Исследователи из компании Forever Security, разбирая причины появления вредоносного ПО в системе одного из клиентов, выявили новый способ атаки на AI-агентов, основанный на том, что многие AI-агенты по умолчанию обрабатывают инструкции из файла AGENTS.md, размещённого в корне проекта, к работе над которым они привлечены. Атака проводится через размещение в каталоге ~/Downloads файла AGENTS.md или CLAUDE.md с инструкцией по установке вредоносного ПО (в рассмотренном случае устанавливался вредоносный npm-пакет «function-color»). Выявленная активность является вариацией известного метода атаки на разработчиков ПО, при котором злоумышленник создаёт репозиторий с легитимным кодом и размещает в нём файл AGENTS.md или передаёт данный файл в составе pull-запросов или … Читать далее Атака на AI-агенты через размещение файла AGENTS.md в каталоге с загрузками

Опубликованы корректирующие выпуски языка программирования Ruby 3.3.13, 3.4.12 и 4.0.9, в которых устранена критическая уязвимость (CVE-2026-110264), приводящая к целочисленному переполнению при компиляции специально оформленных регулярных выражений. Уязвимость может использоваться для атаки на проекты, написанные на языке Ruby и использующие внешние данные в регулярных выражениях. Среди прочего, подтверждена возможность эксплуатации уязвимости для удалённого выполнения кода в платформе совместной разработки GitLab. Проблема дополнительно блокирована в обновлениях GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Уязвимости присвоен уровень опасности 10 из 10. Уязвимость присутствует в движке регулярных выражений Onigmo и приводит к переполнению внутренних идентификаторов при компиляции шаблона с большим числом повторов. … Читать далее Уязвимость в Ruby, эксплуатируемая для удалённого выполнения кода в GitLab

Томас Адам (Thomas Adam), создатель оконного менеджера FVWM3, один из ключевых разработчиков FVWM и сопровождающий переносимую версию мультиплексора терминалов tmux, опубликовал проект CoW, нацеленный на создание стекового оконного менеджера в стиле FVWM и MWM, использующего протокол Wayland вместо X11. Из отличий отмечается более простой механизм настройки, в котором вместо усложнённого синтаксиса конфигурации задействован набор команд, похожих на команды tmux, применяемый как в файле конфигурации, так и в IPC-интерфейсе удалённого управления. Код написан на языке Си и распространяется под лицензией ISC. Сборки формируются для Arch Linux, Fedora и OpenBSD. CoW реализован поверх модульного композитного сервера River, который отвечает за реализацию протокола … Читать далее Выпуск CoW 0.4, адаптации оконного менеджера FVWM для Wayland

Через полгода после публикации прототипа Windows-подобной операционной системы C:\Deb сформирована первая альфа-версия проекта, получившего новое название — CusDeb OS. В отличие от прототипа, который представлял собой обычное Linux-окружение, стилизованное под Windows 95/98 с использованием PCManFM, LXPanel и других компонентов, CusDeb OS Alpha 1 предлагает полноценное классическое Win32-окружение, основанное на пользовательских компонентах ReactOS, работающих через Wine. Пользовательское окружение развивается как часть CusDeb OS под именем CDEX (CusDeb Desktop Environment X) и представляет собой редакцию оболочки ReactOS, адаптированную для работы без ядра данной операционной системы. На текущем этапе CDEX содержит лишь минимальные изменения, направленные на устранение различных шероховатостей в работе Win32-окружения под … Читать далее Альфа-версия CusDeb OS, Windows-подобной ОС на базе Linux и пользовательского окружения ReactOS

Опубликован выпуск торрент-клиента qBittorrent 5.3.0, написанного с использованием тулкита Qt и развиваемого в качестве открытой альтернативы µTorrent, приближенной к нему по интерфейсу и функциональности. Среди возможностей qBittorrent: интегрированный поисковый движок, возможность подписки на RSS, поддержка многих BEP-расширений, удалённое управление через web-интерфейс, режим последовательной загрузки в заданном порядке, расширенные настройки для торрентов, пиров и трекеров, планировщик пропускной способности и IP-фильтр, интерфейс для создания торрентов, поддержка UPnP и NAT-PMP. Код проекта написан на языке С++ и распространяется под лицензией GPLv2+. Сборки формируются для Linux, Windows и macOS. Среди изменений: Осуществлён переход на использование по умолчанию библиотеки libtorrent 2.1.x, вместо ветки 1.2.x, поддержка … Читать далее Выпуск qBittorrent 5.3.0

