fox :: echo/AAzuNREJs3dY7vhmyKA5

FastFlowLM 1.0

robot — 2026-08-11 22:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23880/1000px.jpg"
alt="FastFlowLM 1.0"
srcset="images/23880/500px.jpg 500w, https://www.linux.org.ru/images/23880/original.png 800w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=563>

FastFlowLM предназначен для NPU архитектуры AMD XDNA2 и [ поддерживает семейства Ryzen AI Strix Point, Strix Halo, Kraken Point и Gorgon Point ]( https://github.com/ROCm/FastFlowLM ) . Проект позволяет запускать на NPU языковые и vision-language модели, модели распознавания речи, embeddings и MoE. Заявлена поддержка контекстного окна вплоть до 256 тыс. токенов для некоторых моделей. Размер самого runtime составляет около 17 МБ.

Основные изменения FastFlowLM 1.0:

( [ читать дальше... ]( https://www.linux.org.ru/news/ai/18357231#cut ) )

OpenSSH 10.5

robot — 2026-08-11 20:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23879/1000px.jpg"
alt="OpenSSH 10.5"
srcset="images/23879/500px.jpg 500w, https://www.linux.org.ru/images/23879/original.png 939w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=693>

11 августа состоялся [ выпуск OpenSSH 10.5 ]( https://www.openssh.org/txt/release-10.5 ) , свободной реализации протокола SSH 2.0, включающей клиент и сервер SSH, средства SFTP, перенаправления портов, управления ключами и аутентификации. Новый выпуск последовал примерно через пять недель после OpenSSH 10.4 и преимущественно посвящён исправлению проблем безопасности и ошибок.

Разработчики отдельно объяснили необычно короткий интервал между выпусками [ ростом количества поступающих сообщений об уязвимостях ]( https://www.openssh.org/txt/release-10.5 ) , многие из которых обнаружены моделями искусственного интеллекта или при помощи ИИ. Значительная часть таких отчётов после анализа не представляет практической угрозы, однако команда OpenSSH отметила случаи, когда найденная ИИ проблема позднее независимо обнаруживалась другим исследователем. По мнению разработчиков, это указывает на возможность использования подобных средств злоумышленниками, которые не станут сообщать проектам СПО о найденных ошибках. В связи с этим команда намерена пока [ выпускать исправления чаще ]( https://www.openssh.org/txt/release-10.5 ) , не накапливая их до следующего планового релиза.

( [ читать дальше... ]( https://www.linux.org.ru/news/opensource/18357228#cut ) )

Linux Mint опубликовал HWE-сборку с ядром Linux 7.0

robot — 2026-08-11 10:44:03

robot -> All

Разработчики дистрибутива Linux Mint опубликовали обновлённые iso-образы, поставляемые с более новой версией ядра Linux. Для выпуска Linux Mint 22.3, изначально поставляемого с ядром 6.14, опубликовано HWE-обновление (Hardware Enablement) с версией ядра 7.0, перенесённой из Ubuntu 26.04 и подготовленной для включения в Ubuntu 26.04.5 LTS. Предполагается, что публикация подобных промежуточных обновлений iso-образов решит возникающие у пользователей проблемы с поддержкой нового оборудования, на фоне продления цикла подготовки релизов и решении опубликовать следующий выпуск Linux Mint в конце декабря 2026 года, а не в начале сентября.

https://www.opennet.ru/opennews/art.shtml?num=66063

Сотрудники Mozilla случайно разместили на GitHub закрытый GPG-ключ Firefox и Thunderbird

robot — 2026-08-11 10:44:03

robot -> All

Компания Mozilla объявила о замене GPG-ключа, применяемого для заверения цифровой подписью артефактов релизов Firefox и Thunderbird, таких как tar-архивы, RPM-пакеты и файлы с контрольными суммами. Замена произведена в связи с инцидентом, в результате которого назашифрованная копия ключа была по недосмотру добавлена в приватный репозиторий компании на GitHub, доступный ограниченному числу участников проекта, которые имели доступ к применению ключа через внутренние сервисы.

https://www.opennet.ru/opennews/art.shtml?num=66062

Apache NetBeans 31

robot — 2026-08-11 09:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23878/1000px.jpg"
alt="Apache NetBeans 31"
srcset="images/23878/500px.jpg 500w, https://www.linux.org.ru/images/23878/original.png 600w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=1155>

10 августа состоялся [ релиз Apache NetBeans 31 ]( https://netbeans.apache.org/front/main/download/nb31/ ) — очередной выпуск свободной интегрированной среды разработки, платформы инструментов разработчика и фреймворка для создания приложений. NetBeans ориентирован прежде всего на Java, но также предоставляет средства для PHP, JavaScript, TypeScript, HTML/CSS и ряда других технологий. Проект развивается под эгидой Apache Software Foundation и распространяется под лицензией Apache 2.0.

( [ читать дальше... ]( https://www.linux.org.ru/news/java/18356771#cut ) )

Второй тестовый выпуск композитного сервера Xfwl4 от проекта Xfce

robot — 2026-08-11 09:44:03

robot -> All

Представлен второй предварительный выпуск композитного сервера Xfwl4, использующего протокол Wayland. Xfwl4 написан на языке Rust с использованием библиотеки Smithay. Проект не пересекается с кодовой базой оконного менеджера xfwm4, но нацелен на реализацию всей имеющейся в xfwm4 функциональности, вплоть до возможности использования существующих настроек xfconf и интерфейса конфигурации с учётом специфики использования Wayland вместо X11. Функциональность Xfwl4 намерены довести до уровня, при котором пользователь сможет переключаться между Xfwl4 и xfwm4, не замечая различий.

https://www.opennet.ru/opennews/art.shtml?num=66061

Выпуск сборочной системы Meson 1.12.0

robot — 2026-08-11 09:44:03

robot -> All

Опубликован релиз сборочной системы Meson 1.12.0, которая используется для сборки таких проектов, как X.Org Server, Mesa, QEMU, Lighttpd, systemd, GStreamer, Wayland, GNOME и GTK. Код Meson написан на языке Python и поставляется под лицензией Apache 2.0.

https://www.opennet.ru/opennews/art.shtml?num=66060

Purism выпустила защищённый Linux-ноутбук Librem 16

robot — 2026-08-11 01:44:04

robot -> All

https://www.linux.org.ru/images/23874/original.png" itemprop="contentURL">

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23874/1000px.jpg"
alt="Purism выпустила защищённый Linux-ноутбук Librem 16"
srcset="images/23874/500px.jpg 500w, images/23874/1000px.jpg 1000w, images/23874/1500px.jpg 1500w, https://www.linux.org.ru/images/23874/original.png 1920w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=563>

Компания Purism выпустила 16-дюймовый ноутбук Librem 16, ориентированный на пользователей, которым важны свободное ПО, конфиденциальность и возможность аппаратного отключения потенциально опасных компонентов. Официальный [ анонс устройства состоялся 23 июня 2026 года ]( https://puri.sm/posts/librem-16-product-launch/ ) , хотя ряд СМИ обратил внимание на модель только сейчас.

