Среди изменений в новой версии:

• Firefox и Thunderbird обновлены до ESR-ветки 140 (ранее использовалась ветка 128).
• В состав включён набор компиляторов GCC 15.2 Обновлены версии GCC 12.5.0 и 13.4.0.
• Обновлены версии программ, среди которых BIND 9.18.41, 7-Zip 25.01, git 2.50.1, golang 1.25.3, openssl 3.0.18, sudo 1.9.17p1, suricata 7.0.11, vim 9.1.1591, babel 2.17.0, flac 1.5.0, libjpeg 9f, openldap 2.6.10, rust 1.87.0, wxwidgets 3.2.8.1 и xorg-server 21.1.18.
• В утилиту useradd добавлена опция "-N" для активации учётной записи без необходимости отдельного запуска утилиты "passwd -N" или указания пароля. Также добавлена опция "-U" для перевода учётной записи в неактивированное состояние (UP). В состоянии UP запрещено подключение пользователя к системе даже при подсоединении без пароля по SSH-ключу.
• В утилиту sxadm добавлена поддержка включения защиты от микроархитектурной атаки TSA (Transient Scheduler Attack) на CPU AMD.
• В утилиту fmthard добавлена опция "-c" (clear) для очистки меток разделов MBR, VTOC и GPT/EFI, а также опция "-e" (GPT/EFI) для принудительного сохранения метки GPT/EFI вместо VTOC.
• Добавлен системный сервис svc:/system/check/bind для проверки конфигурации DNS-сервера BIND через запуск утилиты named-checkconf.
• В croinfo добавлена новая команда cableinfo для вывода информации о применяемых SAS-кабелях (Serial-Attached SCSI).
• В утилиту ldm добавлены команды add-devalias, list-devalias и remove-devalias для управления псевдонимами устройств для гостевых систем в LDoms Manager (ldmd).
• В команде zoneadm добавлена поддержка образов изолированных зон в форме архивов flar, сжатых при помощи gzip/bzip2 (например: "zoneadm -z s10z install -u -a /root/s10u11-x86.flar.bz2").
• В отладчик MDB добавлена поддержка вывода аннотаций по типу и выставления размеров массивов.
• Добавлен пакет pkg:/system/management/oracle-cloud-agent с плагинами gomon (мониторинг производительности) и runcommand для Oracle Cloud Agent.

1. Главная ссылка к новости
2. OpenNews: Выпуск операционной системы Solaris 11.4 SRU84
3. OpenNews: Выпуск дистрибутива OpenIndiana 2025.10, продолжающего развитие OpenSolaris
4. OpenNews: Выпуск дистрибутива Tribblix 38, построенного на технологиях OpenSolaris и Illumos
5. OpenNews: Выпуск дистрибутива OmniOS CE r151056, построенного на технологиях OpenSolaris
6. OpenNews: Oracle опубликовал новую бесплатную редакцию Solaris 11.4 CBE

В GitHub выявлено более 30 тысяч репозиториев с сохранёнными червём перехваченными данными. В около 70% из этих репозиториев размещён файл content.json, в 50% - файл truffleSecrets.json, а в 80% - environment.json, содержащие ключи доступа, конфиденциальные данные и переменные окружения, найденные на системе разработчика, установившего вредоносный пакет с червём. Также в данных репозиториях выявлено около 400 файлов actionsSecrets.json с ключами, найденными в окружениях для выполнения GitHub Actions.

В файлах contents.json присутствовало более 500 уникальных учётных данных и токенов для подключения к GitHub. В файлах truffleSecrets.json содержались конфиденциальные данные, найденные в результате выполнения на поражённой системе утилиты TruffleHog, собирающей более 800 типов данных, среди которых ключи доступа, ключи шифрования, пароли и токены, используемые в различных сервисах, облачных окружениях, продуктах и СУБД. Всего в truffleSecrets.json выявлено более 400 тысяч уникальных записей из которых около 2.5% (~10000) было верифицировано.

Предполагается, что попавшая в открытый доступ конфиденциальная информация может стать отправной точкой для новой волны атак, так как многие данные остаются актуальны. Например, проверка показала, что 60% токенов доступа к NPM, захваченных с поражённых червём систем, остаются действующими.

В отчёте также приводится общая статистика, полученная на основе анализа переменных окружения с поражённых систем. 23% запусков червя произошли на компьютерах разработчиков, а 77% - в окружениях систем непрерывной интеграции (60% GitHub Actions, 5% - Jenkins, 5% - GitLab CI, 3% - AWS CodeBuild). На 87% систем использовался Linux, 12% - macOS и 1% - Windows. 76% запусков было в контейнерах, 13% - в основных системах.

60% всех инфицированний произошло из-за установки вредоносных релизов пакетов @postman/tunnel-agent-0.6.7 и @asyncapi/specs-6.8.3. В 99% проценте случаев червь был активирован при запуске команды "node setup_bun.js", указанной в package.json в секции preinstall (оставшиеся 1% вероятно приходятся на попытки тестирования).

