратор, центр приложений, файловый менеджер), мобильные (Fractal, Foliate, Warp, Livi, Telegram) и собственные разработки ALT Linux Team (Folder Manager, Hashsum, ALT Tweaks).

Linux / Линукс 🥸

Linux / Линукс 🥸

Euro-Office: европейский форк ONLYOFFICE с удалённым логотипом и спором о лицензии

Группа европейских компаний и организаций (Nextcloud, IONOS, Eurostack, XWiki, OpenProject и другие) представила форк офисного пакета ONLYOFFICE под названием Euro-Office. В форке провели ребрендинг и удалили из текста лицензии AGPLv3 дополнительные условия, добавленные разработчиками ONLYOFFICE в 2021 году, которые требовали сохранять оригинальный логотип и содержали отказ от предоставления прав на товарные знаки.

Создатели Euro-Office ссылаются на раздел 7 AGPLv3, разрешающий удалять дополнительные ограничения, не предусмотренные разделами 7(a)–7(f). Они считают, что логотип не относится к обязательному упоминанию авторства, а пункт о товарных знаках избыточен, так как AGPL и так их не предоставляет.

Разработчики ONLYOFFICE (компания Ascensio System) назвали это нарушением лицензии и потребовали немедленно исправить ситуацию. Их юристы настаивают, что право на создание производной работы даётся только на условиях исходной лицензии, включая все её дополнения.

Создатели форка объясняют необходимость отдельного проекта закрытостью и сложностями с внесением изменений в оригинальный ONLYOFFICE: непринятием pull-запросов, размытыми коммитами, обфусцированным кодом, бинарными блобами и тем, что значительная часть разработчиков находится в России, что, по их мнению, подрывает доверие в текущей политической ситуации.

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск Archinstall 4.0

Консольный интерфейс переведён с curses на библиотеку textual, так внешний вид стал современнее, а код проще поддерживать.

Инсталлятор по-прежнему работает в диалоговом (guided) и автоматизированном режимах, поддерживает профили для быстрой установки рабочих столов (KDE, GNOME, Awesome), веб-серверов и СУБД. В новой версии добавили поддержку firewalld в меню межсетевого экрана, переработали сетевую настройку, вынесли обработчики LVM в отдельный модуль и прекратили поддержку NTFS для корневой файловой системы.

Linux / Линукс 🥸

Linux / Линукс 🥸

Claude нашёл 0-day в ядре FreeBSD, Vim и Emacs, причём написал эксплоиты сам

Сотрудники Anthropic с помощью Claude обнаружили и закрыли критическую уязвимость в ядре FreeBSD (CVE-2026-4747). Проблема в модуле kgssapi.ko (RPCSEC_GSS) позволяла удалённо выполнить код на уровне ядра через отправку специальных пакетов NFS-серверу. Исследователи из команды Calif использовали только общий отчёт об уязвимости и за 4 часа работы Claude получили рабочий эксплоит, который разворачивал виртуальную машину, настраивал отладку и в итоге запускал /bin/sh с правами root.

На этом эксперименты не закончились: Claude получил задачу «найди 0-day в Vim, возникающую при открытии файла» и справился. Уязвимость (CVE-2026-34714) в modeline позволяла выполнить произвольный код через опцию tabpanel и автозагрузку unsafe-функции autocmd_add(). Исправлена в Vim 9.2.0272.

В Emacs уязвимость (исправлять отказались) связана с автоматическим запуском git ls-files при открытии файла из каталога с подкаталогом .git/. Через конфигурационный файл config можно подсунуть опцию core.fsmonitor с любой командой. Сопровождающие GNU Emacs указали, что проблема в Git, а не в них.

Дополнительно: use-after-free в libfuse (CVE-2026-33150) и переполнение буфера в liblzma (CVE-2026-34743, исправлено в XZ Utils 5.8.3).

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск набора wayland-protocols 1.48

В категорию staging добавлен протокол xdg-session-management, позволяющий восстанавливать позицию и состояние окон после аварийного завершения композитного сервера или приложения.

В text-input (стабильный) добавили флаг no_emoji, поддержку дополнительных действий, передачу языка, запросы для показа/скрытия панели ввода и настройку стиля предварительного редактирования.

В экспериментальной ветке появились протоколы xx-cutouts (для учёта вырезов под камеру на смартфонах), xx-zones (логическая расстановка окон относительно друг друга) и xx-keyboard-filter (перехват и модификация событий клавиатуры).

Linux / Линукс 🥸

TDF исключила всех сотрудников Collabora — 45% контрибьюторов LibreOffice

Организация The Document Foundation, курирующая LibreOffice, исключила из своих рядов 43 участника, то есть всех сотрудников компании Collabora и партнёров, включая ключевых разработчиков и сооснователей LibreOffice. В 2025 году сотрудниками Collabora было внесено 45% всех изменений в LibreOffice.

Основатель TDF Итало Виньоли пояснил, что исключение проведено по новому уставу, который запрещает присутствие сотрудников компаний, с которыми ведутся юридические разбирательства. В прошлом, по его словам, участники принимали решения в интересах работодателей, а не фонда. Исключение не означает удаление из сообщества, и сотрудники Collabora могут продолжать разработку в частном порядке.

