Компания Intel опубликовала выпуск Intel Graphics Compiler 2.34.4 — обновления открытого компилятора шейдеров и вычислительных ядер, используемого в графическом стеке Intel для Linux и Windows.

Intel Graphics Compiler (IGC) является одним из ключевых компонентов драйверной инфраструктуры Intel GPU и используется совместно с OpenCL, Level Zero и Vulkan-драйверами. Проект отвечает за компиляцию шейдеров, SPIR-V и compute-кода в машинные инструкции для графических процессоров Intel.

Релиз 2.34.4 в основном сосредоточен на исправлениях ошибок, оптимизации генерации кода и улучшении совместимости с новыми GPU архитектур Xe2 и Battlemage. Разработчики также упоминают:

• оптимизации компиляции SPIR-V;

• исправления в обработке SIMD;

• улучшение register allocation;

• обновление LLVM-зависимостей;

• устранение проблем, приводивших к сбоям OpenCL-приложений.

• поддержка SPV_INTEL_bfloat16_arithmetic для Xe3P;

• оптимизации Panther Lake;

• улучшения code scheduling;

• включение 2D load splitting pass по умолчанию;

• поддержка WideMulMad;

• доработки для Crescent Island.

Часть изменений направлена на повышение производительности вычислительных нагрузок и игровых приложений под Linux, особенно в связке с Mesa ANV и Compute Runtime.

Проект развивается как open source и распространяется под лицензией MIT. Исходный код опубликован на GitHub, а новые версии обычно быстро интегрируются в Compute Runtime и стек oneAPI.

https://www.linux.org.ru/news/hardware/18290338

В пакете Dnsmasq, объединяющем кэширующий DNS-резолвер, сервер DHCP, сервис для анонсов маршрутов IPv6 и систему загрузки по сети, выявлено 6 уязвимостей, позволяющих выполнить код с правами root, перенаправить домен на другой IP, определить содержимое памяти процесса и вызвать аварийное завершение сервиса. Проблемы устранены в выпуске dnsmasq 2.92rel2. Исправления также доступны в форме патчей.

https://www.opennet.ru/opennews/art.shtml?num=65431

Проект Fedora объявил о проведении серии Test Days для Podman 6.0 — следующего крупного релиза контейнерного движка, развиваемого как альтернатива Docker без центрального демона. Тестирование новой ветки проходит с 11 по 15 мая и ориентировано как на разработчиков, так и на обычных пользователей Fedora.

Podman 6.0 станет одним из крупнейших обновлений проекта за последнее время. Разработчики готовят заметную переработку сетевой подсистемы, обновления механизмов взаимодействия контейнеров и внутренние изменения в архитектуре runtime-компонентов. Часть нововведений направлена на улучшение совместимости с Kubernetes и OCI-инструментами.

В Fedora отмечают, что основной задачей Test Days является проверка обратной совместимости и выявление проблем в реальных сценариях эксплуатации. Пользователям предлагается протестировать:

• запуск rootless-контейнеров;

• работу compose-совместимых конфигураций;

• сетевые режимы;

• взаимодействие с systemd;

• миграцию существующих окружений с Podman 5.x.

Особое внимание уделяется изменениям в контейнерных сетях. Разработчики продолжают постепенную модернизацию сетевого стека, включая улучшения интеграции с Netavark и Aardvark DNS — компонентами, пришедшими на смену старым CNI-механизмам.

Podman давно стал одним из ключевых компонентов экосистемы Fedora и Red Hat. Проект активно используется в серверных Linux-дистрибутивах, CI/CD-инфраструктуре и средах разработки благодаря поддержке rootless-режима и совместимости с OCI-контейнерами без необходимости постоянно работающего daemon-процесса.

Релиз Podman 6.0 ожидается после завершения тестирования и исправления найденных ошибок. Разработчики Fedora подчёркивают, что участие сообщества в Test Days напрямую влияет на стабильность будущего выпуска.

https://www.linux.org.ru/news/opensource/18290479

В результате компрометации процесса формирования релизов на базе GitHub Actions в проекте TanStack атакующим удалось опубликовать в репозитории NPM 84 вредоносные версии, охватывающие 42 NPM-пакета из стека TanStack. Некоторые из скомпрометированных пакетов насчитывали более 10 миллионов загрузок в неделю.