1. Главная ссылка к новости
2. OpenNews: При помощи червя Shai-Hulud скомпрометировано 600 NPM-пакетов
3. OpenNews: Самораспространяющийся червь поразил 187 пакетов в NPM
4. OpenNews: Утечка токена для полного доступа к GitHub-репозиториям проекта Python
5. OpenNews: В 2024 году GitHub выявил 39 млн утечек ключей и паролей в репозиториях
6. OpenNews: Уязвимость в MCP-сервере GitHub, приводящая к утечке информации из приватных репозиториев

Основные возможности сервиса:

• Высокая производительность и низкое потребление памяти, благодаря использованию компилируемого в машинный код языка без сборoщика мусора.
• Предоставление информации об IP-адресе (страна, город, почтовый индекс, координаты, оператор связи и др.) через REST API на основе данных MaxMind GeoLite2 (бесплатно) и MaxMind GeoIP2 (платно).
• Определение текущего IP-адреса пользователя (доступно через отдельный эндпойнт; параметр ip основного эндпойнта является необязательным).
• Настраиваемые автоматические обновления баз данных (как с официальных ресурсов MaxMind с использованием Account ID и Licence Key, так и с пользовательского URL с поддержкой авторизации; возможно указание интервала проверки обновлений).
• Веб-интерфейс для ручной отправки запросов, включая опциональную поддержку отображения на карте OpenStreetMap.
• Для всех результатов, содержащих поле timezone, автоматически формируется дополнительное поле posix_timezone (например, Europe/Paris преобразуется в CET-1CEST,M3.5.0,M10.5.0/3). Это обеспечивает автоматическую конфигурацию часового пояса на встраиваемых устройствах (например, ESP32 и иных таргетах newlib без встроенной tzdata). Данная возможность является уникальной и отсутствует в аналогичных решениях.
• Автоматическое обновление базы данных часовых поясов (интервал, источник и авторизация настраиваются; по умолчанию используется официальный сайт IANA). При отключении обновлений применяется системная база.
• Возможность загрузки актуальных архивов баз данных по HTTP непосредственно с сервиса (что позволяет использовать один экземпляр в качестве прокси-источника для других и снижать расход квоты MaxMind).
• Поддержка защиты эндпойнтов с помощью опционального API-ключа.
• Наличие OpenAPI-спецификации и встроенного Swagger UI для облегчения интеграции со своими проектами.
• Предоставление готового Docker-образа для быстрого развертывания:

  
  docker run \
  	-e MAXMIND_ACCOUNT_ID=XXXX \
  	-e MAXMIND_LICENCE_KEY=YYYY \
  	-e OSM_TILES_URL="https://{s}.tile.openstreetmap.org/{z}/{x}/{y}.png" \  # необязательно
  	-v geoip_data:/data \
  	-p 8080:8080 \
  	ghcr.io/quoi-dev/geoip:latest
  

1. Главная ссылка к новости
2. OpenNews: Mozilla закрывает общедоступный сервис определения местоположения
3. OpenNews: Выпуск zeronet-conservancy 0.7.8, платформы для децентрализованных сайтов
4. OpenNews: Представлен gps-share, инструмент для организации совместного доступа к GPS
5. OpenNews: Выпуск GeoClue 2.3.0, фреймворка для определения местоположения

В новом выпуске:

• После пяти лет разработки опубликован пакетный менеджер apk 3.0. В версии Alpine Linux 3.23 задействованы новые утилиты apk, но пока продолжено использования второй версии формата пакетов и индекса (переход на третью версию запланирован в одном из следующих выпусков).

  Среди изменений в apk 3.0:

  • Новый формат пакетов, поддерживающий алгоритм сжатия zstd и цифровые подписи на базе нового алгоритма, а также предусматривающий возможность верификации данных в БД пакетного менеджера, используя оригинальные подписи пакетов.
  • Поддержка использования в индексе новых алгоритмов хэширования (SHA-256, SHA-512).
  • Удалена поддержка FTP, первой версии формата пакетов и md5-хэшей.
  • Добавлена проверка соответствия архитектуры устанавливаемого пакета с архитектурой системы.
  • Для разделения вывода скриптов и утилиты apk к выводу скриптов теперь добавляется префикс '*'.
  • В формат файлов конфигурации репозитория добавлена поддержка определения и использования переменных.
  • Добавлена поддержка выноса настроек по умолчанию в отдельный файл конфигурации.
  • Добавлены новые команды: apk mkpkg для создания пакетов, apk mkndx для создания индекса, apk adbsign для управления цифровыми подписями и apk adbdump для дампа структур.
  • Добавлена команда "apk query" для получения информации о пакетах из установленных БД и индексов, сочетающая возможности команд info, list и search.
• Добавлена опциональная возможность переноса всех исполняемых файлов и библиотек из корневых каталогов в раздел /usr (/bin, /sbin и /lib* унифицированы с соответствующими каталогами внутри /usr и оформлены через символические ссылки на них). Для задействования подобного слияния во время установки следует выставить переменную окружения BOOTSTRAP_USR_MERGED перед вызовом утилиты setup-disk. На уже имеющихся системах для слияния можно использовать пакет merge-usr.
• Пакет с ядром Linux "linux-edge" заменён на "linux-stable", который отличается использованием идентичных настроек с пакетом "linux-lts". В пакете linux-stable используются все стабильные ветки ядра, а в linux-lts - только, помеченные как LTS.
• Прошивки для беспроводных адаптеров Intel, поддерживаемых драйвером iwlwifi, перенесены из пакета linux-firmware-other в linux-firmware-intel.
• Добавлен метапакет LLVM, ссылающийся на свежий выпуск LLVM.
• Наборы правил nftrules и udev разделены на подпакеты ($pkgname-nftrules и $pkgname-udev), предоставляющие правила межсетевого экрана и udev в привязке к пакетам. Аналогично выполнено разделение на подпакеты $pkgname-systemd сервисов systemd (по умолчанию переход с OpenRC на systemd не планируется). Для установки всех правил nftrules добавлен метапакет nftables-rulesets.
• Сервер nginx собран с опцией "--with-compat" для обеспечения совместимости со сторонними динамически загружаемыми модулями. Добавлен пакет nginx-mod-dev с кодом nginx и сборочными зависимостями, необходимыми для сборки модулей.
• Предложены пакеты с новыми версиями графических окружений GNOME 49, KDE Plasma 6.5.3, LXQt 2.3.0, Sway 1.11.
• Обновлены версии пакетов, например, доступны выпуски ядра Linux 6.18, GCC 15, LLVM 21, busybox 1.37.0, Node.js 24.11, Rust 1.91, Valkey 9.0, OpenZFS 2.4.0-rc4, Crystal 1.18, Docker 29, .NET 10.0, Go 1.25, Kea 3.0, OpenJDK 25, Perl 5.42, PHP 8.5, PostgreSQL 18, Qt 6.10, ffmpeg 8, wlroots 0.19.
  1. Главная ссылка к новости
  2. OpenNews: Релиз минималистичного дистрибутива Alpine Linux 3.22
  3. OpenNews: В postmarketOS и Alpine добавлена поддержка среды рабочего стола COSMIC
  4. OpenNews: Alpine Linux покинул наиболее активный сопровождающий
  5. OpenNews: Уязвимость в пакетном менеджере APK, позволяющая удалённо выполнить код в Alpine Linux
  6. OpenNews: Marathon OS - мобильная ОС в стиле BlackBerry 10 на базе Linux, Qt и Wayland

