Фонд Omarchy получил обязательства на $14,95 млн для разработки Linux

автор Ruby on Rails Давид Хейнемейер Ханссон объявил о расширении финансирования Omacom Foundation, который поддерживает дистрибутив Omarchy Linux. Общая сумма обязательств составляет $14,95 млн и включает денежные взносы, будущие платежи и токен-кредиты для ИИ-инструментов.

по $1 млн передали Брайан Армстронг из Coinbase, Юньцзе Дай из TapTap, Дрю Хьюстон из Dropbox и Питер Штайнбергер из OpenClaw. Отдельно 1Password и 37signals обязались платить по $100 тысяч в год три года. Токен-кредиты предоставлены на $1,95 млн от нескольких ИИ-компаний, в том числе Anthropic, OpenAI и Fireworks по $150 тысяч.

фонд объявил о поддержке Hyprland, Quickshell и mise, компонентов Omarchy. Сопровождающий подсистемы PCI в ядре Linux Кшиштоф Вильчинский нанят на полную ставку для работы над пакетом с ядром. Установочный образ Omarchy 4.0 за 18 дней скачали больше 200 тысяч раз.

Nitter продолжит работу, публичные серверы обещают вернуть для чтения X

разработчик Nitter, свободного интерфейса для чтения X без JavaScript и рекламы, обновил README: после консультации с юристами проект продолжится, подробности объявят позже. На главной странице nitter.net 7 сентября также сообщили о планах вернуть этот и другие публичные серверы и выпустить анонс в течение недели.

компания X Corp 24 августа разослала требования закрыть серверы Nitter и репозиторий проекта. После этого nitter.net ушёл в офлайн, а разработка остановилась. На каком основании проект теперь продолжает работу, автор пока не объяснил.

обещание вернуться ещё не означает, что каждый сервер снова доступен. Полного списка работающих адресов в анонсе нет. Чем Nitter отличается от обычного сайта X и какие ограничения зависят от конкретного сервера, разобрали на сайте.

libheif закрыла шесть уязвимостей в обработке файлов HEIF и AVIF

версия 1.23.4 библиотеки libheif закрывает шесть уязвимостей, включая три с высокой оценкой. Библиотеку используют для обработки HEIF и AVIF. Выпуск заявлен как совместимая по ABI замена 1.23.3, поэтому обновление сохраняет двоичный интерфейс.

в одной из ошибок лимит max_items не применялся к дочерним элементам iinf. В тестах файл на 23 МБ занимал 1,5 ГБ памяти уже при чтении, до декодирования изображения. В WebAssembly значение из файла также влияло на выделение памяти в стеке и могло приводить к сбою модуля.

другие ошибки затрагивали декодирование: рекурсивную проверку ссылок и взаимную блокировку потоков при параллельной обработке тайлов. Эти сбои происходят уже при обработке содержимого изображения. Условия срабатывания и исправления разобрали на сайте.

D2 стал некоммерческим и планирует редактор диаграмм с работой офлайн

автор языка диаграмм D2 сообщил, что проект переходит под фискальное спонсорство Hack Club. Компания закрывается, а D2 продолжится как полностью открытый некоммерческий проект. До сих пор его финансировали закрытый редактор D2 Studio и алгоритм раскладки TALA; об их выпуске автор обещает отдельные сообщения.

автор остаётся сопровождающим с ограниченным временем и ищет других мейнтейнеров. Качественные вклады могут привести к оплачиваемому контракту за счёт пожертвований. В своих правках и ревью он планирует использовать ИИ, а посты и сообщения продолжит писать сам.

среди планов есть изометрический рендерер, транспиляторы из других языков диаграмм и система плагинов. Серверные функции поддерживать не будут: в списке исключений MCP, API, аккаунты и серверный рендеринг. D2 Studio должен стать полностью клиентским редактором с работой офлайн.

Файл на 3 КБ загружает процессор через Excelize почти на минуту

для Go-библиотеки Excelize опубликовали описание отказа в обслуживании с оценкой 7,5. Если первые восемь байт совпадают с сигнатурой OLE, библиотека начинает обработку шифрованного файла, даже когда пароль не задан. Число итераций выработки ключа берётся из поля spinCount без верхней границы.

в тесте файл на 3 072 байта со значением 100 000 000 занимал вызов OpenFile на 58,65 секунды в версии 2.11.0. Затем библиотека возвращала ошибку формата. На этом пути нет context.Context: таймаут HTTP-запроса сам по себе не прекращает вычисления.

