Разработчики VideoLAN представили первый предварительный выпуск библиотеки dav2d, альтернативного свободного декодировщика для формата AV2 (преемник AV1 от альянса AOMedia).

Код на C с ассемблерными вставками под лицензией BSD, поддерживаются x86, x86_64, ARM64, Loongarch, PPC и RISC-V.

dav2d позиционируется как самый быстрый декодировщик AV2 для всех поддерживаемых платформ и призван компенсировать отсутствие аппаратных декодеров на раннем этапе внедрения кодека. По архитектуре и целям похож на dav1d (AV1), часть кода перенесена. Будет поддерживать все возможности AV2 (расширенные виды субдискретизации, глубину цвета). Проект пока не рекомендован для production — финальная спецификация AV2 ещё не утверждена.

Linux / Линукс 🥸

Если бы у FreeBSD был такой маскот, стало ли бы у него больше последователей?

Linux / Линукс 🥸

Каталогизатор книг MyLibrary 5.0 перешёл на Qt6 и новый тип базы данных

Программа каталогизирует книги в форматах fb2, epub, pdf, djvu, odt, txt, md (включая архивы zip, 7z, rar и др.) и создаёт собственную базу данных, не изменяя исходные файлы. Поддерживается поиск по автору, названию, серии, жанру, чтение через системную программу, отображение аннотации и обложки, заметки к книгам. Возможна работа с коллекциями через SMB (монтируемые gvfs/kio-fuse).

В новой версии проект переведён на новый тип базы данных (коллекции, закладки, заметки). Старые базы загружаются в режиме ограниченной функциональности (без редактирования) и автоматически преобразуются при изменении заметок или закладок. Графический интерфейс переведён на Qt6.

В коллекцию теперь можно добавлять произвольный набор папок и файлов. Добавлена функция создания коллекций из inpx-файлов (содержимое загружается «на лету», режим ограниченной функциональности). Обновление коллекций: устаревшие и inpx преобразуются в нативные, при быстром обновлении проверяются размеры файлов, при обычном — хеш-суммы.

API библиотеки MLBookProc и плагинов переработан. Отключено создание PDF-документации, вместо неё man-страницы (html-документация осталась). Для сборки требуется C++20 и OpenMP. Обновлён плагин MLFBDPlugin (Qt6) и выпущен первый плагин MLArchiverPlugin (создание и редактирование архивов). MLInpxPlugin переведён в архив (функциональность в основной программе).

Linux / Линукс 🥸

🎮 РКН взялся за геймдев... ИГОР ТОНЕТ

С начала 2026 года РКН массово потащил в московские суды Electronic Arts (Battlefield, FIFA, Sims), Take-Two (GTA, RDR), Epic Games (Unreal Engine, Fortnite) и еще пачку студий.

Официальный повод - статья 13.11 КоАП РФ. РКН требует, чтобы базы персональных данных (айпишники, почты, привязки карт и логи сессий) российских игроков физически хранились на серверах внутри страны. Зарубежные издатели, которые еще пару лет назад свернули тут все легальные продажи, предсказуемо забили болт.

В расстрельный список, помимо всех, попала студия Battlestate Games (она пилит Escape from Tarkov). Разрабы из Питера (основной офис), делающие игру про суровые российские реалии, юридически зарегистрированы в Британии.

Вопрос... а будет ли переход от штрафов к блокировке игровых серверов авторизации и матчмейкинга? 😭 Ведь если завернуть игру в туннель, то появляются не малые вероятности получить дикий оверхед на шифрование, потери пакетов и дикий пинг 😶

Глава Минцифры в марте:

Игры будут поддерживаться, если их разместят на IT-инфраструктуре внутри страны.

Практика блокировок уже обкатывается (привет Roblox). Если РКН дернет рубильник над эндпоинтами Steam, EA App или Epic Store... то и ИГОР НЕ БУДЕТ. Точнее, они будут, но уже не те или строго оффлайновые, скачанные с торрентов, как в старые добрые нулевые 🏴‍☠️

Hamachi, локальные районные сервера... VK Play 👴

Типичный 🥸 Сисадмин

Автор платформы Bun проводит эксперимент по переписыванию с Zig на Rust

Джарред Самнер, создатель JavaScript-платформы Bun, создал Git-ветку для переписывания Bun с Zig на Rust с помощью AI-ассистента Claude (эксперимент, не официальный порт). Цель — оценить работоспособность, прохождение тестов, сложность сопровождения и провести сравнительное тестирование. Причины экспериментов: утечки памяти в Bun и неприемлемая для крупных проектов политика Zig по внесению изменений, нарушающих совместимость.

В проекте Zig действует жёсткий запрет на использование LLM для подготовки PR, issue и комментариев (негативный опыт: бессмысленные изменения, AI-галлюцинации, раздутые коммиты). Zig также позиционируется как проект, ориентированный на развитие участников, а не на вклад. Самнер с этим не согласен: он считает, что AI-слоп останется пережитком 2025–2026 годов и в будущем разработка ОС эволюционирует до запрета кода от людей — роль людей будет в обсуждении проблем, а писать и отправлять код будут AI.