Ранее разработчики MinIO высказывали недовольство использованием их разработок в сторонних проприетарных продуктах без выполнения условий лицензии AGPL и без указания авторства (например, одна из компаний пыталась продавать полный клон MinIO, рекламируя его как более производительный, чем MinIO). Текущая кодовая база остаётся под лицензией AGPL 3.0 и при желании заинтересованные участники могут создать форк и развивать его своими силами. Из существующих открытых альтернатив можно отметить AIStore, Garage, Ambry, SeaweedFS, RustFS, hs5 и Versity S3 Gateway.

1. Главная ссылка к новости
2. OpenNews: Открыт код распределённой файловой системы TernFS
3. OpenNews: СУБД ScyllaDB перешла с AGPL на проприетарную лицензию
4. OpenNews: Первый публичный выпуск распределённой файловой системы JuiceFS
5. OpenNews: Компания Versity открыла исходные тексты файловой системы ScoutFS
6. OpenNews: Открыт код распределённой файловой системы 3FS, используемой в DeepSeek

Проблема вызвана небезопасной десериализацией данных, полученных в HTTP-запросах к серверным обработчикам. Исправление свелось к замене в функции requireModule выражения "return moduleExports[metadata[NAME]];", не исключавшего подстановку прототипа, на вариант с проверкой через hasOwnProperty:

   if (hasOwnProperty.call(moduleExports, metadata[NAME])) {
       return moduleExports[metadata[NAME]];
   }
   return (undefined: any);

При наличии возможности подставить прототип, запуск команд в системе или выполнение JavaScript-кода в контексте текущего процесса (с обходом sandbox-изоляции) можно организовать через подстановку методов "vm.runInThisContext", "vm.runInNewContext", "child_process.execFileSync" и "child_process.execSync". Также возможно использование методов "fs.readFileSync" и "fs.writeFileSync" для чтения и записи произвольных файлов на сервере, насколько позволяют текущие права доступа (например, можно перезаписать ~/.ssh/authorized_keys и ~/.bashrc). Для атаки не требуется прохождение аутентификации. Доступен эксплоит.

   # Запуск команды whoami
   curl -X POST http://localhost:3002/formaction \
     -F '$ACTION_REF_0=' \
     -F '$ACTION_0:0={"id":"child_process#execSync","bound":["whoami"]}'

   # Выполнение JavaScript-кода 1+1
   curl -X POST http://localhost:3002/formaction \
     -F '$ACTION_REF_0=' \
     -F '$ACTION_0:0={"id":"vm#runInThisContext","bound":["1+1"]}'

   # Чтение файла /etc/passwd
   curl -X POST http://localhost:3002/formaction \
     -F '$ACTION_REF_0=' \
     -F '$ACTION_0:0={"id":"fs#readFileSync","bound":["/etc/passwd","utf8"]}'

Подверженность систем уязвимости зависит от применения на них уязвимых серверных компонентов react-server-dom-webpack, react-server-dom-parcel и react-server-dom-turbopack (среди прочего, web-приложение может не использовать их, но установить на сервере). Приложения, не использующие react-server, уязвимость не затрагивает.

Степень охвата уязвимостью рабочих систем, в которых используется React, пока не ясна. С одной стороны, React является одним из самых популярных web-фреймворков (используется примерно на 6% web-сайтов), а уязвимые компоненты развиваются в основном репозитории и входят в состав релизов. Уязвимые компоненты также поддерживаются в основанных на React фреймворках, таких как Next.js и react-router. По данным компании Wiz Research уязвимые экземпляры Next.js или React выявлены в 39% проанализированных облачных окружений.

С другой стороны, генерация контента на сервере через React Server Components не часто используемая функция (большинство React-сайтов отрисовывают интерфейс только на стороне клиента), а уязвимые компоненты помечены как экспериментальные и не гарантирующие корректную работу. Данные компоненты имеют относительно небольшое число прямых загрузок из репозитория NPM: react-server-dom-webpack - 670 тысяч в неделю, react-server-dom-parcel - 7 тысяч и react-server-dom-turbopack - 32 тысячи, для сравнения NPM-пакет React имеет 45 млн загрузок в неделю.

Уязвимость присутствует версиях React 19.0.0, 19.1.0, 19.1.1 и 19.2.0, и устранена в обновлениях React 19.0.1, 19.1.2 и 19.2.1. Уязвимые компоненты также применяются в пакетах react-router (20 млн загрузок в неделю), waku, @parcel/rsc (Parcel RSC plugin), @vitejs/plugin-rsc (Vite RSC plugin) и rwsdk (RedwoodSDK). В React Router проблема проявляется только при использовании экпериментального режима RSC.