https://www.opennet.ru/opennews/art.shtml?num=65432

Компания Google анонсировала ноутбуки Googlebook, поставляемые с редакцией платформы Android, развиваемой под кодовым именем Aluminium и сочетающей возможности Android и ChromeOS. Серия Googlebook идёт на смену устройствам Chromebook с операционной системой ChromeOS, сопровождение которых продлится до 2034 года. Время поступления в продажу первых моделей Googlebook не уточняется, указано лишь, что работа по их созданию ведётся с индустриальными партнёрами Acer, ASUS, Dell, HP и Lenovo. Заявлено, что все модели будут созданы с использованием премиальных материалов и представлены в различных формах и размерах. Общей отличительной чертой устройств GoogleBook станет светящаяся индикаторная полоса на крышке.

https://www.opennet.ru/opennews/art.shtml?num=65433

В пакете [ Dnsmasq ]( http://www.thekelleys.org.uk/dnsmasq/doc.html ) , объединяющем кэширующий DNS-резолвер, сервер DHCP, сервис для анонсов маршрутов IPv6 и систему загрузки по сети, [ выявлено ]( https://www.kb.cert.org/vuls/id/471747 ) 6 уязвимостей, позволяющих выполнить код с правами root, перенаправить домен на другой IP, определить содержимое памяти процесса и вызвать аварийное завершение сервиса. Проблемы устранены в выпуске [ dnsmasq 2.92rel2 ]( https://thekelleys.org.uk/dnsmasq/ ) . Исправления также доступны в форме [ патчей ]( https://www.openwall.com/lists/oss-security/2026/05/11/10 ) .

Выявленные проблемы:

• [ CVE-2026-4892 ]( https://security-tracker.debian.org/tracker/CVE-2026-4892 ) - [ переполнение ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-4892.diff ) буфера в реализации DHCPv6, позволяющее атакующему, имеющему доступ к локальной сети, выполнить код с правами root через отправку специально оформленного пакета DHCPv6. Переполнение вызвано тем, что при записи DHCPv6 CLID в буфер не учитывалось то, что в пакете данные сохраняются в шестнадцатеричном представлении, в котором используется три байта «%xx» на каждый фактический байт CLID (например, сохранение 1000-байтового CLID приведёт к записи 3000 байт).

• [ CVE-2026-2291 ]( https://security-tracker.debian.org/tracker/CVE-2026-2291 ) - [ переполнение ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-2291.diff ) буфера в функции extract_name(), позволяющее атакующему подставить фиктивные записи в кэш DNS и добиться перенаправления домена на другой IP-адрес. Переполнение возникло из-за выделения буфера без учёта экранирования некоторых символов во внутреннем представлении доменного имени в dnsmasq.

• [ CVE-2026-4893 ]( https://security-tracker.debian.org/tracker/CVE-2026-4893 ) - [ утечка ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-4893.diff ) информации, позволяющая обойти проверку через отправку специально оформленного DNS-пакета с информацией о подсети клиента (RFC 7871). Уязвимость может использоваться для изменения маршрута DNS-ответа и перенаправления пользователей на домен атакующего. Уязвимость вызвана тем, что в функцию check_source() передавалась длина записи OPT вместо длины пакета, из-за чего функция всегда возвращала успешный результат проверки.

• [ CVE-2026-4891 ]( https://security-tracker.debian.org/tracker/CVE-2026-4891 ) - [ чтение ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-4891.diff ) из области вне границы буфера при валидации DNSSEC, приводящее к утечке в ответе данных из памяти процесса при обработке специально оформленного DNS-запроса.

• [ CVE-2026-4890 ]( https://security-tracker.debian.org/tracker/CVE-2026-4890 ) - [ зацикливание ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-4890.dnsmasq-2.92.diff ) при валидации DNSSEC, позволяющее вызвать отказ в обслуживании через отправку специально оформленного DNS-пакета.

• [ CVE-2026-5172 ]( https://security-tracker.debian.org/tracker/CVE-2026-5172 ) - [ чтение ]( https://thekelleys.org.uk/dnsmasq/CVE/CVE-2026-5172.diff ) из области вне буфера в функции extract_addresses(), приводящее к аварийному завершению при обработке специально оформленных DNS-ответов.

Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах (если страница недоступна, значит разработчики дистрибутива ещё не приступили к рассмотрению проблемы): [ Debian ]( https://security-tracker.debian.org/tracker/CVE-2026-4892 ) , [ Ubuntu ]( https://people.canonical.com/~ubuntu-security/cve/CVE-2026-4892 ) , [ SUSE ]( https://bugzilla.suse.com/show_bug.cgi?id=CVE-2026-4892 ) , [ RHEL ]( https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2026-4892 ) , [ Gentoo ]( https://bugs.gentoo.org/show_bug.cgi?id=CVE-2026-4892 ) , [ Arch ]( https://security.archlinux.org/package/dnsmasq ) ,
[ Fedora ]( https://koji.fedoraproject.org/koji/packageinfo?packageID=1606 ) , [ OpenWRT ]( https://openwrt.org/advisory/start ) , [ FreeBSD ]( https://www.vuxml.org/freebsd/ ) . Проект Dnsmasq [ задействован ]( https://android.googlesource.com/platform/external/dnsmasq/+/68a974de72b5091ce608815a349daaeb05cdeab5/FAQ ) в платформе Android и специализированных дистрибутивах, таких как OpenWrt и DD-WRT, а также в прошивках беспроводных маршрутизаторов многих производителей. В обычных дистрибутивах Dnsmasq может устанавливаться при использовании libvirt для обеспечения работы DNS-сервиса в виртуальных машинах или [ активироваться ]( https://fedoramagazine.org/using-the-networkmanagers-dnsmasq-plugin/ ) в конфигураторе NetworkManager.

https://www.linux.org.ru/news/security/18290700

Тихо и незаметно ( [ даже для самих сотрудников сервиса ]( https://dtf.ru/id351131/5031607-launcher-vk-play-dlya-linux ) ) вышел Linux-клиент платформы облачного гейминга VK Play.

Ранее сервис был доступен для Linux только через браузер либо через Windows-приложение через wine/proton.

Официально доступны rpm- и deb-пакеты.

Сервис предоставляет возможность запускать игры на виртуальном сервере и играть удалённо, таким образом для современных игр не требуется иметь высокопроизводительное железо (при наличии хорошего интернет-соединения) и нужную для игры операционную систему. На текущий момент в каталоге доступно более 400 плюс есть возможность запустить в облаке виртуальный компьютер с Windows, на который можно устанавливать игры самостоятельно, если их в каталоге нет.

https://www.linux.org.ru/news/games/18290878

Опубликован выпуск приложения Scrcpy 4.0, позволяющего отзеркалить содержимое экрана смартфона в стационарном пользовательском окружении с возможностью управлять устройством, удалённо работать в мобильных приложениях с использованием клавиатуры и мыши, просматривать видео и прослушивать звук. Клиентские программы для управления смартфоном подготовлены для Linux, Windows и macOS. Код проекта написан на языке Си (мобильное приложение на Java) и распространяется под лицензией Apache 2.0.

https://www.opennet.ru/opennews/art.shtml?num=65434

Инженер IBM Ян Поленски отправил на рассмотрение первый [ патч-сет ]( https://lore.kernel.org/rust-for-linux/20260512105920.2426293-1-japo@linux.ibm.com/ ) , который добавляет возможность сборки ядра с поддержкой Rust для s390.

Таким образом, s390 стала шестой архитектурой, претендующей на включение Rust в основное ядро Linux. Такую поддержку уже имеют архитектуры x86_64, ARM, LoongArch и RISC-V.

( [ читать дальше... ]( https://www.linux.org.ru/news/hardware/18290971#cut ) )

Единственным техническим [ ограничением ]( https://patchew.org/linux/20260512105920.2426293-1-japo@linux.ibm.com/ ) на данный момент является требование к nightly-версии компилятора Rust (rustc), так как s390 полагается на флаг -Zpacked-stack.

Компания AMD раскрыла сведения об уязвимости (CVE-2025-54518) в процессорах на базе микроархитектуры Zen 2, вызывающей повреждение кэша объектных кодов. Успешная эксплуатация уязвимости позволяет выполнить инструкции CPU на более высоком уровне привилегий. На практике, проблема потенциально позволяет повысить свои привилегии в системе, например, из пространства пользователя добиться выполнения кода с правами ядра или получить доступ к хост-окружению из виртуальной машины.

https://www.opennet.ru/opennews/art.shtml?num=65435

Состоялся выпуск OpenZFS 2.4.2, корректирующего релиза открытой реализации файловой системы ZFS для Linux и FreeBSD. Основным изменением новой версии стала поддержка стабильной ветки Linux 7.0. Предыдущий выпуск OpenZFS 2.4 поддерживал ядра Linux только до 6.19, при этом совместимость со старыми ядрами сохраняется начиная с Linux 4.18. Для FreeBSD заявлена работа с выпусками 13.3 и новее, а также с веткой 14.x.