Из-за запрета AI разработчики Bun поддерживают собственный форк компилятора Zig, в котором благодаря AI ускорили компиляцию в 4 раза (распараллеливание семантического анализа). Разработчики Zig отвергли эти патчи: распараллеливание затрагивает не только компилятор, но и язык, и требует внесения изменений в сам Zig. Вместо этого они развивают инкрементальную компиляцию.

Linux / Линукс 🥸

Linux / Линукс 🥸

Доля Linux в Steam достигла 4.52% в апреле, а Valve опубликовала CAD-файлы корпуса Steam Controller под CC BY-NC-SA 4.0

Согласно апрельскому отчёту Steam, доля активных пользователей на Linux составила 4.52% (в марте было 5.33%, в феврале 2.23%). Среди Linux-систем лидирует SteamOS Holo (23.05%), далее Linux Mint (8.98%), Arch (8.78%), CachyOS (8.37%), Ubuntu (7.47%), Bazzite (4.74%), Fedora (3.15%).

Компания также выпустила чертежи, модели и проектные данные корпуса игрового контроллера Steam Controller и док-станции Steam Controller Puck. Файлы в форматах STP и STL распространяются под лицензией CC BY-NC-SA 4.0, то есть разрешается копирование, распространение, использование в своих проектах и создание производных работ с указанием авторства, сохранением лицензии и только в некоммерческих целях.

Linux / Линукс 🥸

Linux / Линукс 🥸

После DDoS-атаки злоумышленники взломали официальный X-аккаунт Ubuntu

Канадские хакеры, предположительно связанные с группировкой «313 Team», ранее атаковавшие инфраструктуру Canonical с помощью DDoS, перешли к новому этапу. Им удалось получить контроль над официальным аккаунтом Ubuntu в соцсети X (ранее Twitter).

Злоумышленники разместили от имени компании объявление о запуске AI-агента «Numbat», якобы построенного на блокчейне Solana. Пользователей призывали перейти на поддельный сайт ai-ubuntu. com, стилизованный под официальный портал Ubuntu AI. Для правдоподобия мошенники использовали реальные факты из анонсированного ранее проекта Canonical по интеграции искусственного интеллекта в дистрибутив.

Фальшивый аккаунт уже удалил вредоносные сообщения, а Cloudflare помечает фишинговый сайт как опасный. Canonical пока не дала официальных комментариев о причинах взлома своих страниц в соцсетях, однако основной инфраструктуре дистрибутива ничего не угрожает.

Linux / Линукс 🥸

Типичный день на кедах

Linux / Линукс 🥸

Новая пара уязвимостей в ядре Linux позволяет получить root через подмену страничного кэша

В ядре Linux выявлены две уязвимости, объединённые кодовым именем Dirty Frag (также Copy Fail 2). Они позволяют локальному непривилегированному пользователю получить права root, перезаписав страничный кэш любого файла (включая suid-исполняемые).

Dirty Frag охватывает две разные уязвимости: первая в модуле xfrm-ESP, используемом для ускорения операций шифрования в IPsec с использованием протокола ESP (Encapsulating Security Payload), а вторая в драйвере RxRPC, реализующем семейство сокетов AF_RXRPC и одноимённый RPC-протокол, работающий поверх UDP.

Обе вызваны небезопасным использованием функции splice(), передающей ссылки на страничный кэш без проверки смещений. Эксплуатация: чтение исполняемого файла suid root (/usr/bin/su) → подмена 4 байт в кэше → запуск «su» выполнит изменённый код с правами root.

Автор комбинированного эксплоита (проверен на Ubuntu 24.04.4, RHEL 10.1, openSUSE Tumbleweed, CentOS Stream 10, AlmaLinux 10, Fedora 44). В качестве обходного пути защиты можно заблокировать загрузку модулей ядра esp4, esp6 и rxrpc:

   sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

Linux / Линукс 🥸

Если бы линуксоиды стали гусеницами

Linux / Линукс 🥸

Предложен killswitch для ядра Linux: отключение уязвимых функций на лету до установки патча

Саша Левин (NVIDIA, мэйнтейнер LTS-веток и консультативный совет Linux Foundation) подготовил набор патчей, реализующих механизм killswitch для ядра. Killswitch позволяет мгновенно отключить доступ к определённой функции работающего ядра. Пример: для блокировки уязвимости Copy Fail достаточно выполнить

echo "engage af_alg_sendmsg -1" > /sys/kernel/security/killswitch/control

Теперь вызов функции будет возвращать -1 вместо выполнения.

Управление через /sys/kernel/security/killswitch/control. Можно отключать функции по именам, поддерживаемым kprobes. Механизм особенно актуален, когда эксплоит появляется раньше исправления (как произошло с Dirty Frag). Для многих функций (AF_ALG, ksmbd, nf_tables, vsock, ax25) временное отключение безопаснее работы с известной неисправленной уязвимостью.