Аналогичная уязвимость (CVE-2025-66478) выявлена в реализации протокола RSC (React Server Components) во фреймворке Next.js (16 млн загрузок в неделю). Проблема затрагивает приложения, использующие App Router и ветки Next.js 15.x и 16.x. Утверждается, что уязвимость проявляется в конфигурации Next.js по умолчанию (стандартное приложение, создаваемое утилитой create-next-app, подвержено атаке). Пользователям рекомендовано как можно скорее установить обновление Next.js 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7 или 16.0.7.

Дополнение: Пример эксплоита оказался не действующим. Общий принцип эксплуатации и метод атаки через прототипы объектов подтверждены, но привязка к модулям vm, child_process и fs ошибочна (в пока не опубликованном реальном эксплоите задействовано какое-то не привязанное к внешним модулям внутреннее свойство).

1. Главная ссылка к новости
2. OpenNews: Атака на Node.js через манипуляции с прототипами объектов JavaScript
3. OpenNews: Google продемонстрировал эксплуатацию уязвимостей Spectre через выполнение JavaScript в браузере
4. OpenNews: В репозитории Hugging Face выявлены вредоносные AI-модели, выполняющие код
5. OpenNews: Критическая уязвимость в Apache Log4j 2, затрагивающая многие Java-проекты
6. OpenNews: Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах

ODF представляет собой основанный на XML, независимый от приложений и платформ файловый формат для хранения документов, содержащих текст, электронные таблицы, диаграммы и графические элементы. Спецификации также включают требования к организации чтения, записи и обработки подобных документов в приложениях. Стандарт ODF применим для создания, редактирования, просмотра, обмена и архивирования документов, которые могут представлять собой текстовые документы, презентации, электронные таблицы, растровые графические материалы, векторные рисунки, схемы и другие типы контента.

Наиболее заметные изменения в OpenDocument 1.4:

• Расширен спектр объектов, для которых возможно использование сложного фона, такого как цветовые градиенты и штриховка.
• В фигуры, такие как прямоугольники и блок-схемы, помимо голого текста и списков, разрешено встраивать таблицы.
• Добавлена возможность пометки декоративных объектов для их игнорирования в инструментах для людей с ограниченными возможностями, таких как экранные ридеры.
• Расширены и уточнены возможности для работы с текстом на языках с разными направлениями письма (слева направо, справа налево, сверху вниз).
• Улучшен метод задания маркеров (handles), определяющих каркас сложных фигур.
• Предложен более гибкий метод определения формата нумерованных меток в многоуровневых списках.
• В текстовых документах: Разрешено позиционировать объекты относительно полей страницы. Добавлена возможность указания межколоночного интервала (гаттера) в формате страницы. Добавлены дополнительные свойства для более гибкого управления наложением объектов.
• В электронных таблицах: Разрешено использование цвета текста и цвета фона ячейки в качестве критериев в фильтрах. Добавлена функция EASTERSUNDAY для вычисления даты Пасхи и связанных с ней церковных праздников.
• В диаграммах повышена гибкость расстановки меток осей и разрешено указание основания логарифмической шкалы.
• При встраивании формул разрешено использовать все версии языка формул MathML.

Спецификация состоит из четырёх частей:

• Часть 1, введение;
• Часть 2, описывает модель упаковки данных в ODF-контейнер;
• Часть 3, описывает общую схему ODF.
• Часть 4, определяет формат описания формул OpenFormula

Дополнительно можно отметить начало альфа-тестирования офисного пакета LibreOffice 26.2, релиз которого запланирован на февраль 2026 года. Из наиболее заметных новшеств: поддержка импорта и экспорта в формате Markdown, возможность использования горизонтальных вкладок в интерфейсе, расширение возможностей отслеживания изменений в документах, поддержка формата Biff12 для переноса данных через буфер обмена из Excel, расширение диалога сортировки в Calc, поддержка маппинга документов XML и JSON с таблицами в Calc, ускорение отрисовки фигур.

1. Главная ссылка к новости
2. OpenNews: Microsoft обеспечил поддержку открытого формата ODF 1.3 в MS Office 2021
3. OpenNews: Формат ODF утверждён в качестве национального стандарта России
4. OpenNews: Развивающий OpenDocument консорциум OASIS получил аккредитацию для быстрого продвижения стандартов
5. OpenNews: Формат Open Document 1.2 признан международным стандартом
6. OpenNews: Консорциум OASIS утвердил OpenDocument 1.3 в качестве стандарта

Одновременно объявлено о завершении цикла сопровождения ветки ядра Linux 5.4, для которой опубликован финальный выпуск 5.4.302 (больше в серии 5.4.x обновления публиковаться не будут). Ветка 5.4 была сформирована в ноябре 2019 года, сопровождалась 6 лет и использовалась в Ubuntu 20.04 LTS и в Oracle Unbreakable Enterprise Kernel 6. Продукты, поставляемые с ядром 5.4, рекомендуется перевести на более актуальные LTS-выпуски.

Продолжается сопровождение longterm-веток:

• 6.12 - до декабря 2026 г. (используется в Debian 13, SUSE 16, Android 16 и Oracle Unbreakable Enterprise Kernel 8).
• 6.6 - до декабря 2026 г. (используется в OpenWRT 24.10).
• 6.1 - до декабря 2027 г. (используется в Debian 12).
• 5.15 - до октября 2026 г. (используется в Ubuntu 22.04, Oracle Unbreakable Enterprise Kernel 7 и OpenWRT 23.05).
• 5.10 - до декабря 2026 г. (используется в Debian 11, Android 12 и OpenWRT 22).

