Claude нашёл 0-day в ядре FreeBSD, Vim и Emacs, причём написал эксплоиты сам

Сотрудники Anthropic с помощью Claude обнаружили и закрыли критическую уязвимость в ядре FreeBSD (CVE-2026-4747). Проблема в модуле kgssapi.ko (RPCSEC_GSS) позволяла удалённо выполнить код на уровне ядра через отправку специальных пакетов NFS-серверу. Исследователи из команды Calif использовали только общий отчёт об уязвимости и за 4 часа работы Claude получили рабочий эксплоит, который разворачивал виртуальную машину, настраивал отладку и в итоге запускал /bin/sh с правами root.

На этом эксперименты не закончились: Claude получил задачу «найди 0-day в Vim, возникающую при открытии файла» и справился. Уязвимость (CVE-2026-34714) в modeline позволяла выполнить произвольный код через опцию tabpanel и автозагрузку unsafe-функции autocmd_add(). Исправлена в Vim 9.2.0272.

В Emacs уязвимость (исправлять отказались) связана с автоматическим запуском git ls-files при открытии файла из каталога с подкаталогом .git/. Через конфигурационный файл config можно подсунуть опцию core.fsmonitor с любой командой. Сопровождающие GNU Emacs указали, что проблема в Git, а не в них.

Дополнительно: use-after-free в libfuse (CVE-2026-33150) и переполнение буфера в liblzma (CVE-2026-34743, исправлено в XZ Utils 5.8.3).

Linux / Линукс 🥸

Linux / Линукс 🥸

Выпуск набора wayland-protocols 1.48

В категорию staging добавлен протокол xdg-session-management, позволяющий восстанавливать позицию и состояние окон после аварийного завершения композитного сервера или приложения.

В text-input (стабильный) добавили флаг no_emoji, поддержку дополнительных действий, передачу языка, запросы для показа/скрытия панели ввода и настройку стиля предварительного редактирования.

В экспериментальной ветке появились протоколы xx-cutouts (для учёта вырезов под камеру на смартфонах), xx-zones (логическая расстановка окон относительно друг друга) и xx-keyboard-filter (перехват и модификация событий клавиатуры).

Linux / Линукс 🥸

TDF исключила всех сотрудников Collabora — 45% контрибьюторов LibreOffice

Организация The Document Foundation, курирующая LibreOffice, исключила из своих рядов 43 участника, то есть всех сотрудников компании Collabora и партнёров, включая ключевых разработчиков и сооснователей LibreOffice. В 2025 году сотрудниками Collabora было внесено 45% всех изменений в LibreOffice.

Основатель TDF Итало Виньоли пояснил, что исключение проведено по новому уставу, который запрещает присутствие сотрудников компаний, с которыми ведутся юридические разбирательства. В прошлом, по его словам, участники принимали решения в интересах работодателей, а не фонда. Исключение не означает удаление из сообщества, и сотрудники Collabora могут продолжать разработку в частном порядке.

Представитель Collabora Майкл Микс назвал происходящее неприемлемым — удаление на основе коллективной ответственности и недоказанных юридических опасений. Он упомянул заполнение управляющего совета не вовлечённым в разработку персоналом, трату пожертвований на судебные иски и выборочные претензии по товарному знаку.

Collabora объявила о создании собственной платформы рецензирования на Gerrit и упрощённой версии офисного пакета Collabora Office (без Java, web и БД). Компания продолжит вносить изменения в LibreOffice, но перестанет активно инвестировать в продукты TDF.

Конфликт тянется с 2020 года, когда Collabora создала форк LibreOffice Online (ныне Collabora Online). В 2022 году TDF заморозил оригинальный проект, а в 2026 году новый совет отменил это решение и пытается возродить репозиторий, что в Collabora назвали вандализмом.

Linux / Линукс 🥸

Gentoo выпустил системный образ с ядром GNU Hurd

Проект Gentoo опубликовал экспериментальный образ с ядром GNU Hurd, а также скрипты для самостоятельной сборки. Образ можно запустить в QEMU (логин root, пароль gnuhurdrox). В планах — релизы stage, автоматизированная сборка и паритет с Gentoo Linux на x86-64.