Linux / Линукс 🥸

Linux / Линукс 🥸

Во FreeBSD нашли опасную уязвимость в execve (CVE-2026-7270) (получение root через переполнение буфера)

Во FreeBSD выявлена уязвимость (CVE-2026-7270) в системном вызове execve, присутствующая во всех выпусках с 2013 года. Проблема в неверном составлении математического выражения при копировании аргументов скрипта (знак + вместо -), что приводит к переполнению буфера. Эксплойт перезаписывает структуру exec_map процесса sshd, подменяя переменную окружения на LD_PRELOAD=/tmp/evil.so, выполняет библиотеку, создающую suid-файл /tmp/rootsh, и запускает его от root. Вероятность успеха с первой попытки — 0,6%, но повторение атаки на 4-ядерной системе достигает цели в среднем за 6 секунд. Исправления доступны для FreeBSD 15.0-RELEASE-p7, 14.4-RELEASE-p3, 14.3-RELEASE-p12 и 13.5-RELEASE-p13.

Другие уязвимости во FreeBSD:
▪️ libnv: переполнения буфера при обработке IPC-сообщений (CVE-2026-35547) и переполнение стека из-за select() (CVE-2026-39457).
▪️ dhclient: удалённое переполнение буфера (CVE-2026-42512) и подстановка директив в dhclient.conf (CVE-2026-42511).
▪️ pf: переполнение стека при разборе пакетов SCTP (CVE-2026-7164).
▪️ pmap_pkru_update_range: неверная обработка больших страниц памяти позволяет непривилегированному пользователю перезаписать защищённую память (CVE-2026-6386).
▪️ TIOCNOTTY: use-after-free, ведущий к root (CVE-2026-5398).

Linux / Линукс 🥸

Linux / Линукс 🥸

KDE Plasma 6.7: новый движок стилей Union на CSS и ускорение программной отрисовки

В свежем отчёте о разработке KDE показали, что готовится в Plasma 6.7 (релиз в июне, ветка на стадии мягкой заморозки). Главное — новый движок стилей Union, предоставляющий унифицированную систему обработки стилей. Union разделён на три слоя: входные плагины (разбор SVG/CSS), промежуточная библиотека (модель данных) и выходные плагины (отрисовка для QtQuick/Qt Widgets). По умолчанию входной формат меняют на CSS вместо SVG. Новая реализация темы Breeze на CSS уже готова.

В KWin оптимизировали программную отрисовку (CPU), что критично для QtWidgets-приложений. В KDevelop указатель стал плавным, а нагрузка на CPU при прокрутке снизилась с 80–90% до 20%. Добавлена эвристика для прямого вывода (direct scan-out) в полноэкранных окнах и возможность выставлять ICC-профиль с включённым HDR.

Для многих ноутбуков с AMD можно отключить адаптивную модуляцию подсветки (или настроить вручную). В Discover улучшили выявление дублирующихся приложений (системные пакеты vs Flatpak). В Info Center температура выводится в единицах из системных настроек. В Kickoff можно удалять приложения из «Избранного», перетаскивая ярлык за пределы виджета.

Linux / Линукс 🥸

Linux / Линукс 🥸

Debian обязал все новые пакеты поддерживать воспроизводимые сборки

Команда релизов Debian объявила: воспроизводимая пересборка пакетов стала обязательной. В сборочную систему внесены изменения, блокирующие перенос новых пакетов, не поддерживающих воспроизводимую сборку. В репозитории testing также запрещено обновление пакетов с регрессиями.

В Debian 13 (36 427 исходных пакетов) уровень повторяемых сборок — 96,9% (x86_64) и 96,8% (ARM64). В testing провалены тесты для 1141 пакета (3%), у 7952 пакетов (21%) возникли общие проблемы при компиляции.

Воспроизводимые сборки позволяют убедиться, что распространяемые бинарные файлы собраны из исходных текстов без скрытых изменений (компрометация компилятора или сборочной инфраструктуры).

Linux / Линукс 🥸

Новый reCAPTCHA требует Google Play Services: устройства без них (GrapheneOS, старые iPhone) не пройдут проверку

Google анонсировала новое поколение reCAPTCHA, заменяющее выбор картинок на сканирование QR-кода смартфоном. Для прохождения требуется устройство с относительно новыми версиями iOS/iPadOS (не ниже 16.4) или Android с проприетарным пакетом Google Play Services. Альтернативные прошивки без сервисов Google (например, GrapheneOS) и iPhone старше 16.4 не смогут пройти проверку.

Технически метод основан на API Play Integrity (Android) и App Attest (Apple) — аттестации аппаратного обеспечения, подтверждающей, что устройство не модифицировано и сертифицировано.

GrapheneOS считает, что это подавление конкуренции и попытка построения дуополии Apple/Google. Формально в GrapheneOS можно запустить Google Play Services в изолированном sandbox-окружении, но Google блокирует Play Integrity на таких устройствах, так как проект не лицензировал Google Mobile Services и отказывается выполнять антиконкурентные правила, уже признанные незаконными в Южной Корее.

Вот так, проприетарные интырнеты, в которые чтобы зайти, нужно иметь строго проприетарный смартфон со строго определёнными характеристиками...

Linux / Линукс 🥸