Представлен релиз языка программирования Mojo 1.2. Язык Mojo развивается под руководством Криса Латнера (Chris Lattner), основателя и главного архитектора проекта LLVM и создателя языка программирования Swift. Код компилятора и сопутствующего инструментария, необходимого для сборки проектов на языке Mojo, распространяется под лицензией Apache 2.0 c исключениями от проекта LLVM, допускающими смешивание с кодом под лицензией GPLv2. Синтаксис Mojo основан на языке Python, а система типов близка к C/C++. Проект преподносится как язык общего назначения, расширяющий возможности языка Python средствами системного программирования, подходящий для широкого круга задач и сочетающий простоту применения для исследовательских разработок и быстрого создания прототипов с пригодностью для формирования … Читать далее Релиз языка программирования Mojo 1.2 и публикация кода движка MAX Framework

Альянс Open Media (AOMedia) объявил об успехах продвижения видеокодека AV2, не требующего патентных и лицензионных отчислений, обеспечивающего примерно на 30% большую эффективность сжатия по сравнению с AV1 и поддерживающего расширенные возможности для потокового вещания, отдачи видео по запросу (VOD), применения в видеоконференциях и интерактивных системах. YouTube планирует начать вещание в AV2 в начале 2027 года, первое время только при просмотре через Web. Также отмечается, что по состоянию на март этого года 90% контента в YouTube доступно в формате AV1. Google проводит внутреннее тестирование экспериментальных сборок Chrome с поддержкой AV2, но пока не перенёс изменения в официальные нестабильные сборки. Появление поддержки … Читать далее YouTube добавит поддержку AV2 в начале 2027 года, Intel готовит SVT-AV2

В кодовую базу системного менеджера systemd принято изменение, добавляющее возможность создания компонентов на языке Rust. Rust намерены использовать только для разработки новых компонентов, а существующий код на языке Си переписывать на Rust не планируют. Пакетный менеджер cargo в процессе сборки не применяется, остаётся задействована только сборочная система Meson. Rust-код используется в режиме «no_std» (без стандартной библиотеки), разрешено использовать только библиотеки core, alloc и libc. Компоненты systemd на Rust динамически связываются с Си-библиотекой libsystemd-shared. Rust-обвязки над libsystemd-shared генерируются автоматически на этапе сборки из заголовочных файлов при помощи утилиты bindgen, и становятся доступны для rust-программ в форме пакета systemd_shared. Для работы требуется … Читать далее В systemd добавлена возможность разработки компонентов на языке Rust

В библиотеке с эталонной реализацией декодировщика формата сжатия данных Brotli выявлена уязвимость (CVE-2026-111497, кодовые имена Broccoli2Shell и HTTP2Shell), приводящая к переполнению буфера при обработке специально оформленных сжатых данных. По данным Google уязвимость может использоваться для удалённого выполнения кода при атаке на проекты, использующие официальную реализацию декодировщика Brotli. Среди затрагиваемых уязвимостью проектов: Node.js, Bun, Envoy, Istio, web-браузеры, прокси-серверы, HTTP-клиенты, HTTP-серверы, архиваторы, прокси-серверы, UEFI-прошивки, просмотрщики JPEG XL, декодирующие контент библиотеки для Python, Ruby, Java, PHP и .NET и связанные с ними зависимости. Проблема была выявлена компанией OpenAI в феврале этого года и блокирована в кодовой базе Brotli через отбрасывание некорректных потоков при … Читать далее Критическая уязвимость в декодировщике Brotli, затрагивающая Node.JS, Bun, браузеры, HTTP-клиенты и другие проекты

Разработчики проекта PHP предупредили о выявлении ещё одной уязвимости (CVE-2026-115560), которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности о уязвимости намерены опубликовать после готовности очередных корректирующих выпусков PHP. В качестве обходного пути защиты рекомендуется выставить в php.ini параметр «session.upload_progress.enabled=0», который также был рекомендован в качестве одной из мер блокирования прошлой критической уязвимости. Проблема проявляется при наличии в настройках параметра «session.serialize_handler», выставленного в значение «php_binary» или «php_serialize», и изменения этого парамтера в PHP-коде на значение «php» через функцию «ini_set()» на стадии до вызова функции … Читать далее Ещё одна уязвимость в PHP, в редких конфигурациях позволяющая удалённо выполнить код