В OpenZFS 2.4.2 вошёл большой набор исправлений, затрагивающих сборку, тестирование, работу с initramfs, поддержку POSIX_FADV_DONTNEED, обработку точек монтирования и Linux-специфичный код. Отдельно отмечены изменения, необходимые для совместимости с Linux 7.0, а также первые правки для будущей ветки Linux 7.1.

Среди исправленных проблем — ошибки в vdev_rebuild_range(), редкие ошибки контрольных сумм после перестроения массива, повреждение данных после block clone и последующего truncate, взаимная блокировка при автоматическом монтировании снимков во время одновременного zfs recv, утечки памяти и ряд проблем в dRAID, включая ошибки после rebuild, degraded-состояний и замены дисков.

В Linux-части продолжена адаптация OpenZFS к новой модели монтирования ядра. Разработчики удалили поддержку старого mount API, перевели код на fs_context, переработали обработку параметров монтирования и добавили обходной путь для ядер, жёстче проверяющих «запрещённые» mount options. Также внесены изменения, связанные с LSM, statx, setlease, ACL и переименованием некоторых внутренних API ядра Linux 7.0.

Параллельно опубликован выпуск OpenZFS 2.3.7 для пользователей, которые пока остаются на предыдущей стабильной ветке 2.3. В него также перенесена поддержка Linux 7.0 и часть исправлений из новой серии.

https://www.linux.org.ru/news/opensource/18291044

Подключение смартфона может быть произведено через USB или TCP/IP. На смартфоне [ запускается ]( https://github.com/Genymobile/scrcpy/blob/master/doc/linux.md ) серверное приложение, которое взаимодействует с внешней системой через туннель, организуемый при помощи утилиты adb. Наличие root-доступа к устройству не требуется. Серверное приложение генерирует видеопоток (на выбор H.264, H.265 или AV1) с содержимым экрана смартфона, а клиент декодирует и отображает видео. Клавиатурный ввод и события мыши транслируются на сервер и подставляются в систему ввода Android.

Основные возможности:

• Высокая производительность (30~120fps).

• Поддержка экранных разрешений 1920×1080 и выше.

• Низкие задержки (35~70мс).

• Высокая скорость запуска (около секунды до вывода первых изображений экрана).

• Трансляция звука.

• Возможность записи звука и видео.

• Поддержка зеркалирования при выключенном/заблокированном экране смартфона.

• Буфер обмена с возможностью копирования и вставки информации между компьютером и смартфоном.

• Настраиваемое качество трансляции экрана.

• Поддержка использования Android-смартфона в качестве web-камеры (V4L2).

• Симуляция физически подключённых клавиатуры и мыши.

• Поддержка геймпадов.

• Возможность использования виртуального экрана.

• Режим OTG.

В новой версии:

• Переход с библиотеки SDL2 на ветку SDL3.

• Добавлена опция «–flex-display» («-x»), включающая режим работы с виртуальным экраном, допускающий произвольное изменение его размера во время работы.

• Предоставлены комбинации клавиш и опции командной строки для динамического управления камерой и фонариком: MOD+t/MOD+Shift+t («–camera-torch») - включение/выключение фонарика, MOD+↑/MOD+↓ («–camera-zoom») - изменение масштаба.

• Обеспечено сохранение соотношения сторон окна при изменении его размера. Для восстановления старого поведения (показ чёрных рамок)
предложена опция «–no-window-aspect-ratio-lock».

• Добавлена опция «–keep-active» для предотвращения отключения устройства после истечения таймаута неактивности.

• Цвет фона по умолчанию заменён с чёрного на серый. Для изменения фона можно использовать опцию «–background-color».

• Обеспечен вывод пиктограммы разрыва соединения, которая показывается в течение двух секунд до закрытия окна после потери связи с устройством, чтобы у пользователя не создавалось впечатление об аварийном завершении scrcpy.

• Налажена поддержка устройств Meta Quest с новой прошивкой (после обновления прошивки при зеркалировании наблюдалось мерцание).

• Устранена ошибка, приводившая к большой нагрузке на CPU при воспроизведении тишины во время проигрывания звука в формате OPUS.

