В законопроекте указано, что ответственные за разработку, лицензирование или установку операционной системы на компьютеры, мобильную технику и прочие устройства должны предоставить при создании учётной записи интерфейс для ввода данных о дате рождения и возрасте регистрируемого пользователя с целью передачи информации о категории возраста приложениям, получаемым через каталоги-магазины приложений. Под каталогом-магазином понимается любой публичный сайт, приложение, online-сервис или платформа для загрузки программ, созданных сторонними разработчиками.

Загруженные и запущенные приложения должны иметь возможность получать от операционной системы информацию о возрасте в 4 градациях: младше 13 лет, от 13 до 16 лет, от 16 до 18 лет, 18 лет и старше. Разработчик приложения должен использовать полученную информацию о возрасте для соблюдения законодательства о защите детей в интернете. За невыполнение требований предусмотрены штрафы до $2500 за неумышленное и до $7500 за умышленное нарушение в отношении каждого пострадавшего ребёнка.

Судя по всему, дистрибутивы Linux и используемые ими репозитории пакетов подпадают под действие принятого законопроекта. Вопрос обеспечения поддержи законопроекта в дистрибутивах Linux находится на стадии обсуждения. Некоторые участники считают, что будет достаточно написать на сайтах некоммерческих дистрибутивов, что продукт не предназначен для использования в Калифорнии.

1. Главная ссылка к новости
2. OpenNews: Возобновлён судебный процесс о законности применения блокировщиков рекламы
3. OpenNews: Разработчики Debian опубликовали заявление, связанное с законопроектом Cyber Resilience Act
4. OpenNews: В закон DMCA внесены исключения, разрешающие замену прошивок маршрутизаторов
5. OpenNews: Калифорнийский законопроект делает скрытое использование ботов нелегальным
6. OpenNews: Компания Nintendo подала в суд иск против разработчиков эмулятора Yuzu

В качестве причины называется работа по снижению издержек из-за большого объёма трафика. Отмечается, что если принятых мер окажется недостаточно планируется введение дополнительных мер для снижения потребления трафика, которые позволят снизить затраты и убрать перенаправление из GitLab на GitHub. Изменение уже привело к возникновению проблем у некоторых пользователей, проявившихся в загрузке устаревших данных и несрабатывании автоматического перенаправления.

1. Главная ссылка к новости
2. OpenNews: Разработка GNOME переведена на GitLab
3. OpenNews: Проект GNOME мигрирует на систему управления исходными текстами Git
4. OpenNews: GNOME и Firefox намерены отключить по умолчанию вставку средней кнопкой мыши
5. OpenNews: Альфа-выпуск GNOME 50 с удалением поддержки X11
6. OpenNews: Сопровождающий 16 модулей GNOME ограничит своё участие в проекте

Среди изменений в Android 17 Beta 2:

• Добавлен новый режим многооконной работы - "Bubbles", позволяющий запускать любые приложения в плавающих окнах, напоминающих отображаемые поверх другого контента уведомления для отправки сообщений ("пузыри"), но не привязанные к специализированному API. Открытие приложения в плавающем окне осуществляется через удержание нажатия на пиктограмму приложения. На больших экранах пиктограммы плавающих окон отображаются в отдельной области на панели задач. Подобные окна можно группировать, перемещать и закреплять на экране.
• Добавлен системный API EyeDropper API, при помощи которого приложение может получить информацию о цвете любого пикселя на экране без необходимости получения полномочий на захват экрана. Безопасность обеспечивается благодаря тому, что пользователь сам выбирать область для определения цвета через управляемый платформой интерфейс c "пипеткой, не подконтрольный приложению, т.е. приложение не может запросить информацию о конкретном пикселе и попиксельно воссоздать содержимое экрана.
  