Опубликованы детали инцидента, в ходе которого злоумышленникам удалось получить контроль над 333 выходными узлами сети Tor (всего в Tor около 3000 выходных узлов) и организовать на них перехват нешифрованного трафика и перенаправление SSH-соединений. Атака началась 2 октября (в пятницу вечером), но была выявлена и начала блокироваться 4 октября. 5 октября все скомпрометированные серверы были отключены операторами или самими атакующими. Разбирательство показало, что атакующие получили доступ к серверам за два месяца до начала атаки на пользователей Tor и установили в скомпрометированных системах вредоносное ПО Ebury 1.8.3. Целью атаки был перехват паролей, ключей и конфиденциальной информации в транзитном незашифрованном трафике, а также … Читать далее Около 10% выходных узлов Tor были вовлечены в атаку по перехвату SSH-подключений

Компания Аnthropic представила результаты экспериментов по использованию AI-моделей для формальной верификации надёжности и безопасности уже существующих проектов. В ходе эксперимента при помощи AI-моделей для 123 открытых библиотек, протестированных в инфраструктуре OSS Fuzz, были сгенерированы математические доказательства отсутствия ошибок при работе с памятью. Проверка проводилась на уровне скомпилированного ассемблерного кода для архитектуры RISC-V. Общий объём сгенерированных доказательств составил около 180 миллионов строк кода для системы верификации Rocq Prover (около 600 тысяч строк на бинарный файл с 18 тысячами RISC-V инструкций). Доказательства формировались путём автоматического преобразования существующих fuzzing-тестов в формальные спецификации, после чего AI-модель Claude доказывала, что при любых входных данных объёмом … Читать далее Аnthropic развивает технику для формальной верификации существующего ПО при помощи AI

Исследователи из компании VulnCheck заявили о получении первого эксплоита для уязвимости PHP2Shell (CVE-2026-109618б), обходящего механизм рандомизации адресов (ASLR) на системах x86-64 с типовой конфигурацией PHP. Эксплоит позволяет атаковать системы с PHP 8.4.10-8.4.26 в конфигурации по умолчанию. Ранее трудность определения раскладки памяти в модуле mod_php мешала реализации эксплоита, позволяющего добиться выполнения кода на реальных системах. Для обхода ASLR в эксплоите задействована утечка информации об адресах в коде отображения информации об ошибках. Заявлено, что доступ к рабочему эксплоиту предоставлен только клиентам, занимающимся защитой информации, но злоумышленники могут воссоздать используемую технику при помощи AI. Для обходного пути блокирования утечки информации о раскладке адресов … Читать далее Для уязвимостей PHP2Shell анонсирован первый эксплоит, обходящий рандомизацию адресов

Опубликован выпуск открытого кроссплатформенного менеджера паролей KeePassXC 2.8.0, предоставляющего средства для безопасного хранения обычных паролей, одноразовых паролей (TOTP), SSH-ключей и прочей информации, которую пользователь считает конфиденциальной. Данные могут храниться как в локальном зашифрованном хранилище, так и во внешних облачных хранилищах. Код проекта написан на языке C++ с использованием библиотеки Qt и распространяется под лицензиями GPLv2 и GPLv3. Готовые сборки подготовлены для Linux (AppImage, Flatpak, Ubuntu PPA, Snap), Windows и macOS. Основные возможности: Работа с БД в формате KDBX. Хранение информации в зашифрованном виде. Возможность прикрепления к записям о сохранённых паролях файлов и собственных атрибутов. Систематизация информации с распределением по группам. … Читать далее Релиз менеджера паролей KeePassXC 2.8

Состоялся релиз проекта F-Stack 2.0, развивающего редакцию сетевого стека FreeBSD, адаптированную для обособленной работы в пользовательском пространстве в форме библиотеки. Проект создан крупнейшей в Китае телекоммуникационной компанией Tencent и используется в её продуктах и сервисах. Код написан на языке Си и распространяется под лицензией BSD. Поддерживается работа в Linux и FreeBSD. Проектом также поддерживаются переведённые на использование F-Stack редакции Nginx 1.28 и СУБД Redis 6.2.6, демонстрирующие производительность выше обычных сборок, работающих поверх системного сетевого стека. F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым … Читать далее Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве

Зафиксирована публикация в репозитории PyPI вредоносного выпуска библиотеки LiteLLM, насчитывающей 23 млн загрузок в неделю, а также подстановка вредоносного кода в официальный Docker-образ проекта. Это не первый подобный инцидент с LiteLLM — в марте этого года атакующие уже публиковали вредоносные выпуски после перехвата учётных данных сопровождающего. На этот раз атакующие разместили версию LiteLLM 1.107.0, в которую был встроен вредоносный код для организации удалённого выполнения команд, а также поиска и отправки учётных данных, ключей и токенов доступа. Вредоносный код был подставлен на этапе сборочного процесса без компрометации git-репозитория. После установки вредоносный код активируется до импорта LiteLLM через установку файлов cook.pth, cook.py … Читать далее В PyPI-пакет и Docker-образ с LiteLLM подставлено вредоносное ПО