Librem 16 поставляется с разработанным Purism дистрибутивом [ PureOS ]( https://puri.sm/products/librem-16/ ) , основанным на Debian. PureOS состоит из свободного ПО и входит в [ список рекомендованных Free Software Foundation дистрибутивов GNU/Linux ]( https://www.fsf.org/news/fsf-adds-pureos-to-list-of-endorsed-gnu-linux-distributions-1 ) . Purism заявляет об отсутствии в системе рекламы, запросов на сбор пользовательских данных и фоновых сервисов, передающих сторонним компаниям телеметрию.

Одной из главных особенностей Librem 16 стали [ два физических переключателя ]( https://puri.sm/products/librem-16/ ) , расположенные над клавиатурой. Первый аппаратно отключает камеру и микрофон, второй — Wi-Fi и Bluetooth. В документации подчёркивается, что при переводе переключателя в положение OFF соответствующие устройства [ физически отсоединяются и перестают работать ]( https://docs.puri.sm/Hardware/l16/overview/getting_started.html ) , то есть отключение не зависит от состояния операционной системы или драйверов.

( [ читать дальше... ]( https://www.linux.org.ru/news/hardware/18356532#cut ) )

Релиз ALT Workstation 11.2

robot — 2026-08-11 01:44:04

robot -> All

Вышло обновление рабочей станции ALT Workstation 11.2. Сборка основана на ядре 6.12 LTS, в составе — свежее окружение GNOME 48 и множество улучшений.

( [ читать дальше... ]( https://www.linux.org.ru/news/russia/18356587#cut ) )

Подробнее читайте на ресурсах сообщества:

• [ altlinux-announce-ru@ ]( https://lists.altlinux.org/pipermail/altlinux-announce-ru/2026/000071.html )

• [ community@ ]( https://lists.altlinux.org/pipermail/community/2026-August/689512.html )

[ Новость на basealt.ru ]( https://www.basealt.ru/about/news/archive/view/alt-rabochaja-stancija-112-gnome-48-novye-instrumenty-upravlenija-prilozhenija-i-besshovnaja-migracija )

[ Другие дистрибутивы ALT на сайте загрузки ]( http://getalt.ru )

Представлен ReTransmission, форк BitTorrent-клиента Transmission

robot — 2026-08-11 00:44:03

robot -> All

В рамках проекта ReTransmission началась разработка форка BitTorrent-клиента Transmission. К разработке форка подключились Чарльз Керр (Charles Kerr), ключевой разработчик проекта, внёсший большинство изменений, а также Ят Хо (Yat Ho), занимающий третье место по числу коммитов. В качестве причины создания форка упоминается урегулирование конфликта между сопровождающими по вопросу целесообразности добавления новых сопровождающих.

https://www.opennet.ru/opennews/art.shtml?num=66057

«МойОфис» закрыл офисы в Петербурге и Иннополисе, штат компании сократился примерно в четыре раза

robot — 2026-08-09 23:44:03

robot -> All

Российский разработчик офисного ПО «МойОфис» (ООО «Новые облачные технологии», НОТ) закрыл центры разработки в Санкт-Петербурге и Иннополисе. Об этом [ «Ведомостям» рассказали действующий и бывшие сотрудники компании ]( https://www.vedomosti.ru/technology/articles/2026/08/07/1219453-moiofis-zakril-ofisi-v-peterburge-i-innopolise ) . Гендиректор НОТ Вячеслав Закоржевский подтвердил закрытие [ «нескольких офисов» ]( https://www.vedomosti.ru/technology/articles/2026/08/07/1219453-moiofis-zakril-ofisi-v-peterburge-i-innopolise ) , не уточнив их расположение. Оставшиеся сотрудники теперь работают в московском офисе основного владельца компании — «Лаборатории Касперского» в бизнес-центре «Олимпия Парк».

Закрытие площадок стало продолжением масштабной реструктуризации, начавшейся весной 2026 года. Особенно сильно она затронула персонал. По данным председателя профсоюзной организации НОТ Артёма Семёнова, [ 26 марта в компании работали 1073 человека, а к 22 июня их осталось 278 ]( https://www.comnews.ru/content/246074/2026-06-29/2026-w27/1009/moyofis-otchitalsya-ob-ubytke-pochti-9-mlrd-rub ) . По информации источников «Ведомостей», к началу августа штат составлял уже около 250–270 сотрудников.

( [ читать дальше... ]( https://www.linux.org.ru/news/proprietary/18355249#cut ) )

Polychromatic 0.9.8

robot — 2026-08-09 12:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23873/1000px.jpg"
alt="Polychromatic 0.9.8"
srcset="images/23873/500px.jpg 500w, images/23873/1000px.jpg 1000w, https://www.linux.org.ru/images/23873/original.jpg 1280w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=625>

Polychromatic не содержит собственных драйверов оборудования, а работает как графическая оболочка над [ OpenRazer ]( https://github.com/openrazer/openrazer ) , предоставляющим драйвер ядра, фоновый D-Bus-сервис и Python API. Через приложение можно изменять яркость и режимы подсветки, настраивать DPI и частоту опроса совместимых устройств, управлять параметрами через системный трей и создавать собственные RGB-эффекты.

Главным функциональным изменением Polychromatic 0.9.8 стала [ карта клавиатуры Razer Blade 16 образца 2023 года ]( https://github.com/polychromatic/polychromatic/pull/592 ) . Драйверная поддержка ноутбука появилась не в этом релизе: модель с USB-идентификатором 1532:029F уже поддерживается OpenRazer. Новая карта нужна самому Polychromatic для корректного отображения физического расположения клавиш и адресуемых светодиодов при настройке подсветки.