Отдельно на базе ядер 4.4, 4.19, 5.10, 6.1 и 6.12 организацией Linux Foundation предоставляются ветки SLTS (Super Long Term Support), которые сопровождаются отдельно и поддерживаются 10-20 лет. Сопровождение SLTS-веток осуществляется в рамках проекта Civil Infrastructure Platform (CIP), в котором участвуют такие компании, как Toshiba, Siemens, Renesas, Bosch, Hitachi и MOXA, а также вовлечены мэйнтейнеры LTS-веток основного ядра, разработчики Debian и создатели проекта KernelCI. Ядра SLTS ориентированы на применение в технических системах гражданской инфраструктуры и в важных промышленных системах.

1. Главная ссылка к новости
2. OpenNews: Релиз ядра Linux 6.18
3. OpenNews: Сокращение срока поддержки LTS-ядер Linux и проблема с выгоранием сопровождающих
4. OpenNews: Ядро Linux 6.1 будет поддерживаться 10 лет
5. OpenNews: Ядро Linux 6.6 отнесено к категории выпусков с длительным сроком поддержки
6. OpenNews: Ядро Linux 6.12 отнесено к категории выпусков с длительным сроком поддержки

Выпуск Android 16 QPR2 сформирован в рамках нового графика разработки, в соответствии с которым каждый год формируется не один значительный релиз Android, а два выпуска - первый во втором квартале (QPR1), а второй - в четвёртом квартале (QPR2). В летний релиз вошли значительные новшества, изменения поведения в SDK и новые API. Зимний релиз содержит улучшения, новые API и изменения, не влияющие на совместимость с приложениями.

Основные новшества Android 16 QPR2:

• Добавлена возможность запуска графических приложений, собранных для Linux. Запуск осуществляется через приложение Linux Terminal, позволяющее запустить в окружении Android виртуальную машину с Debian GNU/Linux, в которой можно выполнять обычные Linux-приложения. Для запуска графического окружения в приложение Linux Terminal добавлена кнопка "Display", включающая перенаправление графики через компоненты в основном окружении Android. После активации кнопки "Display" в терминале можно запустить композитный сервер Weston, предоставляющий минималистичный оконный сеанс, а затем использовать его для запуска любых графических приложений, например, продемонстрирован запуск графического редактора GIMP.

  Функциональность виртуальной машины c Linux развивается в рамках проекта Ferrochrome. В гостевом окружении запускается Debian GNU/Linux. Для виртуализации используется фреймворк AVF (Android Virtualization Framework), реализованный на базе гипервизора KVM и инструментария crosvm. Графическое окружение использует протокол Wayland и основано на композитном сервере Weston. Для аппаратного ускорения графики задействован VirGL - виртуальный GPU Virgil3D. Запуск приложений, собранных для X11, производится при помощи DDX-компонента XWayland.

• Реализована расширенная тёмная тема оформления (Expanded Dark Theme), которая автоматически инвертирует цвета в приложениях, не предоставляющих тёмную тему оформления. Необходимость инвертирования определяется отдельно для каждого приложения на основе атрибута isLightTheme. Инвертирование применяется к элементам интерфейса на базе Android Views, Composables и WebViews, но не используется для приложений с собственными движками отрисовки, например, на базе фреймворка Flutter.
• Предоставлена возможность выбора специфичных форм пиктограмм, которые будут применены ко всем показываемым пиктограммам и ярлыкам каталогов.
• Для приложений, не предоставляющих отдельные варианты пиктограмм для тем оформления, реализована возможность автоматической генерации пиктограмм, стилизованных под темы оформления. При генерации к имеющейся пиктограмме запуска приложения применяется цветовой фильтр.
• Предоставлена возможность продолжения интерактивного взаимодействия с приложением после открытия системного диалога Share (Поделиться) и обновления содержимого интерфейса приложения в процессе выбора обработчика обмена данными.
• В Android Runtime (ART) добавлен генеративный сборщик мусора (Generational Concurrent Mark-Compact Garbage Collector), использующий раздельную обработку "старых" и "молодых" объектов, что повышает эффективность очистки недавно созданных объектов с небольшим временем жизни. Применение генеративного сборщика мусора уменьшает риск приостановок во время выделения ресурсов и снижает нагрузку на CPU, что повышает эффективность потребления энергии.
• Расширены средства для анализа взаимодействия пользователей с виджетами - приложение теперь могут получать метрики о событиях взаимодействия, таких как клики, прокрутки и показы (impression).
• Реализован вывод предупреждения об отсутствии в отлаживаемом приложении выравнивания памяти по границе страниц, размером 16 КБ. В будущем для отдельных архитектур ожидается переход на использование страниц размером 16 КБ вместо 4 КБ, что позволит повысить производительность программ, интенсивно работающих с памятью.
• Добавлен программный декодировщик для звукового формата IAMF (Immersive Audio Model and Formats), применяемого для распространения объёмного звука (учитывает распространение звуковых сигналов в трёхмерном пространстве для воссоздания звучания, максимально близкого к естественному).
• В интерфейс выбора устройства воспроизведения (Output Switcher) интегрирована возможность предоставления общего доступа к звуку через Bluetooth LE, не требующая отдельного изменения настроек Bluetooth.
• В систему Health Connect добавлена поддержка автоматического отслеживания числа пройденных шагов, используя доступные датчики. Доступ к информации о числе шагов предоставляется приложениям, имеющим права доступа READ_STEPS. Новый метод позволяет упростить код в приложениях и снизить энергопотребление при отслеживании шагов. Health Connect обеспечивает централизованное хранение данных с фитнес-браслетов и прочих устройств, имеющих отношение к здоровью пользователя, и организует совместный доступ разных приложений к данным о здоровье.
• Добавлен новый API Data Transfer для повышения надёжности миграции данных между устройствами на базе Android и iOS.
• Добавлен API для верификации разработчиков в процессе установки APK-пакетов. В утилиту ADB добавлены команды для симуляции верификации (возможность установки приложений без верификации, используя ADB, останется неизменной).
• Обеспечена защита SMS с одноразовыми паролями (OTP). Для защиты от перехвата одноразовых паролей вредоносными приложениями доставка SMS с хэшем для сервиса SMS Retriever станет задерживаться на три часа для большинства приложений. До истечения этого времени широковещательная отправка события RECEIVE_SMS будет заблокирована, а запросы к БД c SMS отфильтрованы.
• Добавлено новое системное состояние блокировки "Secure Lock Device", при активации которого (например, через службу поиска потерянного устройства "Find My Device") устройство будет сразу заблокировано и потребует ввода PIN-кода или пароля для разблокировки. Уведомления и напоминания в данном режиме будут скрыты c экрана блокировки, а биометрическая разблокировка временно отключена.
• В настройки добавлена опция "Failed Authentication Lock" для включения режим блокировки устройства в случае нескольких неудачных попыток аутентификации.