  
• Добавлен системный интерфейс выбора контакта из адресной книги, доступ к которому предоставляется при получении полномочия ACTION_PICK_CONTACTS. Интерфейс позволяет обойтись без запроса полномочия READ_CONTACTS, позволяющего прочитать все контактные данные. При вызове нового интерфейса пользователь принимает решение о том, какую именно информацию из адресной книги передать приложению с возможностью выбора только отдельных полей.
• Для упрощения реализации поддержки тачпадов в играх унифицирована обработка событий от мыши и тачпада - по умолчанию события тачпада, связанные с перемещением указателя и жестами прокрутки, теперь преобразуются в формат с относительными координатами, как для мыши. Доступ к абсолютным координатам предоставляется при явном указании режима POINTER_CAPTURE_MODE_ABSOLUTE.
• В объект ChooserSession добавлен метод getInitialRestingBounds(), позволяющий узнать финальную позицию и размер диалога выбора (Chooser) после прекращения анимации и загрузки данных.
• Добавлен API Handoff, позволяющий передать состояние приложения на находящееся поблизости другое Android-устройство (например, планшет) и продолжить там работу.
• Добавлены два новых API: API UWB DL-TDOA - определение позиции устройства внутри здания при помощи Wi-Fi для навигации в помещениях; API Proximity Detection для обнаружения находящихся поблизости устройств через Wi-Fi.
• Добавлены методы getStreamingAppMaxDownlinkKbps и getStreamingAppMaxUplinkKbps для определения максимальной пропускной способности канала связи с целью выбора уровня качества при потоковом вещании.
• Добавлено новое полномочие ACCESS_LOCAL_NETWORK для ограничения доступа приложений к локальной сети. Наличие данного полномочия позволяет приложениям определять и подключаться к устройствам в локальной сети, например, к устройствам умного дома и мультимедийным системам. Полномочие добавлено чтобы блокировать сканирование вредоносными приложениями ресурсов в локальной сети, например, для скрытой идентификации окружения пользователя.
• Расширена защита от перехвата одноразовых паролей (OTP) и кодов подтверждения, отправляемых через SMS. Прямой доступ к подобным сообщениям теперь открывается большинству приложений лишь спустя три часа после поступления сообщения. В штатном приложении для чтения SMS подобные сообщения показываются сразу.

1. Главная ссылка к новости
2. OpenNews: Первый бета-выпуск Android 17
3. OpenNews: Представлен смартфон NexPhone, совмещающий Android, Debian и Windows
4. OpenNews: Уязвимость в Android-прошивке Pixel 9, позволяющая выполнить код через отправку сообщения
5. OpenNews: Google переходит к публикации кода Android дважды в год
6. OpenNews: Выпуск платформы Android 16 QPR2 с поддержкой запуска графических Linux-приложений

Платформа включает свободную реализацию сетевой инфраструктуры (fabric) на базе Kube-OVN, и использует Cilium для организации сервисной сети, MetalLB для анонса сервисов наружу. Хранилище реализовано на LINSTOR, где предлагается использование ZFS в качестве базового слоя для хранилища и DRBD для репликации. Имеется преднастроенный стек мониторинга на базе VictoriaMetrics и Grafana. Для запуска виртуальных машин используется технология KubeVirt, которая позволяет запускать классические виртуальные машины прямо в контейнерах Kubernetes и уже имеет все необходимые интеграции с Cluster API для запуска управляемых Kubernetes-кластеров внутри "железного" Kubernetes-кластера. В рамках платформы можно по клику разворачивать Kafka, FerretDB, PostgreSQL, Cilium, Grafana, Victoria Metrics и другие сервисы.

В версии 1.0 добавлена поддержка режима Generic Kubernetes, позволяющего превратить любой существующий Kubernetes-кластер в полноценное облако со всей функциональностью Cozystack: хранилищем Linstor, сетью Kube-OVN, виртуализацией KubeVirt, DBaaS и разными сервисами, которые развёртываются по клику (Kafka, Cilium, Grafana, Victoria Metrics и т. д.). Убрана привязка к дистрибутиву Talos Linux - Cozystack теперь можно установить поверх любого дистрибутива Linux.

Не привязанный к Talos Linux режим Generic Kubernetes можно использовать при наличии в компании жёстких требований к выбираемым дистрибутивам Linux, отсутствии желания изучать специфику работы с Talos Linux, необходимости задействования отсутствующих в Talos драйверов, модулей ядра или системных пакетов, а также при потребности задействовать Cozystack в уже существующих кластерах Kubernetes. Подготовлена инструкция по установке Cozystack в связке с Ubuntu (Debian) и k3s (kubeadm, RKE2).