В первоапрельском анонсе также заявили, что ядро Linux было источником нестабильности, а GNU Hurd оказался надёжнее, и к концу 2026 года Gentoo планирует избавиться от Linux. Это, конечно, шутка. А вот образ и скрипты — настоящие.

Linux / Линукс 🥸

Cloudflare представила EmDash, альтернативу WordPress с плагинами в изолированных Worker-ах

Cloudflare опубликовала систему управления контентом EmDash, написанную на TypeScript (фреймворк Astro) под лицензией MIT. Как и WordPress, она поддерживает плагины и шаблоны, но работает на бессерверных платформах и решает две главные проблемы: небезопасную архитектуру плагинов (96% уязвимостей в WordPress) и раздельное управление PHP и JavaScript.

В EmDash плагины запускаются в отдельных изолированных Worker-ах с декларативными правами (например, read:content + email:send — и не больше). Контент хранится не в HTML с комментариями, а в структурированном Portable Text (JSON), отделяющем содержимое от оформления. Это позволяет отрисовывать контент на любых устройствах и в любых форматах.

В базовой поставке три шаблона (блог, маркетинг, портфолио). Поддерживается импорт из WordPress (через WXR, REST API или WordPress.com), включая AI-портирование плагинов и тем. Аутентификация по умолчанию — Passkey (WebAuthn) и OAuth. Есть встроенный MCP-сервер для AI-агентов.

Linux / Линукс 🥸

Вышла новая версия OpenSSH 10.3.

В выпуске устранена уязвимость, позволяющая атакующему, контролирующему имя пользователя, выполнить произвольные shell-команды в системах, где в файле конфигурации ssh_config используется подстановка %u в директивах типа Match exec. Проблема в том, что спецсимволы проверялись уже после %-подстановок.

В sshd исправлена проблема с обработкой списков имён в authorized_keys principals="", когда в именах встречалась запятая, а также ошибка с ключами ECDSA, когда указание одного алгоритма (например, ecdsa-sha2-nistp384) приводило к принятию всех остальных ECDSA-алгоритмов.

В ssh-agent добавили поддержку IANA-спецификации draft-ietf-sshm-ssh-agent (расширение query). В ssh появились escape-команда ~I и опции -O conninfo/-O channels для отображения информации о соединении и каналах. В sshd добавили опцию invaliduser в PerSourcePenalties (задержка 5 секунд для несуществующих пользователей) и GSSAPIDelegateCredentials.

Linux / Линукс 🥸

Linux / Линукс 🥸

Подробности захвата учётных данных сопровождающего NPM-пакет axios

Сопровождающий NPM-пакета axios (один из самых популярных в экосистеме) раскрыл детали атаки, из-за которой на днях были выпущены вредоносные обновления. Всё произошло по классической схеме социального инжиниринга, уже использовавшейся для взлома разработчиков криптокошельков и AI-платформ.

Атакующий выдал себя за основателя известной компании и пригласил сопровождающего в реалистичное рабочее пространство Slack с фейковыми профилями сотрудников и участников других открытых проектов. Затем назначили созвон в MS Teams. Во время встречи «возникли технические трудности» — не хватало какого-то дополнения на стороне жертвы. Сопровождающий установил предложенный компонент, который оказался трояном, открывшим атакующим удалённый доступ к его системе и всем учётным данным.

Linux / Линукс 🥸

Linux / Линукс 🥸

Вышел экспериментальный выпуск Wine 11.6. 🍷

В нем возобновлена работа над драйвером wineandroid, позволяющим запускать Windows-приложения на Android. Добавлена эвристика порядка загрузки DLL для лучшей совместимости с модами игр и продолжена работа над VBScript.

Исправлены аварийные завершения программ, скомпилированных с поддержкой инструкций AVX, и проблема с сохранением настроек .NET-приложений. Закрыты отчёты для Cyberpunk 2077, Diablo IV, Minecraft Windows 10 Edition и других игр, а также для Google Earth Installer, DVDFab и HWiNFO.