• Добавлены новые горячие клавиши: F11 для перехода в полноэкранный режим и MOD+q для выхода.

https://www.linux.org.ru/news/android/18291160

Компания AMD [ раскрыла ]( https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7052.html ) сведения об уязвимости (CVE-2025-54518) в процессорах на базе микроархитектуры Zen 2, вызывающей повреждение кэша объектных кодов. Успешная эксплуатация уязвимости позволяет выполнить инструкции CPU на более высоком уровне привилегий. На практике, проблема потенциально позволяет повысить свои привилегии в системе, например, из пространства пользователя добиться выполнения кода с правами ядра или получить доступ к хост-окружению из виртуальной машины.

Уязвимость выявлена сотрудниками AMD, детали эксплуатации пока не приводятся. Заявлено, что проблема вызвана некорректной изоляцией совместно используемых ресурсов при выполнении операций с кэшем объектных кодов CPU. Через повреждение элементов в кэше атакующий может добиться изменения инструкций, выполняемых на другом уровне привилегий.

Уязвимость проявляется только в процессорах AMD на базе микроархитектуры Zen2 (Fam17h). Проблема затрагивает гипервизор Xen и может использоваться для обхода изоляции. Для веток Xen c 4.17 по 4.21 [ опубликованы ]( https://www.openwall.com/lists/oss-security/2026/05/12/15 ) патчи. Исправление для блокирования уязвимости также [ передано ]( https://lore.kernel.org/all/20260512173946.614667321@linuxfoundation.org/ ) для включения в состав ядра Linux.

В десктопных и мобильных сериях CPU AMD Ryzen 3000, 4000, 5000, 7020, 7030 и Threadripper PRO 3000 WX уязвимость устранена осенью прошлого года. Во встраиваемых CPU AMD Ryzen Embedded V2000 уязвимость устранена в конце декабря. В процессорах серии AMD EPYC 7002 проблема остаётся неисправленной и её предлагается блокировать на уровне операционной системы.

https://www.linux.org.ru/news/security/18291156

В почтовом сервере Exim выявлена критическая уязвимость (CVE-2026-45185), позволяющая удалённо добиться выполнения кода на сервере. Проблема проявляется начиная с ветки Exim 4.97 при сборке с библиотекой GnuTLS ("USE_GNUTLS=yes") и устранена в выпуске Exim 4.99.3. Сборки с OpenSSL и другими библиотеками, отличными от GnuTLS, уязвимость не затрагивает.

https://www.opennet.ru/opennews/art.shtml?num=65436

Проект KDE сообщил о получении финансирования от Sovereign Tech Fund, направленного на развитие и укрепление ключевой инфраструктуры свободного рабочего окружения. Общий объём поддержки составит 1 285 200 евро, средства будут выделяться в течение 2026 и 2027 годов.

Финансирование планируется использовать для повышения структурной надёжности и безопасности основных компонентов KDE. В числе направлений названы Plasma, разрабатываемый проектом дистрибутив KDE Linux, а также фреймворки, лежащие в основе коммуникационных сервисов KDE.

В KDE подчёркивают, что проект на протяжении трёх десятилетий развивает свободное ПО для персональной, корпоративной и государственной инфраструктуры: рабочие окружения, операционные системы, просмотрщики документов, редакторы изображений и видео, библиотеки для разработки и другие компоненты. Разработчики делают акцент на том, что программное обеспечение KDE можно проверять, сопровождать, адаптировать и распространять без зависимости от закрытых поставщиков.

В Sovereign Tech Agency объясняют поддержку KDE ролью рабочего стола как одного из главных интерфейсов доступа к цифровым сервисам. По словам технического директора агентства Фионы Кракенбюргер, настольная среда обрабатывает персональные данные и выступает посредником при работе с повседневными сервисами — от записи к врачу и образования до рабочих приложений. Поэтому усиление инфраструктуры KDE рассматривается как вклад в устойчивость открытой цифровой инфраструктуры.

Отдельно подчёркивается значение KDE как одного из двух крупнейших рабочих окружений в экосистеме Linux. Средства будут направлены не только на развитие пользовательских компонентов, но и на улучшение тестовой инфраструктуры, архитектуры безопасности и коммуникационных фреймворков проекта.