1. Главная ссылка к новости
2. OpenNews: Google оставит в Android возможность установки неверифицированных сторонних приложений
3. OpenNews: Выпуск мобильной платформы Android 16
4. OpenNews: Google меняет политику публикации исправлений уязвимостей в Android
5. OpenNews: Chrome и Android прекратят использование многих технологий, созданных проектом Privacy Sandbox
6. OpenNews: Google начнёт помечать Android-приложения, злоупотребляющие фоновым выполнением

Проект Bun написан на языках Zig и С++, и развивается с оглядкой на обеспечение совместимости с серверными приложениями для Node.js и поддерживает большую часть API Node.js. В состав платформы входит набор инструментов для создания и выполнения приложений на языках JavaScript и TypeScript, а также runtime для выполнения JavaScript-приложений без браузера, пакетный менеджер (совместимый с NPM), инструментарий для выполнения тестов, система сборки самодостаточных пакетов и прослойка для встраивания обработчиков, написанных на языке Си. По производительности Bun заметно обгоняет Deno и Node.js (в тестах на базе фреймворка React платформа Bun в 2 раза опережает Deno и почти в 5 раз Node.js). Для выполнения JavaScript задействован JavaScript-движок JavaScriptCore и компоненты проекта WebKit с дополнительными патчами.

1. Главная ссылка к новости
2. OpenNews: В JavaScript-платформе Bun добавлена поддержка вызова кода на языке Си
3. OpenNews: Доступна серверная JavaScript-платформа Bun 1.0, более быстрая, чем Deno и Node.js
4. OpenNews: Опубликована платформа Node.js 25.0.0
5. OpenNews: Доступна платформа Deno 2.0, развиваемая автором Node.js
6. OpenNews: Применение книг для обучения AI-моделей признано добросовестным использованием

Gitmal поддерживает темы оформления, отображение кода с подсветкой синтаксиса и отрисовку markdown-разметки. Помимо навигации по структуре репозитория и отображения содержимого файлов с кодом, доступны представления для просмотра веток, тегов и коммитов. Возможно поддержание web-представления в актуальном виде через инкрементальные обновления, при которых недостающие страницы генерируются при каждом изменении в репозитории. Для сокращения размера генерируемого контента может применяться минификация и сжатие (флаги --minify --gzip). Генерация web-страниц для репозитория Kubernetes выполняется за 25 минут на MacBook Air M2 и приводит к сохранению около 2 ГБ файлов.

1. Главная ссылка к новости
2. OpenNews: Браузерные дополнения вовлекают в построение распределённой сети скрапинга для AI-ботов
3. OpenNews: Перегрузка инфраструктуры KDE, GNOME, Fedora, Codeberg и SourceHut из-за ИИ-индексаторов
4. OpenNews: Началась разработка GitPub, протокола для децентрализованных Git-сервисов
5. OpenNews: cGit-UI - web-интерфейс для Git-репозиториев
6. OpenNews: Доступна децентрализованная платформа совместной разработки Radicle 1.5

На базе группы будет организована совместная работа создателей контента, инженеров и разработчиков открытого ПО по обеспечению совместимости AlmaLinux с профессиональными приложениями и формированию решения, учитывающего требования, специфичные для студий. В первом квартале 2026 года внимание будет сосредоточено на документировании конфигурации AlmaLinux для рабочих станций и рендер-ферм. Во второй половине 2026 года планируется опубликовать официальные эталонные спецификации архитектуры и руководства по совместимости.

Среди поставленных задач:

• Обеспечение беспроблемной и оптимальной работы в AlmaLinux таких пакетов, как Nuke, Houdini, Maya и Blender.
• Подготовка эталонных сборок и конфигураций для студийных рабочих станций, серверов рендеринга и систем хранения.
• Документирование рабочих процессов студий, охватывающих хранение информации, сетевое взаимодействие и организацию распределённого рендеринга.
• Создание рекомендаций по усилению защиты, оптимизации производительности и повышению надёжности рабочих систем.
• Организация совместной работы по подготовке и тестированию пакетов, а также разбору ошибок и проблем, связанных с работой специализированного студийного ПО.

1. Главная ссылка к новости
2. OpenNews: Доступен дистрибутив AlmaLinux 10.1
3. OpenNews: AlmaLinux возобновил поддержку Btrfs, прекращённую в RHEL
4. OpenNews: В AlmaLinux решено по умолчанию включить репозиторий CRB с дополнительными пакетами
5. OpenNews: AlmaLinux начал предоставлять пакеты с драйверами NVIDIA
6. OpenNews: AlmaLinux обновил ELevate, инструментарий для миграции между ветками клонов RHEL

Одновременно поэтапно будет сокращён период действия авторизации - 10 февраля 2027 года он будет сокращён с 30 до 10 дней, а 16 февраля 2028 года - c 10 дней до 7 часов. Под периодом действия авторизации понимается время после подтверждения своих прав на домен, в течение которого сертификат может быть выдан без прохождения повторных проверок. После истечения данного времени требуется новое подтверждение прав.