( [ читать дальше... ]( https://www.linux.org.ru/news/hardware/18355552#cut ) )

Wine 11.15

robot — 2026-08-09 12:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23872/1000px.jpg"
alt="Wine 11.15"
srcset=", https://www.linux.org.ru/images/23872/original.jpg 410w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=976>

8 августа 2026 года [ состоялся выпуск Wine 11.15 ]( https://www.winehq.org/news/2026080801 ) — очередной экспериментальной версии свободного слоя совместимости для запуска Windows-приложений в Linux, macOS и других Unix-подобных системах. В релиз вошли поддержка сборки ARM64EC в режиме MinGW, локальная аутентификация NTLM, новые алгоритмы выработки ключей в BCrypt и дополнительные преобразования графических форматов в WindowsCodecs. Всего разработчики закрыли 41 ранее зарегистрированную ошибку.

Одним из основных изменений стала [ поддержка сборки ARM64EC при использовании MinGW ]( https://gitlab.winehq.org/wine/wine/-/releases/wine-11.15 ) . ARM64EC (Emulation Compatible) — разработанный Microsoft ABI для Windows на ARM, позволяющий в рамках одного процесса сочетать код, выполняемый непосредственно на ARM64, и компоненты x86-64, запускаемые посредством трансляции. Благодаря этому приложение не обязательно переносить на ARM целиком: отдельные библиотеки можно постепенно заменять нативными ARM64EC-версиями, сохраняя совместимость с оставшимися x86-64-компонентами. [ Microsoft использует именно такой подход ]( https://learn.microsoft.com/en-us/windows/arm/arm64ec ) для перехода существующих Windows-приложений на ARM. Поддержка этого режима в MinGW продолжает работу Wine по улучшению запуска Windows-программ на ARM64-системах.

Среди остальных основных изменений Wine 11.15 разработчики выделяют:

( [ читать дальше... ]( https://www.linux.org.ru/news/opensource/18355551#cut ) )

SCTPhantom - уязвимость в ядре Linux, предоставляющая root-доступ и выход из контейнера

robot — 2026-08-09 12:44:02

robot -> All

В реализации протокола SCTP, предлагаемой в ядре Linux.

https://www.opennet.ru/opennews/art.shtml?num=66056

Proxmox VE получил официальную поддержку 64-разрядных ARM-серверов

robot — 2026-08-09 11:44:04

robot -> All

https://www.linux.org.ru/images/23871/original.png" itemprop="contentURL">

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23871/1000px.jpg"
alt="Proxmox VE получил официальную поддержку 64-разрядных ARM-серверов"
srcset="images/23871/500px.jpg 500w, images/23871/1000px.jpg 1000w, images/23871/1500px.jpg 1500w, https://www.linux.org.ru/images/23871/original.png 1920w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=563>

5 августа 2026 года компания Proxmox Server Solutions [ выпустила первую официально поддерживаемую версию Proxmox Virtual Environment для архитектуры ARM64 ]( https://www.proxmox.com/en/about/company-details/press-releases/proxmox-virtual-environment-launches-official-arm64-support ) . До сих пор серверная платформа виртуализации Proxmox VE официально выпускалась для x86-64, хотя существовали сторонние порты и экспериментальные способы запуска на ARM.

ARM64-вариант реализован не как отдельный форк или урезанная редакция. [ Proxmox VE 9.2 for arm64 использует ту же кодовую базу, репозитории пакетов и цикл выпуска ]( https://forum.proxmox.com/threads/proxmox-virtual-environment-now-available-for-64-bit-arm-arm64.185527/ ) , что и версия для x86-64. Обе архитектуры собираются из одних исходников и должны получать одинаковые версии пакетов, хотя разработчики предупреждают, что отдельные ARM64-сборки могут появляться немного позже из-за меньшего количества оборудования для тестирования.

( [ читать дальше... ]( https://www.linux.org.ru/news/clusters/18355550#cut ) )

Обновление дистрибутива для одноплатных ПК DietPi 10.6

robot — 2026-08-09 10:44:03

robot -> All

Сформирован выпуск DietPi 10.6, дистрибутива для одноплатных ПК на базе архитектур ARM и RISC-V, таких как Raspberry Pi, Orange Pi, NanoPi, BananaPi, BeagleBone Black, Rock64, Rock Pi, Quartz64, Pine64, Asus Tinker, Odroid и VisionFive 2. Дистрибутив построен на пакетной базе Debian и доступен в сборках для более, чем 50 плат. DietPi также может применяться для создания компактных окружений для виртуальных машин и обычных ПК на базе архитектуры x86_64. Сборки для плат отличаются небольшим размером (в среднем 130 МБ) по сравнению с Raspberry Pi OS и Armbian. Инструментарий для сборки и сопровождения дистрибутива распространяется под лицензией GPLv2.

https://www.opennet.ru/opennews/art.shtml?num=66055

Обновление антивирусного пакета ClamAV 1.4.6 и 1.5.4 с устранением 8 уязвимостей

robot — 2026-08-09 10:44:03

robot -> All

Компания Cisco опубликовала новые выпуски свободного антивирусного пакета ClamAV 1.4.6 и 1.5.4, в которых устранены уязвимости, некоторые из которых могут привести к выполнению кода атакующего при проверке специально оформленного содержимого.

https://www.opennet.ru/opennews/art.shtml?num=66054

Новые версии Wine 11.15 и Wine-staging 11.15

robot — 2026-08-09 10:44:03

robot -> All

Опубликован экспериментальный выпуск открытой реализации Win32 API - Wine 11.15. С момента выпуска 11.14 был закрыт 41 отчёт об ошибках и внесено 207 изменений.

https://www.opennet.ru/opennews/art.shtml?num=66053

ClamAV 1.5.4 и 1.4.6

robot — 2026-08-08 12:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23865/1000px.jpg"
alt="ClamAV 1.5.4 и 1.4.6"
srcset="images/23865/500px.jpg 500w, images/23865/1000px.jpg 1000w, https://www.linux.org.ru/images/23865/original.jpg 1200w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=667>

7 августа опубликованы корректирующие выпуски свободного антивирусного пакета ClamAV 1.5.4 и 1.4.6. Основное внимание в новых версиях уделено безопасности: в актуальной ветке 1.5 закрыто восемь CVE, шесть из которых также исправлены в поддерживаемой ветке 1.4. Кроме того, устранена проблема в clamd, способная приводить к раскрытию содержимого памяти процесса.