Представитель Collabora Майкл Микс назвал происходящее неприемлемым — удаление на основе коллективной ответственности и недоказанных юридических опасений. Он упомянул заполнение управляющего совета не вовлечённым в разработку персоналом, трату пожертвований на судебные иски и выборочные претензии по товарному знаку.

Collabora объявила о создании собственной платформы рецензирования на Gerrit и упрощённой версии офисного пакета Collabora Office (без Java, web и БД). Компания продолжит вносить изменения в LibreOffice, но перестанет активно инвестировать в продукты TDF.

Конфликт тянется с 2020 года, когда Collabora создала форк LibreOffice Online (ныне Collabora Online). В 2022 году TDF заморозил оригинальный проект, а в 2026 году новый совет отменил это решение и пытается возродить репозиторий, что в Collabora назвали вандализмом.

Linux / Линукс 🥸

Gentoo выпустил системный образ с ядром GNU Hurd

Проект Gentoo опубликовал экспериментальный образ с ядром GNU Hurd, а также скрипты для самостоятельной сборки. Образ можно запустить в QEMU (логин root, пароль gnuhurdrox). В планах — релизы stage, автоматизированная сборка и паритет с Gentoo Linux на x86-64.

В первоапрельском анонсе также заявили, что ядро Linux было источником нестабильности, а GNU Hurd оказался надёжнее, и к концу 2026 года Gentoo планирует избавиться от Linux. Это, конечно, шутка. А вот образ и скрипты — настоящие.

Linux / Линукс 🥸

Cloudflare представила EmDash, альтернативу WordPress с плагинами в изолированных Worker-ах

Cloudflare опубликовала систему управления контентом EmDash, написанную на TypeScript (фреймворк Astro) под лицензией MIT. Как и WordPress, она поддерживает плагины и шаблоны, но работает на бессерверных платформах и решает две главные проблемы: небезопасную архитектуру плагинов (96% уязвимостей в WordPress) и раздельное управление PHP и JavaScript.

В EmDash плагины запускаются в отдельных изолированных Worker-ах с декларативными правами (например, read:content + email:send — и не больше). Контент хранится не в HTML с комментариями, а в структурированном Portable Text (JSON), отделяющем содержимое от оформления. Это позволяет отрисовывать контент на любых устройствах и в любых форматах.

В базовой поставке три шаблона (блог, маркетинг, портфолио). Поддерживается импорт из WordPress (через WXR, REST API или WordPress.com), включая AI-портирование плагинов и тем. Аутентификация по умолчанию — Passkey (WebAuthn) и OAuth. Есть встроенный MCP-сервер для AI-агентов.

Linux / Линукс 🥸

Вышла новая версия OpenSSH 10.3.

В выпуске устранена уязвимость, позволяющая атакующему, контролирующему имя пользователя, выполнить произвольные shell-команды в системах, где в файле конфигурации ssh_config используется подстановка %u в директивах типа Match exec. Проблема в том, что спецсимволы проверялись уже после %-подстановок.

В sshd исправлена проблема с обработкой списков имён в authorized_keys principals="", когда в именах встречалась запятая, а также ошибка с ключами ECDSA, когда указание одного алгоритма (например, ecdsa-sha2-nistp384) приводило к принятию всех остальных ECDSA-алгоритмов.

В ssh-agent добавили поддержку IANA-спецификации draft-ietf-sshm-ssh-agent (расширение query). В ssh появились escape-команда ~I и опции -O conninfo/-O channels для отображения информации о соединении и каналах. В sshd добавили опцию invaliduser в PerSourcePenalties (задержка 5 секунд для несуществующих пользователей) и GSSAPIDelegateCredentials.

Linux / Линукс 🥸

Linux / Линукс 🥸

Подробности захвата учётных данных сопровождающего NPM-пакет axios

Сопровождающий NPM-пакета axios (один из самых популярных в экосистеме) раскрыл детали атаки, из-за которой на днях были выпущены вредоносные обновления. Всё произошло по классической схеме социального инжиниринга, уже использовавшейся для взлома разработчиков криптокошельков и AI-платформ.

Атакующий выдал себя за основателя известной компании и пригласил сопровождающего в реалистичное рабочее пространство Slack с фейковыми профилями сотрудников и участников других открытых проектов. Затем назначили созвон в MS Teams. Во время встречи «возникли технические трудности» — не хватало какого-то дополнения на стороне жертвы. Сопровождающий установил предложенный компонент, который оказался трояном, открывшим атакующим удалённый доступ к его системе и всем учётным данным.

Linux / Линукс 🥸

Linux / Линукс 🥸

Вышел экспериментальный выпуск Wine 11.6. 🍷

В нем возобновлена работа над драйвером wineandroid, позволяющим запускать Windows-приложения на Android. Добавлена эвристика порядка загрузки DLL для лучшей совместимости с модами игр и продолжена работа над VBScript.

Исправлены аварийные завершения программ, скомпилированных с поддержкой инструкций AVX, и проблема с сохранением настроек .NET-приложений. Закрыты отчёты для Cyberpunk 2077, Diablo IV, Minecraft Windows 10 Edition и других игр, а также для Google Earth Installer, DVDFab и HWiNFO.

Linux / Линукс 🥸

Linux / Линукс 🥸