В новой версии также значительно изменена архитектура (развёртывание на базе HelmRelease заменено на декларативную модель пакетов, управляемую через cozystack-operator), предоставлен полноценный инструментарий для резервного копирования и восстановления, переработана архитектура управления виртуальными машинами (приложение virtual-machine заменено на связку vm-disk + vm-instance), предоставлена возможность создания территориально разнесённых кластеров (используется Kilo и cilium-kilo), добавлена поддержка развёртывания управляемых сервисов с MongoDB, Qdrant, Harbor, NATS и MariaDB.

1. Главная ссылка к новости
2. OpenNews: Выпуски Cozystack 0.40 и 0.41, открытой PaaS-платформы на базе Kubernetes

• Реализован скруглённый стиль выделения элементов в приложениях на базе QtWidgets, таких как Dolphin, Okular и KMail. Изменение позволило унифицировать внешний вид и повсеместно перейти к стилю выделения, ранее задействованному в приложениях на базе QtQuick.
• В меню приложений Kickoff обеспечено мерцание секции меню "избранное" сразу после добавления приложения в "избранное" через контекстное меню, чтобы наглядно показать где теперь можно быстро найти приложение.
  
  
• В уведомлениях, генерируемых рабочим столом Plasma, изменена пиктограмма и сокращён заголовок.
• В виджет с часами добавлена поддержка вьетнамского лунного календаря.
• Обновлён интерфейс для настройки OpenVPN, в который добавлена поддержка параметров для управления сжатием, MTU, NCP, TLS, таймаутами и шифрами.
• В конфигураторе на странице настройки сетевого соединения объединены вкладки "Wi-Fi" и "Wi-Fi Security".
• В конфигураторе на странице управления правами доступа приложений появилась кнопка для отзыва разом всех полномочий на запись приложениями скринкастов.

1. Главная ссылка к новости
2. OpenNews: Отчёт о разработке KDE. Проект SonicDE продолжил развитие KDE для систем с X11
3. OpenNews: Релиз среды рабочего стола KDE Plasma 6.6
4. OpenNews: Плагин к KWin для использования KDE в виртуальной реальности
5. OpenNews: Среда рабочего стола Budgie переходит с GTK на Qt и KDE Frameworks
6. OpenNews: Проект MiDesktop развивает форк KDE 1 для современных систем

В первом эксперименте AI-ассистенту Claude Code была поставлена задача обнаружения проблем в кодовой базе DNS-сервера BIND 9, фокусируясь на проблемах с безопасностью и модернизации кода. Ни одно из предложенных исправлений не было принято в кодовую базу, так как Claude сгенерировал технически корректный, но практически бесполезный код. Например, в качестве проблем отмечались зарезервированные идентификаторы и потенциальные целочисленные переполнения, предотвращаемые компилятором и не требующие правки. Эксперимент признан бесполезной тратой времени.

Во втором эксперименте Ондржей попросил Claude написать систему телеметрии, интегрируемую с разными пакетами и минимизирующую утечки метаданных. Claude Code подготовил прототипы клиента и сервера, но без должного понимания окружения и возникающих в процессе тестирования проблем. Дополнительно для проверки были задействованы Google Gemini и ChatGPT, и каждая AI-модель находила ошибки в результате работы других моделей.

Для быстрого создания прототипа метод оказался пригоден, но Ондржей отметил, что при работе он чувствовал себя секретарём робота‑повелителя. Вначале быстрое получение прототипа внушало оптимизм, но в конце возникло ощущение, что весь процесс разработки с помощью AI занял больше времени, чем при написании кода вручную с нуля. Много времени было потрачено на разбор решения, предложенного AI, проверку наличия бессмысленных изменений и переработку - прототип пришлось переделать, так как качество кода после AI оказалось посредственным и код включал большое число повторяющихся конструкций.

Третьим экспериментом стала генерации балансировщика нагрузки на языке Rust с использованием crate-пакетов Domain и Tokio. Claude Code сумел сгенерировать запрошенный рабочий прототип, но Ондржей не настолько хорошо знает Rust и задействованные библиотеки, чтобы оценить качество проделанной работы.