В ClamAV 1.5.4 исправлены следующие уязвимости:

( [ читать дальше... ]( https://www.linux.org.ru/news/security/18354803#cut ) )

В OpenJDK запрещён приём кода, созданного через AI. В NetworkManager разрешён

robot — 2026-08-08 11:44:03

robot -> All

Компания Oracle запретила приём в открытый проект OpenJDK изменений, сгенерированных через AI-инструменты. Запрет охватывает исходный код, текстовые материалы и изображения, передаваемые в репозитории проекта или размещаемые на сайте, в сообщениях или на wiki-страницах. Из областей в которых разрешено применение AI при разработке Java называются отладка и рецензирование кода.

https://www.opennet.ru/opennews/art.shtml?num=66049

GCC 16.2

robot — 2026-08-08 10:44:04

robot -> All

https://www.linux.org.ru/images/23864/original.jpg" itemprop="contentURL">

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23864/1000px.jpg"
alt="GCC 16.2"
srcset="images/23864/500px.jpg 500w, images/23864/1000px.jpg 1000w, https://www.linux.org.ru/images/23864/original.jpg 1280w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=1180>

7 августа состоялся [ выпуск GCC 16.2 ]( https://gcc.gnu.org/gcc-16/ ) — второго стабильного релиза ветки GCC 16. Новая версия носит преимущественно корректирующий характер: разработчики прямо называют её bug-fix release, содержащим исправления регрессий, обнаруженных в GCC 16.1 относительно предыдущих выпусков.

( [ читать дальше... ]( https://www.linux.org.ru/news/gnu/18354801#cut ) )

Объявлено о расформировании Nixpkgs Core Team

robot — 2026-08-08 10:44:02

robot -> All

Команда Nixpkgs Core Team объявила о своём расформировании в связи с выгоранием участников и накопившемся системном кризисе управления в сообществе. Команда координировала работу над репозиторием пакетов Nixpkgs, применяемом в дистрибутиве NixOS, и также выполняла такие задачи, как урегулирование разногласий между мейнтейнерами и утверждение новых участников.

https://www.opennet.ru/opennews/art.shtml?num=66048

В freenginx и nginx добавили проверку размера текстовой переменной перед тем как записывать в неё данные (+ CVE)

robot — 2026-08-07 13:44:04

robot -> All

TL;DR: Столкнувшись с третьим обнаруженным за 2026 год переполнением буфера (и, по версии F5, RCE если нет ASLR) при работе с регэкспами и переменными, разработчик freenginx Максим Дунин решил, что пора это прекращать, и добавил в свой продукт проверку размера переменной перед тем как записывать в неё данные. Оттуда это нововведение утащили к себе и nginx, что даёт надежду на прекращение новых CVE на эту тему.

Теперь подробности.

( [ читать дальше... ]( https://www.linux.org.ru/news/security/18354205#cut0 ) )

Уязвимость появилась в версии nginx 0.9.6, исправления попали в версии freenginx 1.31.3, nginx 1.30.4, nginx 1.31.3.

( [ читать дальше... ]( https://www.linux.org.ru/news/security/18354205#cut1 ) )

Mesa 26.2

robot — 2026-08-07 13:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23851/1000px.jpg"
alt="Mesa 26.2"
srcset="images/23851/500px.jpg 500w, https://www.linux.org.ru/images/23851/original.png 800w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=1000>

5 августа состоялся [ выпуск Mesa 26.2.0 ]( https://docs.mesa3d.org/relnotes/26.2.0.html ) — очередной функциональный релиз свободного графического стека, содержащего реализации OpenGL, Vulkan, OpenCL и других графических API для Linux и ряда других операционных систем. Mesa 26.2 реализует API OpenGL 4.6, Vulkan 1.4 и OpenCL 3.1, хотя фактически доступная версия зависит от конкретного драйвера и оборудования.

Среди основных изменений:

( [ читать дальше... ]( https://www.linux.org.ru/news/opensource/18354220#cut ) )

TONTOU - атака на CPU Intel и AMD, позволяющая обойти защиту от уязвимостей Spectre v2

robot — 2026-08-07 10:44:03

robot -> All

Исследователи из массачусетского технологического института выявили технику атаки TONTOU (Time-of-Neutralization to Time-of-Use), предлагающую новый способ эксплуатации микроархитектурных уязвимостей класса Spectre v2. Уязвимость даёт возможность определить содержимое памяти ядра при выполнении эксплоита в пространстве пользователя. Код для блокирования эксплуатации уязвимости принят в состав ядра Linux 5 августа и включён в состав выпусков 7.1.7, 6.18.43, 6.18.43, 6.12.102, 6.6.149, 6.1.181, 5.15.214 и 5.10.263.

https://www.opennet.ru/opennews/art.shtml?num=66045

Языковая модель с 28,9 млн параметров заработала на ESP32-S3

robot — 2026-08-07 09:44:03

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23849/1000px.jpg"
alt="Языковая модель с 28,9 млн параметров заработала на ESP32-S3"
srcset="images/23849/500px.jpg 500w, https://www.linux.org.ru/images/23849/original.jpg 800w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=1000>

Разработчик Вячеслав Сербов, выступающий под псевдонимом slvDev, [ продемонстрировал ]( https://x.com/slvDev/status/2080322138410524737 ) полностью локальную генерацию текста на микроконтроллере ESP32-S3. Созданная им языковая модель содержит 28,9 млн параметров и выдаёт около 9,9 токена в секунду, не обращаясь к серверу или другим внешним вычислительным ресурсам. Сгенерированные короткие рассказы выводятся на подключённый OLED-дисплей.