В качестве причины сокращения срока действия сертификатов называются новые требования ассоциации CA/Browser Forum, выработанные в ходе совместной работы производителей браузеров и удостоверяющих центров. Аналогичное сокращение срока действия будет внедрено всеми удостоверяющими центрами. CA/Browser Forum определил конечный срок завершения внедрения мартом 2029 года, а максимальное время действия сертификата - 47 днями. После марта 2029 года обработка в браузерах новых сертификатов, срок действия которых превышает 47 дней, будет приводить к выводу в ошибки "ERR_CERT_VALIDITY_TOO_LONG".

Из достоинств перехода на короткодействующие сертификаты отмечается возможность сокращения времени внедрения новых криптоалгоритмов в случае выявления уязвимостей в ныне действующих, а также повышение безопасности. Например, в случае незаметной утечки сертификата в результате взлома короткоживущие сертификаты помешают злоумышленникам длительное время контролировать трафик жертвы или использовать сертификаты для фишинга. Более частая проверка владения доменом и сокращение сроков действия сертификатов также уменьшат вероятность того, что сертификат продолжит действовать после потери актуальности содержащейся в нем информации и снизят риск распространения неправильно выпущенных сертификатов.

В связи с сокращением срока действия сертификатов Let's Encrypt рекомендовал пользователями не обновлять сертификаты в ручном режиме, а перейти на автоматические системы управления сертификатами. При этом пользователям, уже применяющим автоматизированные системы, необходимо убедиться, что их инструментарии корректно поддерживают сертификаты с сокращённым сроком действия. Для координации своевременного автоматического обновления сертификатов администраторы могут использовать расширение протокола ARI (ACME Renewal Information), позволяющее получать сведения о необходимости обновления сертификатов и выбирать оптимальное время для обновления. Так же имеет смысл настроить систему мониторинга для выявления ситуаций, когда сертификат не был обновлён своевременно.

Для упрощения подтверждения прав на домен проект Let's Encrypt планирует внедрить в 2026 году новый метод проверки DNS-PERSIST-01, который в отличие от методов HTTP-01 и DNS-01 не требует обновления информации при каждой проверке и наличия у ACME-клиента доступа к web-инфраструктуре или DNS-серверу. В PERSIST-01 достаточно один раз добавить в DNS определённую TXT-запись ('_validation-persist.example.com. IN TXT ("ca.example;" " accounturi=https://ca.example/acct/123")') и ACME-клиент сможет проводить авторизацию без обновления данных в DNS.

1. Главная ссылка к новости
2. OpenNews: Устаревание корневого сертификата AddTrust привело к сбоям в системах с OpenSSL и GnuTLS
3. OpenNews: Let's Encrypt прекращает поддержку протокола OCSP для проверки отозванных сертификатов
4. OpenNews: Mozilla, Cloudflare и Facebook представили TLS-расширение для делегирования короткоживущих сертификатов
5. OpenNews: Максимальное время жизни TLS-сертификатов сократят с 398 до 47 дней
6. OpenNews: Chrome, Firefox и Safari ограничат время жизни TLS-сертификатов 13 месяцами

• В интерфейс на базе Qt добавлена поддержка сборки с Qt6 и реализована опция для включения тёмной темы оформления.
• Началось формирование Windows-сборок для архитектуры ARM64. Возвращена поддержка Windows XP SP3 и старых версий macOS. В сборках для Windows разрешено переименование, перемещение и удаление воспроизводимого файла.
• Добавлена поддержка звуковых файлов MUS (DMX audio).
• Добавлена поддержка кодека Sony A_ATRAC/AT1 в мультимедийных контейнерах Matroska.
• Улучшена визуализация низких частот на спекторграмме.
• Добавлена поддержка увеличения частоты кадров на GPU AMD (GPU AMD Frame Rate Doubler).
• Улучшена поддержка звукового кодека FLAC. Добавлена возможность обработки картинок, поставляемых в одном медиаконтейнере с FLAC.
• Устранены аварийные завершения при распаковке различных медиаконтейнеров.
• Отключено по умолчанию декодирование контента с использованием библиотек libdca, libmpeg2 и liba52, вместо которых задействована библиотека libavcodec.
• Добавлены опции dav1d-all-layers и mkv-use-chapter-codec.
• Устранены проблемы с управлением через протокол MPRIS в KDE.
• Устранены уязвимости (CVE-идентификаторы пока не присвоены):
  • Запись в область за пределы буфера в распаковщиках и декодировщиках RLE, MP4 и TX3G. Потенциально уязвимости могут привести к выполнению кода при обработке специально оформленного содержимого.
  • Обращение к уже освобождённой области памяти (Use-after Free) в декодировщике SVG. Потенциально уязвимость может привести к выполнению кода при обработке специально оформленных SVG-изображений.
  • Чтение из области за границей буфера в распаковщиках и декодировщиках TY, NSV, CVDsub, SPU, Subrip, TX3G, MJPEG, Oggspot и MP4.
  • Аварийное завершение из-за срабатывания assert-проверок в распаковщиках AVI и MP4.
  • Разыменование нулевого указателя в модулях CSS, Flac и VTT.
  • Аварийные завершения при обработке некорректных субтитров и изображений jpeg2.
  • Утечки памяти в распаковщиках MKV, ASF/WMV, CAF и PS, а также в декодировщиках Ogg, Theora, Vorbis, WebVTT и SVCD.
  • Зацикливание в WebVTT.