уязвимы версии с 2.3.1 по 2.11.0, исправленной версии в уведомлении нет. Пример с обычным spinCount 100 000 выполнялся за 61 миллисекунду. Ограничения проверки входного файла и способы изолировать обработку загрузок разобрали на сайте.

Firefox планирует включить Nova по умолчанию, вид вкладок изменится

разработчики Mozilla планируют сделать Nova интерфейсом по умолчанию в Firefox 157 с выходом 29 сентября, пишет OMG! Ubuntu. Срок ещё может измениться. Редизайн включает скруглённые вкладки и адресную строку, отдельную цветную область для панелей, новые пиктограммы и фиолетовые оттенки. Компактный режим вернули после его удаления из ранних сборок.

проверить текущую реализацию можно через about:config: параметр browser.nova.enabled со значением true включает Nova. В стабильной ветке вариант отличается от финального, ближе к нему Nightly. Значение false возвращает прежний вид, пока флаг существует.

изменения панелей затрагивают пользовательские стили userChrome.css. Что входит в редизайн и какие замечания оставляют тестеры, разобрали на сайте.

Cloud in a Bottle запускает личные веб-приложения с единым входом

команда Imbue представила Cloud in a Bottle, открытую платформу для веб-приложений на собственном сервере. В основе Ubuntu с веб-сервером и панелью управления. Приложения работают в контейнерах без прав root, а вход в свой сервер одновременно открывает доступ к приложениям без отдельных аккаунтов.

платформа позволяет выдавать приложениям разрешения на обмен данными. Для хранения доступны постоянное, временное и архивное пространства; архив можно разместить в S3-совместимом хранилище. Так данные приложений остаются в инфраструктуре, которую выбирает владелец сервера.

проект тестировали приватно больше шести месяцев. Авторы заявляют об отсутствии телеметрии и предлагают как самостоятельную установку, так и управляемый вариант с кредитом $10. Каталог приложений пока небольшой: ранним пользователям может понадобиться самостоятельно искать или адаптировать программы.

Microsoft показала Windows для разработки с готовыми Git, WSL и Python

компания Microsoft анонсировала Project Zenith, конфигурацию Windows 11 для компьютеров с единой памятью от 64 ГБ и пропускной способностью от 250 ГБ/с. Первыми должны стать устройства на платформе AMD Ryzen AI Halo.

в комплект входят VS Code, GitHub Copilot, PowerToys, PowerShell 7, Git, GitHub CLI, Azure CLI, Python 3.14, uv, Node 24, WSL 2 с Ubuntu и .NET 10. Терминал и VS Code закреплены на панели задач. В Проводнике включены расширения, скрытые файлы и полный путь; в системе разрешены длинные пути.

компания связывает объём памяти с возможностью запускать локальные модели более чем на 30 млрд параметров. Цены и дата продаж в анонсе не названы. Состав предустановленного ПО, настройки и ограничения единой памяти разобрали на сайте.

Apache Ant закрыл запись файлов за пределами папки при скачивании

в Apache Ant 1.10.18 исправили CVE-2026-78254: задачи ftp и scp принимали относительные пути от удалённого сервера и могли записывать файлы за пределами каталога назначения. Перезапись ограничивалась правами пользователя, от которого запущен Ant. Уязвимы версии с 1.2 по 1.10.17.

для атаки нужен вредоносный или подменённый сервер. В случае scp и ftps атакующему также требуется пройти проверку ключа хоста или сертификата. Авторы уведомления оценили серьёзность как умеренную.

начиная с 1.10.18 обе задачи по умолчанию запрещают такую запись. Возможность отключить защиту оставили для сборок, которые полагаются на прежнее поведение. Обновление меняет именно обработку путей при получении файлов с сервера.

GrapheneOS готовит вставку текста без доступа приложения к буферу

команда GrapheneOS рассказала о переводе встроенного приложения «Сообщения» на интерфейс Compose. Остальные базовые приложения Android планируют обновлять или заменять. В планах также RCS со сквозным шифрованием: сейчас ради RCS пользователям приходится устанавливать Google Messages и выдавать ему разрешения.

отдельно разработчики сообщили о готовой функции secure paste, которую планируют вскоре включить в GrapheneOS. Она должна позволить запретить приложению доступ к буферу и вставлять текст через системный механизм по действию пользователя.