Sovereign Tech Fund финансирует открытые программные компоненты, важные для цифровой независимости Германии и Европы. На странице проекта KDE в каталоге Sovereign Tech Agency цель сформулирована как укрепление структурной устойчивости и модернизация технологического стека одной из ведущих настольных платформ.

https://www.linux.org.ru/news/kde/18291742

В ядре Linux выявлена четвёртая за последние две недели уязвимость (CVE-2026-46300), позволяющая непривилегированному пользователю получить права root, перезаписав данные в страничном кэше. Уязвимости присвоено кодовое имя Fragnesia или Copy Fail 3.0. Суть уязвимости аналогична ранее раскрытым уязвимостям Copy Fail и Dirty Frag. Как и в случае с Dirty Frag новая уязвимость присутствует в подсистеме xfrm-ESP, но вызвана другой ошибкой и требует отдельного исправления. Доступен рабочий эксплоит.

https://www.opennet.ru/opennews/art.shtml?num=65441

Сформирован выпуск основной ветки nginx 1.31.0, в рамках которой продолжается развитие новых возможностей, а также выпуск параллельно поддерживаемой стабильной ветки nginx 1.30.1, в которую вносятся только изменения, связанные с устранением серьёзных ошибок и уязвимостей. В обновлениях устранено 6 уязвимостей, наиболее опасная из которых допускает удалённое выполнение кода через отправку специально оформленного HTTP-запроса. Для angie и freenginx на момент написания новости исправления не опубликованы.

https://www.opennet.ru/opennews/art.shtml?num=65442

Опубликован корректирующий выпуск языка программирования Python 3.14.5, в котором помимо исправления ошибок и незначительных уязвимостей, осуществлён возврат на старый сборщик мусора, применявшийся до ветки 3.14.x. В качестве причин внесения нетипичного для промежуточных выпусков значительного изменения называются жалобы пользователей на существенное повышение потребления памяти после перевода рабочих систем на ветку 3.14 и появление утечек памяти.

https://www.opennet.ru/opennews/art.shtml?num=65445

Проект KDE объявил о получении почти 1.3 млн евро от фонда STF (Sovereign Tech Fund) на развитие в 2026 и 2027 годах. Целью предоставления финансирования названо повышение надёжности архитектуры и модернизация технологического стека. В KDE деньги планируют направить на повышение устойчивости и безопасности ключевых элементов инфраструктуры, коммуникационных сервисов и продуктов.

https://www.opennet.ru/opennews/art.shtml?num=65444

В течение шести дней — с 6 по 12 мая 2026 года — официальные Linux-сборки популярного эмулятора Wii U Cemu версии 2.6 были скомпрометированы. Вместо чистой программы пользователи скачивали вредоносное ПО, которое воровало пароли, ключи SSH, токены GitHub и учётные данные от облачных сервисов. Злоумышленникам удалось подменить бинарные файлы в официальном репозитории проекта на GitHub.

Под угрозой оказались пользователи, которые скачали и запустили:

• Cemu-2.6-x86_64.AppImage (переносимый пакет)

• cemu-2.6-ubuntu-22.04-x64.zip (архив для Ubuntu)

Важно: Flatpak-версия эмулятора, Windows и macOS-сборки не были затронуты атакой.

( [ читать дальше... ]( https://www.linux.org.ru/news/security/18292461#cut ) )

Проект CoMaps, развивающий полностью открытый коммьюнити-форк мобильного картографического приложения Organic Maps, опубликовал релиз 2026.05.06 и отчёт о развитии проекта за год. Код CoMaps распространяется под лицензией Apache 2.0. Приложение доступно в каталогах F-Droid, Google Play, Apple App Store, Flathub, а также напрямую на Codeberg.

https://www.opennet.ru/opennews/art.shtml?num=65439

Компания Red Hat представила на конференции Red Hat Summit 2026 проект Fedora Hummingbird, предлагающий новую непрерывно обновляемую редакцию Fedora Linux, формируемую в форме коллекции непрерывно обновляемых (rolling) контейнеров. Для уменьшения поверхности атаки контейнеры включают только минимальный набор компонентов, необходимый для решения конкретных задач. Версии программ обновляются оперативно, по возможности сразу после выпуска основными проектами. Процесс установки обновлений автоматизирован. Используемый в проекте инструментарий открыт под лицензией MIT.

https://www.opennet.ru/opennews/art.shtml?num=65446

В ядре Linux раскрыта очередная уязвимость локального повышения привилегий, получившая название Fragnesia и идентификатор CVE-2026-46300. Проблема относится к тому же классу атак на page cache, что и недавно обсуждавшиеся Copy Fail и Dirty Frag, но не является повторной публикацией старой ошибки: речь идёт об отдельном дефекте в коде XFRM ESP-in-TCP.