( [ читать дальше... ]( https://www.linux.org.ru/news/ai/18353997#cut ) )

Zapscape - уязвимость в гипервизоре KVM, позволяющая получить root-доступ к хост-системе

robot — 2026-08-07 09:44:02

robot -> All

Раскрыта информация об уязвимости (CVE-2026-64561) в гипервизоре KVM, позволяющей получить доступ с правами root к хост-окружению при наличии доступа с правами root в гостевой системе. Проблема также может применяться для локального повышения своих привилегий при наличии доступа к устройству /dev/kvm (например, в RHEL подобный доступ предоставляется всем пользователям). Для загрузки доступен прототип экспоита. Проблеме присвоено кодовое имя Zapscape.

https://www.opennet.ru/opennews/art.shtml?num=66044

Запрет на приём AI-патчей в раздел drivers/staging ядра Linux

robot — 2026-08-07 08:44:06

robot -> All

Грег Кроа-Хартман (Greg Kroah-Hartman), отвечающий за поддержку стабильной и "staging" веток ядра Linux, объявил о прекращении приёма в раздел drivers/staging патчей, подготовленных с использованием AI-инструментов. Отмечается, что подобные автоматически генерируемые патчи противоречат основной идее использования подсистемы drivers/staging как учебной площадки для новых разработчиков ядра. Код в drivers/staging изначально позиционируется как проблемный (TAINT_CRAP) и сопровождающие намеренно не проводят автоматизированную чистку, чтобы дать начинающим разработчикам развивать навык самостоятельного решения мелких проблем в ядре.

https://www.opennet.ru/opennews/art.shtml?num=66042

Опубликован дисплейный менеджер LightDM 1.33.0

robot — 2026-08-07 08:44:06

robot -> All

Разработчики Ubuntu опубликовали выпуск дисплейного менеджера LightDM 1.33.0, который применяется в Linux Mint, Lubuntu, Xubuntu и Ubuntu MATE. LightDM предоставляет фоновый процесс для запуска дисплейных серверов и модулей с графическим интерфейсом для входа в систему, а также организации аутентификации пользователей через PAM и удалённого подключения к рабочему столу. Проект не привязан к конкретным средам рабочего стола и протоколам (X11, Wayland) и примечателен низким потреблением памяти. Код написан на языке Си и распространяется под лицензией GPL.

https://www.opennet.ru/opennews/art.shtml?num=66043

Опубликован mount-tui, интерфейс для монтирования дисков и SMB-ресурсов в Linux

robot — 2026-08-07 00:44:02

robot -> All

Опубликован проект mount-tui, развивающий интерактивный текстовый интерфейс для просмотра и монтирования локальных блочных устройств, а также подключения сетевых ресурсов по протоколу SMB/CIFS. Программа написана на языке Rust с использованием библиотек Ratatui и Crossterm. Код написан на языке Rust и распространяется под лицензией Apache 2.0.

https://www.opennet.ru/opennews/art.shtml?num=66039

Выпуск Gotcha 0.4.10, платформы мониторинга ошибок и производительности

robot — 2026-08-07 00:44:02

robot -> All

Опубликован выпуск платформы мониторинга Gotcha 0.4.10, объединяющей средства отслеживания ошибок, распределённые трейсы, метрики, профили производительности и мониторинг доступности с публичными статус-страницами. Проект написан на Go и распространяется под лицензией Apache-2.0.

https://www.opennet.ru/opennews/art.shtml?num=66041

Представлен Denial, композитный сервер со встроенным движком Flutter

robot — 2026-08-07 00:44:02

robot -> All

Проект Denial развивает открытый композитный сервер на базе протокола Wayland, примечательный встраиванием движка построения пользовательского интерфейса на базе фреймворка Flutter. В отличие от традиционных решений, в которых Flutter-приложения запускаются поверх оконного менеджера, встраивание Flutter в композитный сервер позволило напрямую задействовать его для отрисовки всех элементов пользовательского окружения, создания анимации и компоновки окон. Проект находится на стадии публичного альфа-тестирования. Код написан на языках Dart и Rust, и распространяется под лицензией GPLv3+. При разработке задействован AI-ассистент OpenAI Codex.

https://www.opennet.ru/opennews/art.shtml?num=66040

Mettle 0.15.0 и 0.15.1

robot — 2026-08-06 14:44:05

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23846/1000px.jpg"
alt="Mettle 0.15.0 и 0.15.1"
srcset="images/23846/500px.jpg 500w, https://www.linux.org.ru/images/23846/original.png 1000w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=1000>

31 июля состоялись выпуски 0.15.0 и 0.15.1 [ Mettle ]( https://github.com/The-Mettle-Project/Mettle ) — языка системного программирования со статической типизацией:

•

Нативная поддержка x86-64 (+ AVX2), AArch64, NVIDIA PTX, SPIR-V (OpenCL 2.0).

•

Собственный линкер Windows PE.

•

Собственный отладчик на уровне исходного кода:

• Без внешних форматов.

• Точки останова, пошаговая отладка, а также чтение и запись переменных в реальном времени через --debug-hooks.

• Без gdb, PDB и DWARF.

•

Бэкенд CUDA.

•

Без LLVM, виртуальной машины и рантайма.

•

Выполнение на этапе компиляции: функции с атрибутом @test запускаются в интерпретаторе компилятора командой mettle test, без создания бинарного файла. Команда mettle trace интерпретирует одну функцию и выводит построчное отслеживание значений. Команда --pgo интерпретирует функцию main() на этапе сборки и передаёт измеренные частоты вызовов обратно в оптимизатор.

•

Проверка заимствований ( [ borrow checker ]( https://github.com/The-Mettle-Project/Mettle/blob/main/docs/borrow-checker.md ) ):

ОписаниеПримерАналог Rust

Use-after-free (direct)free(p); p[0]ownership / Drop
Double freefree(p); free(p)ownership
Use-after-free through an aliasq = p; free(q); p[0]move semantics
Use-after-free across a call (inferred)consume(p); p[0] where consume frees pmove semantics
Borrow outliving its stack scope{ var x; g = &x[0]; } use(g)lifetimes ('a)
Interior pointer after reallocq = &buf[i]; realloc(buf,..); q[0]iterator invalidation
Interior pointer after freeq = &buf[i]; free(buf); q[0]dangling reference
Returning the address of a stack localreturn &localfn() -> &T lifetime error
Leak (no owner on any path)var p = malloc(n); return 0(Rust frees via Drop)

Компилятор основан на библиотеке [ libmtlc ]( https://github.com/The-Mettle-Project/libmtlc ) :

• Собственный промежуточный язык (IR).