это даст возможность передать выбранный текст без обычного чтения буфера самим приложением. Функция ещё ожидает включения; считать её уже работающей защитой скопированных паролей и кодов пока нельзя.

NetBSD выпустила последний релиз ветки 9 и завершила её поддержку

команда NetBSD выпустила версию 9.5, пятый и финальный релиз стабильной ветки 9. В него вошли отобранные исправления безопасности и стабильности, накопившиеся с NetBSD 9.4 в апреле 2024 года. Полная совместимость с NetBSD 9.0 сохранена.

одновременно завершена поддержка всех выпусков 9.x и ветки netbsd-9. Поэтому установка последнего обновления внутри девятой ветки оставляет систему без дальнейшей поддержки этой серии.

пользователей просят переходить на NetBSD 11.0 либо NetBSD 10.2, которую на момент объявления ожидают в ближайшие дни. Выпуск NetBSD 11.1 запланирован на конец месяца. Релиз 9.5 подводит итог исправлениям старой ветки, но срок её сопровождения не продлевает.

Chrome на двух Mac сохранил данные Google вопреки настройке удаления

разработчик Джефф Джонсон из Lapcat Software воспроизвёл поведение на двух Mac с Chrome 152.0.7977.83. Он включил удаление данных сайтов при закрытии всех окон, запретил вход в Chrome и выбрал DuckDuckGo поисковиком по умолчанию.

после поиска в Google и закрытия окна на странице chrome://settings/content/all оставались данные www.google.com. Они переживали перезапуск и возвращались после ручного удаления. В профиле браузера автор обнаружил Cookies, Local Storage и Session Storage. По его наблюдениям, другие сайты такого исключения не получали.

о похожем поведении Джонсон писал шесть лет назад, и Google тогда его исправила. Когда возник нынешний сбой, автор не знает. Описанный сценарий относится к его проверкам на macOS; вывод о том, что так ведут себя все установки Chrome, из них не следует.

MapServer закрыл шесть уязвимостей, исправления получают только версии 8.6

команда MapServer, сервера для публикации карт и геоданных, выпустила версию 8.6.6 с исправлениями шести уязвимостей. В том же релизе починили масштабирование SVG, нарушенное с 8.6.0 при использовании старых версий librsvg.

вместе с обновлением разработчики объявили об окончании поддержки ветки 7.6. Ветки 8.0, 8.2 и 8.4 также уже не поддерживаются. Исправления безопасности выпускаются только для серии 8.6.x.

для серверов карт WMS и геоданных WFS это означает необходимость проверить основную ветку установленного MapServer. Обновление в пределах 8.4 не переведёт сервер на поддерживаемую серию; шесть объявленных исправлений входят в выпуск 8.6.6.

Kotlin переименовал команду запуска, потому что она конфликтовала с самим Kotlin

В версии 2.4.20 команда kotlin стала kotlinr. Причина обезоруживающая: имя уже занято командой из Kotlin Toolchain. Язык не поделил название сам с собой.

Старый вызов пока работает и вежливо предупреждает. Но если он прописан в CI, чинить лучше сейчас, а не в тот день, когда предупреждение превратится в ошибку сборки.

Заодно приехал webpack 5.108.1, который перестал игнорировать import.meta. Файл с этой строкой теперь считается ES-модулем, и если рядом лежит CommonJS, сборка Kotlin/JS встаёт.

Собрали в новости, что ещё сломается при обновлении и зачем компилятору понадобился нативный образ.

ИИ написал больше тестов и не стал ловить больше ошибок

Если проверять четыре потока на одинаковых данных, их можно перепутать местами, а тест всё равно доволен. Именно такие проверки встретились в эксперименте Дэна Лу.

Codex с GPT-5.6 Sol писал декодер Zstd на Rust. Простое требование использовать методику тестирования часто приводило к поверхностным проверкам. Вывод относится к этой модели и задаче.

В новости разбираем, как проверяли агента, где тесты обходили проблемную логику и на что смотреть в следующем ревью, кроме зелёных галочек.

Незарегистрированные приложения выпадут из Google Play 30 сентября

Google включает проверку разработчика: package name приложения должен быть зарегистрирован в Play Console. 99% приложений зарегистрировали автоматически, остальное на вас: проверьте список на главной Play Console. Осталось три недели, дальше приложение удаляют из Play глобально.