Linux / Линукс 🥸

Linux / Линукс 🥸

Вышел релиз платформы для обмена файлами и совместной работы OpenCloud 6.0

Это форк ownCloud Infinite Scale (OCIS), серверная часть которого переписана с PHP на Go под лицензией Apache 2.0. Проект позиционируется как открытая альтернатива Microsoft SharePoint, Google Drive и Dropbox с упором на качественную работу с файлами и соответствие GDPR.

В новой версии в web-интерфейсе появилась функция «Избранное» — важные файлы помечаются звёздочкой и собираются на отдельной странице, информация хранится на сервере и не привязана к клиенту. Добавлено расширение «Калькулятор»: можно вычислять математические выражения прямо в строке поиска. А расширение «Pastebin» упрощает обмен текстом — предоставленные элементы автоматически сохраняются в скрытом каталоге .space.

Система поддерживает WebDAV, gRPC, Microsoft Graph API, интеграцию с Collabora Online, ICAP для антивирусной проверки, полный аудит и откат версий. Доступны десктоп-клиенты (Windows, macOS, Linux), мобильные приложения и веб-интерфейс на Vue.js.

Linux / Линукс 🥸

Какой дистрибутив можно подставить к третьей картинке?

Linux / Линукс 🥸

Лидером Debian впервые станет женщина. Вопрос возраста в Debian пока открыт

В этом году на пост лидера проекта Debian претендует только один кандидат — Шрути Чандран (участница из Индии в проекте с 2016 года, поддерживает 194 пакета, организатор DebConf и член команды Outreach). Голосование идёт до 17 апреля, но исход предрешён. В планах Шрути делегирование части задач помощникам, создание курса по Debian для студентов, предустановка Debian на ноутбуки и более доброжелательная коммуникация в сообществе.

Действующий лидер Андреас Тилле, решивший не переизбираться, также поделился мнением о законах по верификации возраста (Калифорния, Бразилия). Ситуация с их применимостью к некоммерческому проекту добровольцев пока неясна, идёт юридическая оценка SPI. Debian готов интегрировать необходимые API для производных дистрибутивов, но функциональность будет опциональной и не навязывается пользователям из стран без таких законов.

Напомним, в systemd уже добавили поле birthDate в userdb и опцию --birth-date в homectl — для использования через xdg-desktop-portal или AccountsService.

Linux / Линукс 🥸

Linux / Линукс 🥸

В KDE реализован Wayland-протокол для дробного масштабирования и улучшена поддержка Vulkan

В свежем отчёте о разработке KDE показали, что готовится в Plasma 6.7 (релиз в июне). В KWin добавили поддержку экспериментального Wayland-протокола xx-fractional-scale-v2, который решает проблему зазоров между окном и панелью на экранах с высокой плотностью пикселей. Протокол вводит коэффициент масштабирования, связывающий логические и пиксельные координаты, и позволяет работать с дробными значениями без артефактов.

Продолжается реализация Vulkan в DRM-бэкенде — ожидается прирост производительности на конфигурациях с несколькими GPU. На этой неделе добавили загрузку текстур из GPU в CPU, обработчик преобразования форматов в QImage и интеграционные тесты. Всё проверяли на системе с NVIDIA RTX 5070 Ti и драйвером 595.58.03.

Упрощён интерфейс QR-кода в виджете буфера обмена (кнопка копирования теперь в заголовке). Повышена точность позиционирования виджетов на рабочем столе. Всплывающие подсказки теперь следуют активной теме оформления. Улучшен эффект Mouse Marks на сенсорных экранах — поддерживается рисование нескольких линий одновременно.

В Task Manager и System Tray удалили опцию «крупные иконки для тачскринов» — она работала криво и ломала отображение.

Linux / Линукс 🥸

Linux / Линукс 🥸

Arch Linux перевёл iptables на бэкенд nft по умолчанию

Разработчики Arch Linux объявили, что теперь по умолчанию задействован пакет iptables-nft, транслирующий правила в байткод nftables. Классический iptables остался в виде опции в пакете iptables-legacy.

Для большинства систем изменение пройдёт незаметно, но могут пострадать конфигурации, завязанные на нетипичные расширения xtables. При проблемах рекомендуется откатиться на iptables-legacy, а файлы правил /etc/iptables/*.rules.pacsave стоит проверить вручную.

Linux / Линукс 🥸