Компания eMudhra опубликовала заявление, связанное с инцидентом, в результате которого у восьми корневых сертификатов удостоверяющего центра оказались легко подбираемые закрытые ключи, имеющие всего 1 байт энтропии вместо 48. eMudhra утверждает, что сертификаты были сгенерированы в апреле 2025 года на публичной торжественной церемонии с использованием аппаратных модулей HSM (Hardware Security Module), имеющих сертификат соответствия требованиям FIPS 140-2 Level 3. В процессе генерации ключей произошёл сбой, из-за которого на этапе упаковки/распаковки в HSM (wrap/unwrap, шифрование и расшифровка ключом-обёрткой) в дополнение к основному набору криптостойких ключей был создан второй набор слабых ключей с обнулёнными старшими байтами, который и был задействован в сертификатах. Сбой … Читать далее Проблемные корневые сертификаты eMudhra были сгенерированы в HSM и прошли независимый аудит

Разработчики PHP опубликовали отчёт о проблемах, возникших в процессе устранения исправленных вчера критических уязвимостей в PHP. Информация об уязвимости, возникающей при исчерпании доступной памяти, была получена в ходе внешнего аудита ещё в 2024 году, но была воспринята лишь как теоретическая возможность совершения атаки. Исправление затянулось из-за проблем с достижением консенсуса среди разработчиков PHP о способе устранения уязвимости. Рассматривалось несколько конкурирующих предложений о решении проблемы, каждое из которых имело свои минусы. Приходилось выбирать между нарушением обратной совместимости, появлением новых векторов для атак, вызывающих отказ в обслуживании, и необходимостью внесения изменений во множество сторонних дополнений. Несколько месяцев назад компании Calif и Wiz … Читать далее Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP

Опубликован релиз пользовательского окружения Dux Shell 2.0, поддерживающего работу поверх композитных серверов niri, Hyprland, Sway, MangoWC, labwc, Scroll, Aqueous и Miracle WM. Это первый выпуск после переименования проекта DankMaterialShell (DMS) в Dux Shell. Новое имя проще, созвучно с пингвином Tux и не включает в часть названия чужого бренда. Dux Shell развивает набор сочетающихся между собой компонентов для формирования рабочего стола, таких как панель задач, переключатель виртуальных рабочих столов, интерфейс навигации по установленным приложениям и конфигуратор. Оформление соответствует концепции Material Design 3. Dux Shell поддерживает динамические темы оформления, автоматически применяемые к GTK, Qt и системным приложениям. Цветовые схемы для тем формируются … Читать далее Выпуск пользовательского окружения Dux Shell 2.0

Опубликованы корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1, в которых исправлены две критические уязвимости: CVE-2026-109618 — удалённое выполнение кода, вызванное тем, что при исчерпании доступной процессу свободной памяти обработчик нехватки памяти через выполнение функции longjmp() может прервать PHP-интерпретатор в состоянии, когда инициализирована лишь часть внутренних структур, связанных с обработкой запроса. В последующем функция завершения обработки запроса обращается к этим структурам как к уже инициализированным, хотя память для них не выделена. Основным вектором атаки является манипуляция с multipart-запросами для создание условий для исчерпания доступной процессу … Читать далее Раскрыты детали критических уязвимостей в PHP и опубликованы корректирующие обновления

Компания System76, разрабатывающая Linux-дистрибутив Pop!_OS, опубликовала выпуск среды рабочего стола COSMIC 1.10.0. Пакеты с COSMIC 1.11.0 доступны в дистрибутиве Pop!_OS 24.04 и в ближайшее время ожидаются в Fedora, NixOS, Arch Linux, openSUSE, aerynOS, Redox и CachyOS. Код написан на языке Rust и распространяется под лицензиями GPLv3 (приложения) и MPL-2.0 (библиотеки). COSMIC развивается как универсальный проект, не привязанный к конкретному дистрибутиву и соответствующий спецификациям Freedesktop. Для построения интерфейса в COSMIC задействована библиотека Iced, которая использует безопасные типы, модульную архитектуру и модель реактивного программирования, а также предлагает архитектуру, привычную для разработчиков, знакомых с языком декларативного построения интерфейсов Elm. Предоставляется несколько движков отрисовки, … Читать далее Выпуск среды рабочего стола COSMIC 1.11.0