С той же даты установки проверяют у пользователей Бразилии, Индонезии, Сингапура и Таиланда, не только из Play: Galaxy Store, GetApps, HONOR и OPPO App Market, Palm Store, V-Appstore. Остальные страны подключат в 2027 году. Сборки, которые вы раздаёте мимо стора, регистрируются в Play Console, иначе они не поставятся на сертифицированные устройства.

Если приложений много, в июле заработали API: Android Developer ID Status API проверяет, зарегистрирован ли package name, Android Developer Console API регистрирует имена из CI/CD.

#android

FreeBSD 14.5 получила inotify из мира Linux

В сегодняшнем релизе появился нативный API для отслеживания изменений файлов. Теперь программы с inotify проще переносить с Linux на FreeBSD: поддержка есть в ядре и libc. Совместимость здесь на уровне исходников.

Заодно обновили LLVM и поменяли поведение привычных инструментов. Даже у pwd теперь другой режим по умолчанию, так что в списке изменений есть что проверить авторам скриптов.

Что ещё изменилось в FreeBSD 14.5 и сколько её будут поддерживать

Inception выпустила диффузионную модель Mercury 2.5

Новая языковая модель рассчитана на поиск, RAG-системы, голосовых агентов и другие сценарии с множеством вызовов. По оценке Inception, она на 40% «интеллектуальнее» Mercury 2 и сопоставима с экономичными моделями GPT-5.6 Luna (Low), Gemini 3.5 Flash-Lite и Claude Haiku 4.5.

Компания заявляет скорость 1 107 токенов в секунду на распространённых GPU NVIDIA и контекст до 260 тысяч токенов. Базовая цена — $0,20 за миллион входных и $0,75 за миллион выходных токенов, но на старте действует скидка 80%: быстрее оказалась не только генерация, но и снижение тарифа.

В новости Tproger — заявленные возможности Mercury 2.5, цены и варианты доступа через Inception API, Baseten и OpenRouter.

Check Point обнаружила канал утечки данных между аккаунтами ChatGPT

Контейнеры ChatGPT были изолированы от интернета и друг от друга, но использовали общий внутренний JFrog Artifactory. Доступные операции позволяли одному аккаунту записывать данные в свойства объектов, а другому — читать их: изоляция оказалась не такой уж изолированной.

В демонстрации скрытая задача заставила ChatGPT вместе с ответом на обычный запрос прочитать данные из подключённого Gmail и отправить их в контейнер другого аккаунта. Атака могла затронуть пользователей подготовленных общих чатов и пользовательских GPT; ущерб зависел от доступных сессии данных и разрешений. Канал уже недоступен, а OpenAI подтвердила вывод этого экземпляра Artifactory из эксплуатации.

В статье — схема «общего буфера обмена», сценарии атаки и меры для подключённых сервисов.

Chrome теперь обновляется каждые две недели

Новый график уже действует на компьютерах, Android и iOS. Пользователи будут чаще получать небольшие обновления функций и безопасности, а разработчики быстрее добираться до новых возможностей веб-платформы.

Чем меньше изменений попадает в один выпуск, тем проще найти причину регрессии. Для компаний Google рекомендует двухнедельный Stable. Тем, кому нужно больше времени на тестирование, оставили Extended Stable с крупными обновлениями раз в восемь недель и еженедельными исправлениями безопасности.

Chrome 154 уже доступен в Beta, стабильный релиз назначен на 22 сентября. Проверьте в нём сайты, если они зависят от поведения конкретной версии браузера. В материале Tproger объясняют, как новый цикл ускоряет доставку исправлений пользователям.

Apple открыла приём приложений для новых ОС

Разработчики уже могут отправлять на проверку в App Store приложения и игры для iOS 27, iPadOS 27, macOS 27, tvOS 27, visionOS 27 и watchOS 27. Apple рекомендует собирать их в Xcode 27 Release Candidate с актуальными SDK и тестировать через TestFlight.

Главный архитектурный рубеж — macOS 27 будет работать только на Apple silicon: macOS 26 останется последней версией с поддержкой Intel и Rosetta. А с апреля 2027 года для приложений под новые ОС станут обязательными SDK версии 27 или новее. В статье Tproger — что проверить перед отправкой сборки и какие изменения появились в App Store Connect.