Уязвимость обнаружил исследователь William Bowling из команды V12 Security. По данным опубликованного описания, Fragnesia позволяет непривилегированному локальному пользователю изменять содержимое файлов, доступных только для чтения, в памяти page cache и за счёт этого выполнять код с правами root. В отличие от многих старых LPE-эксплойтов, атака не требует гонки и описывается исследователями как детерминированная.

Технически проблема связана с тем, что при объединении сетевых буферов ядро могло потерять признак того, что фрагмент данных является «общим» и связан с внешней страницей памяти, в том числе с page cache. В предложенном патче это описано как ошибка в skb_try_coalesce(): при переносе paged fragments из одного sk_buff в другой не сохранялся флаг SKBFL_SHARED_FRAG. В результате более поздний код ESP мог ошибочно считать буфер безопасным для изменения.

Практический эффект заключается в том, что данные, ранее помещённые в TCP-очередь из файла, после переключения сокета в режим espintcp могли обрабатываться ядром как ESP-шифротекст. При расшифровке AES-GCM байты изменялись непосредственно в странице page cache, связанной с файлом. Это не меняет файл на диске, но меняет его представление в памяти до вытеснения страницы из кэша.

В опубликованной демонстрации атаки в качестве цели использовался /usr/bin/su: эксплойт модифицировал первые байты бинарного файла в page cache и затем запускал изменённую в памяти копию, получая shell с правами root. Исходный файл на диске при этом оставался неизменным, что делает проблему особенно неприятной для диагностики: следы эксплуатации могут исчезнуть после очистки page cache или перезагрузки.

Fragnesia появилась менее чем через неделю после Dirty Frag. В V12 подчёркивают, что это отдельная ошибка в той же поверхности атаки — ESP/XFRM, — а не переименование уже исправленной уязвимости. Phoronix также отмечает, что на момент публикации был доступен proof-of-concept, а исправление представляло собой небольшой патч к net/core/skbuff.c, ещё не сразу попавший в основные ветки ядра.

Canonical присвоила [ CVE-2026-46300 ]( https://ubuntu.com/security/CVE-2026-46300 ) высокий приоритет для Ubuntu, указав причину как «trivial local privilege escalation». На странице Ubuntu Security для затронутых ядер на момент обновления 13 мая значился статус «Needs evaluation», а в примечании отдельно сказано, что проблема также находится в ESP-модуле ядра и может временно смягчаться тем же способом, что и Dirty Frag.

[ Debian Security Tracker ]( https://security-tracker.debian.org/tracker/CVE-2026-46300 ) на момент проверки помечал уязвимыми ядра в ветках bullseye, bookworm, trixie, forky и sid; для пакета linux в unstable фиксированная версия ещё не была указана.

Временная мера защиты остаётся такой же, как для Dirty Frag: [ отключить загрузку модулей ]( https://blog.cloudlinux.com/fragnesia-mitigation-and-kernel-update ) esp4, esp6 и rxrpc, если они не нужны системе. Это может нарушить работу IPsec-туннелей на узлах, где используются kernel ESP, strongSwan, Libreswan или похожие конфигурации, поэтому на VPN-шлюзах такую меру нужно применять только после оценки последствий.

Пример временного смягчения для администраторов:

sudo sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf"
sudo rmmod esp4 esp6 rxrpc 2>/dev/null || true

Если есть подозрение, что система уже могла быть атакована, одной блокировки модулей недостаточно: поскольку публичная демонстрация меняет исполняемый файл именно в page cache, администраторы рекомендуют очистить кэш страниц или перезагрузить систему после применения мер защиты. CloudLinux прямо указывает, что после эксплуатации /usr/bin/su может оставаться изменённым в памяти до вытеснения соответствующих страниц.

Для удаления временного правила после установки исправленного ядра можно убрать созданный файл:

sudo rm /etc/modprobe.d/dirtyfrag.conf

Главная рекомендация остаётся стандартной: установить исправленное ядро от своего дистрибутива и перезагрузить систему. До обновления наибольший риск несут многопользовательские серверы, CI-раннеры, shared hosting, контейнерные build-фермы и любые машины, где непривилегированные или частично доверенные пользователи могут выполнять локальный код.

https://www.linux.org.ru/news/security/18292778