• Классические и GNN оптимизаторы кода.

• Нативная генерация кода (x86-64 (+ AVX2), AArch64, NVIDIA PTX, SPIR-V (OpenCL 2.0)).

• Нативная компоновка.

Проекты написаны кейптаунским программистом [ suidvandiewereld ]( https://github.com/suidvandiewereld ) на языке C (стандарт C99) и распространяются по лицензии Apache-2.0.

https://www.linux.org.ru/news/development/18353611

Rhythmbox 3.5

robot — 2026-08-06 12:44:03

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23845/1000px.jpg"
alt="Rhythmbox 3.5"
srcset="images/23845/500px.jpg 500w, https://www.linux.org.ru/images/23845/original.png 700w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=681>

Спустя 10 лет с момента публикации ветки 3.4 [ состоялся ]( https://gitlab.gnome.org/GNOME/rhythmbox/-/releases/3.5.0 ) релиз музыкального проигрывателя [ Rhythmbox 3.5 ]( https://gnome.pages.gitlab.gnome.org/rhythmbox ) , развиваемого проектом GNOME с оглядкой на iTunes. Rhythmbox поддерживает средства для управления музыкальной коллекцией, обеспечивает автоматическую загрузку подкастов, позволяет прослушивать интернет-радио, предоставляет возможности по расширению функциональности через [ плагины ]( http://live.gnome.org/RhythmboxPlugins/ThirdParty ) , поддерживает загрузку альбомов из звуковых сервисов, включает инструменты для синхронизации и копирования музыки для устройств с поддержкой протокола MTP и USB-накопителей. Код проекта написан на языке Си и [ распространяется ]( https://gitlab.gnome.org/GNOME/rhythmbox ) под лицензией [ GPLv2 ]( https://www.gnu.org/licenses/old-licenses/gpl-2.0.en.html ) . Для загрузки [ сформирован ]( https://flathub.org/en/apps/org.gnome.Rhythmbox3 ) пакет в формате Flatpak.

( [ читать дальше... ]( https://www.linux.org.ru/news/gnome/18353546#cut ) )

Открыт код Cloudflare OS, платформы для приложений, создаваемых через AI

robot — 2026-08-06 12:44:02

robot -> All

Компания Cloudflare открыла код платформы Cloudflare OS, предназначенных для создания персональных приложений с использованием вайб-кодинга, а также для безопасной работы с этими приложениями и AI-агентами. Код написан на языке TypeScript и распространяется под лицензией Apache 2.0.

https://www.opennet.ru/opennews/art.shtml?num=66038

Fil-C 0.682 — memory safety без переписывания

robot — 2026-08-06 08:44:04

robot -> All

Состоялся выпуск Fil-C 0.682 — компилятора C и C++, обеспечивающего полную безопасность работы с памятью (memory safety) и дающего гарантии бОльшие, чем многие другие языки, такие как, например, Rust. Проект разрабатывается Филипом Пизло (Filip Pizlo), который в представлениях не нуждается.

Fil-C базируется на кодовой базе Clang/LLVM 20.x и позволяет компилировать традиционный код на C/C++ с гарантией предотвращения всех основных уязвимостей (out-of-bounds access, use-after-free, double free, type confusion). В отличие от ASan или MTE, Fil-C использует строго безопасную объектную модель и принципиально не содержит лазеек вроде блоков unsafe.

За прошедший год проект прошёл путь от концептуального доказательства возможностей до полноценного инструментария с масштабной экосистемой.

( [ читать дальше... ]( https://www.linux.org.ru/news/security/18353368#cut ) )

RPCS3: эмуляцию PlayStation 3 на ARM удалось значительно ускорить

robot — 2026-08-06 08:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23844/1000px.jpg"
alt="RPCS3: эмуляцию PlayStation 3 на ARM удалось значительно ускорить"
srcset="images/23844/500px.jpg 500w, images/23844/1000px.jpg 1000w, images/23844/1500px.jpg 1500w, https://www.linux.org.ru/images/23844/original.jpg 1600w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=449>

Разработчик свободного эмулятора PlayStation 3 RPCS3 под псевдонимом Whatcookie [ подвёл итоги шести месяцев оптимизации ]( https://www.youtube.com/watch?v=-aI_XEwmKFk ) версии для ARM64. Заявленные в заголовке доклада 60% относятся к совокупному эффекту нескольких изменений и не означают одинаковый прирост во всех играх. Например, на устройстве со Snapdragon 8 Gen 2 производительность Metal Gear Rising после одного из исправлений выросла [ с 27 до 37 кадров в секунду ]( https://github.com/RPCS3/rpcs3/pull/18055 ) , то есть примерно на 37%.

RPCS3 написан преимущественно на C++ и распространяется [ под лицензией GPL-2.0 ]( https://github.com/RPCS3/rpcs3#license ) . Whatcookie занимается в проекте производительностью LLVM-рекомпиляторов процессора Cell и переносом критических участков кода на ARM64.

( [ читать дальше... ]( https://www.linux.org.ru/news/multimedia/18352993#cut ) )

Выпуск uutils 0.10, варианта GNU Coreutils на языке Rust

robot — 2026-08-06 08:44:03

robot -> All

Опубликован выпуск проекта uutils coreutils 0.10.0 (Rust Coreutils), развивающего аналог пакета GNU Coreutils, написанный на языке Rust. В состав coreutils входит более ста утилит, включая sort, cat, chmod, chown, chroot, cp, date, dd, echo, hostname, id, ln и ls. Целью проекта является создание кроссплатформенной альтернативной реализации Coreutils, среди прочего способной работать на платформах Windows, Redox и Fuchsia.

https://www.opennet.ru/opennews/art.shtml?num=66037

Проект Rust утвердил правила в отношении использования AI-инструментов

robot — 2026-08-06 07:44:02

robot -> All

Разработчики языка программирования Rust утвердили правила применения AI-ассистентов в проекте. За отдельными исключениями, правила запрещают передачу кода, сгенерированного через AI, но разрешают использование AI для анализа, изучения, рецензирования и проверки кода. Правила распространяются только на основной репозиторий rust-lang/rust, и отдельно утверждаются командами разработчиков субмодулей, подветок и зависимостей из каталога crates.io.