Дополнительно проект VideoLAN опубликовал новые версии инструментариев DVBlast 3.5, multicat 2.4 и biTStream 1.6:

• DVBlast - потоковый сервер для организации RTP-вещания в сети с локальной DVB-карты. DVBlast поддерживает вещание с DVB-карт (DVB-ASI, DVB-S, DVB-S2, DVB-C, DVB-T) и трансляцию принимаемых UDP или RTP потоков в режимах unicast или multicast. Среди особенностей DVBlast: легковесная архитектура для снижения потребления памяти и нагрузки на CPU; поддержка CAM-меню (MMI) через подключение внешних программ; возможность перезагрузки файла конфигурации без потери пакетов в потоке; поддержка фильтрации по PID (Packet ID, идентификатор DVB-потока) или сервисам; возможность демультиплексирования вывода в несколько RTP-потоков.

  В версии DVBlast 3.5 задействован новый API linux-dvb для получения статистики, добавлена опция "--udp-lock-timeout", обеспечен вывод информации о битрейте каждого устройства, добавлена поддержка карт расшифровки (дескрамблирования) TV‑сигнала и реализована возможность распаковки DVB-S2 raw BBFrame.

• Multicat - инструментарий для манипулирования multicast-потоками, поддерживающий работу с MPEG-2 Transport Streams (ISO/IEC 13818-1). При помощи multicat можно проигрывать файлы в виде multicast-потока или наоборот записывать непрерывный входящий поток с автоматической ротацией файлов. В поставку также входят утилиты для манипуляции TS-файлами (ingests), разбиения или слияния RTP-потоков (aggregartp и reordertp) и создания отказоустойчивого вещания с нескольких серверов (multilive).

  В версии multicat 2.4 добавлена утилита smooths для синхронизации передачи по временным меткам из заголовков пакетов RTP для минимизации джиттера и корректного взаимодействия с анализаторами IAT (Inter-Arrival Time).

• biTStream - набор заголовочных файлов для упрощения доступа к бинарным структурам, например, используемым в MPEG, DVB, IETF, SMPTE, IEEE, SCTE.

  В версии biTStream 1.6 добавлена поддержка форматов EBU BISS-CA, Haivision SRT, AIT и DVB-S2 BBFrames.

1. Главная ссылка к новости
2. OpenNews: Два релиза проекта VideoLAN: multicat 2.0 и DVBlast 2.1
3. OpenNews: Лидер VLC стал лауреатом премии European SFS Award 2025
4. OpenNews: Выпуск медиаплеера VLC 3.0.21
5. OpenNews: Проект VideoLAN представил библиотеку для поддержки BD+ и выпуски libbluray 0.5 и libaacs 0.7
6. OpenNews: Выпуск dav1d 1.0, декодировщика AV1 от проектов VideoLAN и FFmpeg

Одновременно сформирован выпуск продукта ONLYOFFICE DesktopEditors 9.2, построенного на единой кодовой базе с online-редакторами. Десктоп-редакторы оформлены в виде приложений для рабочего стола, которые написаны на JavaScript с использованием web-технологий, но объединяют в одном наборе клиентские и серверные компоненты, оформленные для самодостаточного использования на локальной системе пользователя, без обращения к внешнему сервису. Для совместной работы на своих мощностях также можно использовать платформу Nextcloud Hub, в которой обеспечена полная интеграция с ONLYOFFICE.

В ONLYOFFICE заявлена полная совместимость с форматами MS Office и OpenDocument. Среди поддерживаемых форматов: DOC, DOCX, ODT, RTF, TXT, PDF, HTML, EPUB, XPS, DjVu, XLS, XLSX, ODS, CSV, PPT, PPTX, ODP. Предусмотрена возможность расширения функциональности редакторов через плагины, например, доступны плагины для создания шаблонов и добавления видео с YouTube. Готовые сборки сформированы для Windows и Linux (deb- и rpm-пакеты).

Основные новшества:

• В десктоп-сборки встроен AI-ассистент, способный генерировать документы, заполнять формы в PDF-файлах, анализировать и резюмировать содержимое, выполнять операции с локальными файлами, обращаться к внешним AI-сервисам по протоколу MCP и осуществлять поиск информации через поисковые системы.
• Предоставлена возможность настройки привязки действий к нажатиям комбинаций клавиш.
• Во все редакторы, кроме редактора PDF, добавлена поддержка записи и сохранения выполняемых действий в форме макроса.
• В редакторах презентаций и PDF реализована возможность вставки формул из внешних сервисов.
• В редакторе форм появилась возможность прикрепления меток к кнопкам выбора. Добавлены локальные шаблоны PDF-форм.
• В редактор PDF-файлов добавлена поддержка изменения цвета скрытого текста.
• В интерфейсе администратора улучшено оформление боковой панели и добавлены новые пиктограммы.
• В DocumentServer устранены уязвимости: межсайтовый скриптинг (XSS) в denyEditingRights и возможность добавления именованного диапазона в защищённых документах через манипуляции с websocket. Обновлены СУБД Redis с устранением уязвимости СVE-2025-49844 и пакет linux-libc-dev с добавлением защиты от атаки VMScape.

1. Главная ссылка к новости
2. OpenNews: Представлен открытый офисный пакет Collabora Office
3. OpenNews: Выпуск Apache OpenOffice 4.1.16 с устранением переполнения буфера при обработке CSV-файлов
4. OpenNews: Выпуск офисного пакета LibreOffice 25.8
5. OpenNews: Опубликован офисный пакет ONLYOFFICE 9.1
6. OpenNews: Mozilla развивает Thunderbird Pro и сервис Thundermail в стиле Gmail и Office 365