https://www.opennet.ru/opennews/art.shtml?num=66036

Выпуск дистрибутива Tribblix 41, построенного на технологиях OpenSolaris и Illumos

robot — 2026-08-06 07:44:02

robot -> All

Опубликован выпуск дистрибутива Tribblix 41, основанного на наработках проекта Illumos, продолжающего развитие ядра, сетевого стека, файловых систем, драйверов, библиотек и базового набора системных утилит OpenSolaris. Проект пытается сохранить классический ретро-стиль Solaris при использовании современных версий программ. Из Illumos заимствуются ядро и инструментарий командной строки, а всё остальное пересобирается с использованием собственной сборочной системы. Для распространения программ используются пакеты SVR4. В качестве графических окружений предлагаются Xfce, MATE и Enlightenment. Готовые сборки формируются для систем x86_64.

https://www.opennet.ru/opennews/art.shtml?num=66035

В дистрибутиве Proxmox Virtual Environment реализована поддержка архитектуры ARM64

robot — 2026-08-06 07:44:02

robot -> All

Разработчики дистрибутива Proxmox Virtual Environment, предназначенного для развертывания и обслуживания виртуальных серверов с использованием LXC и KVM, объявили о начале публикации официальных сборок для архитектуры ARM64 (aarch64). До этого дистрибутив выпускался только для систем x86_64. В arm64-сборках заявлена первичная поддержка платформ NVIDIA Grace Hopper и NVIDIA Vera, а также обеспечена работа на серверных платах с процессорами ARMv9-A и ARMv8-A, на которых используется UEFI (устройства с конфигурацией на базе Device Tree, такие как Raspberry Pi, не поддерживаются).

https://www.opennet.ru/opennews/art.shtml?num=66034

Релиз Mesa 26.2, свободной реализации OpenGL и Vulkan

robot — 2026-08-06 07:44:02

robot -> All

После трёх месяцев разработки представлен релиз свободной реализации API Vulkan, OpenGL, OpenGL ES и OpenCL - Mesa 26.2.0. Первый выпуск ветки Mesa 26.2.0 имеет экспериментальный статус - после проведения окончательной стабилизации кода будет выпущена стабильная версия 26.2.1.

https://www.opennet.ru/opennews/art.shtml?num=66033

Northstar 1.0.6 - минималистичный браузер на собственном движке

robot — 2026-08-05 23:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23820/1000px.jpg"
alt="Northstar 1.0.6 - минималистичный браузер на собственном движке"
srcset="images/23820/500px.jpg 500w, images/23820/1000px.jpg 1000w, https://www.linux.org.ru/images/23820/original.png 1011w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=750>

Вышла новая версия браузера Northstar.

Northstar ориентируется на поддержку современных стандартов HTML и CSS.

[ Страница проекта на GitHub ]( https://github.com/nordstjernen-web/northstar-browser )

[ Сайт проекта ]( https://nordstjernen.org/index_ru.html )

https://www.linux.org.ru/news/internet/18351425

Half-Life перенесли на PlayStation 1 при помощи открытого стека PSoXide

robot — 2026-08-05 22:44:03

robot -> All

https://www.linux.org.ru/images/23830/original.png" itemprop="contentURL">

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23830/1000px.jpg"
alt="Half-Life перенесли на PlayStation 1 при помощи открытого стека PSoXide"
srcset="images/23830/500px.jpg 500w, images/23830/1000px.jpg 1000w, images/23830/1500px.jpg 1500w, https://www.linux.org.ru/images/23830/original.png 1504w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=751>

Разработчик Эмануэле Бонура, также известный под именами Manny и izzy88izzy, [ показал ]( https://www.reddit.com/r/HalfLife/comments/1v7ardl/half-life_on_a_real_playstation_1_full_hazard/ ) работающий перенос Half-Life на оригинальную PlayStation. Проект HL-PSX запускается непосредственно на консоли, а не внутри эмулятора. Рендерер и игровая среда исполнения написаны на Rust поверх открытого набора средств разработки [ PSoXide ]( https://github.com/EBonura/PSoXide ) .

В опубликованной [ видеозаписи ]( https://www.youtube.com/watch?v=aEaa9CeCsbQ ) разработчик прошёл все семь карт обучающего раздела Hazard Course на консоли SCPH-9002. Средняя частота кадров составляет около 17 кадров в секунду. Большую часть времени игра выдаёт примерно 20 кадров, но в крупных помещениях производительность снижается до 10–16 кадров. Работают сохранения, загрузка, оружие, противники, интерфейс и сценарные последовательности, хотя проблемы остаются в обработке звука, столкновений и некоторых элементов графики.

( [ читать дальше... ]( https://www.linux.org.ru/news/opensource/18351793#cut ) )

Bottles 65

robot — 2026-08-05 22:44:03

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23835/1000px.jpg"
alt="Bottles 65"
srcset="images/23835/500px.jpg 500w, images/23835/1000px.jpg 1000w, images/23835/1500px.jpg 1500w, https://www.linux.org.ru/images/23835/original.png 1672w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=563>

( [ читать дальше... ]( https://www.linux.org.ru/news/multimedia/18352878#cut ) )

Wild 0.10

robot — 2026-08-05 20:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23838/1000px.jpg"
alt="Wild 0.10"
srcset="images/23838/500px.jpg 500w, https://www.linux.org.ru/images/23838/original.png 1000w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=898>

Одним из главных новшеств стала поддержка параметров [ --gdb-index и --no-gdb-index ]( https://github.com/wild-linker/wild/pull/1990 ) . При включении этой возможности Wild создаёт в выходном файле секцию .gdb_index с индексом отладочной информации. Благодаря этому GDB может быстрее находить необходимые символы в крупных программах, не формируя индекс отдельно после сборки. Реализация поддерживает девятую версию формата GDB Index; операции сканирования, объединения и записи индекса были распараллелены.

Значительно расширена работа со сценариями компоновщика. Добавлена поддержка:

( [ читать дальше... ]( https://www.linux.org.ru/news/development/18352880#cut ) )

В drivers/staging ядра Linux перестанут принимать созданные LLM патчи

robot — 2026-08-05 20:44:04

robot -> All

3 августа 2026 года, сопровождающий стабильных веток Linux и подсистемы staging Грег Кроа-Хартман (Greg Kroah-Hartman) объявил о новых правилах приёма изменений в каталог drivers/staging. Поводом стало недавнее [ «нашествие созданных LLM патчей» ]( https://lore.kernel.org/all/2026080354-skater-urgent-31b2%40gregkh/T/ ) . Теперь подготовленные языковыми моделями исправления для этой части ядра будут автоматически отклоняться, за исключением подтверждённых исправлений реальных уязвимостей.

Каталог drivers/staging используется для размещения драйверов и других компонентов, которые ещё не соответствуют требованиям основной ветки Linux. Согласно [ официальной документации ядра ]( https://docs.kernel.org/process/2.Process.html#staging-trees ) , такой код остаётся в staging, пока требует дополнительной работы; после доработки его могут перенести в основную часть ядра, а неразвивающиеся компоненты со временем удаляются.

( [ читать дальше... ]( https://www.linux.org.ru/news/kernel/18352875#cut ) )

ELinks 0.20.0

robot — 2026-08-05 09:44:04

robot -> All

itemprop="thumbnail"
class="medium-image"
src="https://www.linux.org.ru/images/23840/1000px.jpg"
alt="ELinks 0.20.0"
srcset="images/23840/500px.jpg 500w, https://www.linux.org.ru/images/23840/original.png 718w"
sizes="100vw" style="position: absolute; max-height: 90vh"

width=1000 height=724>

Состоялся выпуск 0.20.0 [ ELinks ]( https://github.com/rkd77/elinks ) – программы для просмотра в текстовом режиме веб-страниц (в том числе капсулы [ gemini ]( https://ru.wikipedia.org/wiki/Gemini_(%D0%BF%D1%80%D0%BE%D1%82%D0%BE%D0%BA%D0%BE%D0%BB) ) и страницы [ gopher ]( https://ru.wikipedia.org/wiki/Gopher ) ). С самого начала целью проекта было создание многофункционального текстового браузера с открытой политикой включения патчей и функций, и активной разработкой. Одной из таких функций является включение в ELinks [ Links-Lua ]( http://elinks.cz/history.html#links-lua ) , который добавляет в ELinks возможность использования пользовательских скриптов.

( [ читать дальше... ]( https://www.linux.org.ru/news/opensource/18352909#cut ) )

В ходе тестирования AI-агент попытался скомпрометировать проект на GitHub

robot — 2026-08-05 09:44:02

robot -> All

Организация AISI (AI Security Institute), учреждённая при департаменте науки, инноваций и технологий Великобритании, опубликовала отчёт об эксперименте, приведшем к результатам, напоминающем случай с AI-агентом OpenAI. При 122 тестовых запусках для решения поставленной задачи AI-агенты совершили 19 несанкционированных действий в сети интернет (в 17 случаях использовалась модель Mythos 5, в 2 - GPT-5.6 Sol, у которых не ограничен доступ в интернет и были отключены механизмы, ограничивающие использование для проведения кибератак).

https://www.opennet.ru/opennews/art.shtml?num=66031

Новый червь ChainDrop поразил более 400 NPM-пакетов

robot — 2026-08-05 02:44:03

robot -> All

[ Зафиксирована ]( https://www.stepsecurity.io/blog/chaindrop-npm-worm ) массовая атака на пакеты в репозитории NPM, проводимая с использованием нового самораспространяющегося червя ChainDrop, подставляющего вредоносное ПО в зависимости. В результате атаки опубликовано 2212 вредоносных выпусков для 444 пакетов. Наиболее популярные из скомпрометированных пакетов keyv, flat-cache и file-entry-cache насчитывают 154, 149.9 и 147.6 миллионов загрузок в неделю.

Загрузчик червя размещался в файлах setup.mjs и Math_Symbol.js, которые запускались при помощи preinstall-обработчика ("preinstall": "node setup.mjs"), вызываемого при установке поражённого пакета. Указанные скрипты загружали легитимный Bun runtime и обфусцированный код червя, размером 710 Кб. После активации червь выполнял поиск в системе и в переменных окружения токенов к NPM, PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp, KubernetesK8s и другим сервисам (всего анализировалось более 140 файловых путей, типа ~/.npmrc), а также анализировал память (через /proc//mem) окружения GitHub Actions на предмет токенов и учётных данных.

В случае обнаружения токена для подключения к каталогу NPM червь автоматически публиковал новые вредоносные релизы для разрабатываемых в текущем окружении пакетов, поражая дерево зависимостей. В отличие от ранее выявленного червя [ Shai-Hulud 2.0 ]( https://www.opennet.ru/opennews/art.shtml?num=64377 ) в ChainDrop была реализована техника EtherHiding для получения управляющих команд через публичный блокчейн Ethereum, задействовано шифрование для скрытия передаваемых на сервер атакующих конфиденциальных данных и обеспечено внедрение в файлы конфигурации Claude Code, VS Code и GitHub Copilot для закрепления присутствия в системе.

Атака началась с компрометации процесса формирования релизов на базе GitHub Actions для пакета [ keyv ]( https://www.npmjs.com/package/keyv ) , насчитывающего 154 млн загрузок в неделю и используемого как зависимость в 1703 пакетах. Атакующие сформировали новую версию 6.0.0, подставив в неё вредоносный код, и опубликовали её с использованием механизма « [ Trusted Publishers ]( https://www.opennet.ru/opennews/art.shtml?num=59019 ) » и корректной [ SLSA-аттестацией ]( https://www.opennet.ru/opennews/art.shtml?num=55345 ) . После публикации червь поразил многие зависимые от keyv пакеты и по цепочке стал поражать непрямые зависимости.

Среди наиболее популярных пакетов, которые оказались поражены червём, опубликовавшим для них вредоносные релизы:

• flat-cache 6.1.24 (149.8 млн загрузок в неделю);

• file-entry-cache 11.1.6 (147.5 млн);

• cacheable-request 13.0.20 (33.9 млн);

• @cacheable/utils 2.5.1 (8.7 млн);

• cacheable 2.5.1 (7.8 млн);

• @cacheable/memory 2.2.1 (7.1 млн);

• cache-manager 7.2.10 (4.2 млн);

• @cacheable/node-cache 3.1.2 (1.5 млн).

https://www.linux.org.ru/news/security/18352803