Четвёртый эксперимент был связан с подготовкой в Google Gemini вспомогательных материалов, тестов и вопросов к курсу лекций, который Ондржей преподаёт в университете. Данный эксперимент признан наиболее успешным, хотя не обошлось без проблем - AI выдумал несуществующее чешское слово для термина по криптографии. Также отмечено обилие присылаемых ему студенческих работ, сгенерированных большими языковыми моделями, которые приходятся возвращать на переделку из-за несоответствия работы университетскому уровню и ссылок на некорректные источники.

Дополнительно можно отметить ещё один эксперимент, проведённый директором по инжинирингу компании Cloudflare. При помощи модели Claude Code, потратив примерно неделю времени и 1100 долларов на токены, удалось подготовить альтернативную реализацию API фреймворка Next.js, оформленную в виде плагина к инструментарию Vite. Проект получил название vinext и опубликован на GitHub. Новая реализация в четыре раза быстрее, чем сборка Next.js при помощи Turbopack, и формирует бандлы для фронтэндов, занимающие на 57% меньше места.

Проект реализует 94% шестнадцати базовых API Next.js и может использоваться в качестве прозрачной замены Next.js и развёртывания проектов в платформе Cloudflare Workers без применения дополнительных прослоек, таких как OpenNext, и без привязки к Node.js. Ключевым назначением vinext называется предоставление возможности использования API Next.js на платформах, отличных от Vercel, и без развёртывания собственного сервера. В текущем виде поддерживается только Cloudflare Workers и имеется прототип для Vercel, но в будущем ожидается поддержка и других платформ бессерверных вычислений, с которыми может работать Vite, включая Netlify и AWS Lambda.

1. Главная ссылка к новости
2. OpenNews: AI-модель Claude Opus 4.6 выявила более 500 ранее неизвестных уязвимостей
3. OpenNews: Anthropic опубликовал Си-компилятор, созданный AI-моделью Claude Opus и способный собрать ядро Linux
4. OpenNews: Компоненты браузера Ladybird начали переписывать на Rust при помощи AI
5. OpenNews: Сравнение числа ошибок в коде, написанном людьми и AI
6. OpenNews: Эксперимент по использованию AI для рецензирования изменений в DRM-подсистеме ядра Linux

В Open Source Endowment пожертвования напрямую не распределяются среди получателей грантов, а инвестируются в портфель ценных бумаг с низким уровнем риска. Для выплаты грантов используется только полученный от инвестиций доход, который составляет приблизительно 5% в год. Подобная модель работы некоммерческих фондов получила распространение для финансирования научных исследований в университетах. Отмечается, что мир Open Source во многом похож на исследовательский университет и имеет схожую культуру, основанную на репутации, и схожие функции - совместное создание интеллектуальной собственности для общественного блага, взаимное обучение внутри тематических сообществ и коммерциализация лишь небольшой части результатов.

Средства будут предоставляться наиболее значимым открытым проектам в форме микрогрантов, размером примерно $5000, нацеленных на проведение работы по повышению стабильности и увеличению безопасности или вознаграждение сопровождающих. Допускаются только независимые проекты, не связанные с корпорациями, не ассоциируемые со стартапами и не получающие венчурное финансирование. Первые выплаты намечены на второй квартал 2026 года.

Получатели грантов номинируются через специальную форму на сайте, после чего из полученных заявок при помощи модели оценки рисков и при участии сообщества выбираются победители, заслуживающие предоставления финансирования. При выборе учитываются такие показатели, как число загрузок, объём зависимых проектов, задействование в критических системах, размер кодовой базы, состояние безопасности, число активных участников, состояние с сопровождением, зависимость от отдельных лиц (фактор автобуса). Отобранные проекты получают подтверждение от жертвователей фонда, после чего окончательно утверждаются советом директоров.

Фонд основан Константином Виноградовым, венчурным инвестором, специализирующемся на открытом ПО, AI и инфраструктурных проектах, в прошлом являвшимся одним из партнёров в венчурном фонде Runa Capital. В состав совета директоров вошли Чад Витакре (Chad Whitacre, создатель инициатив Open Source Pledge и Fair Source), Максим Коновалов (сооснователь компании Nginx) и Константин Виноградов. Исполнительным директором назначен Джонатан Старр (Jonathan Starr, сооснователь SciOS и Института практик открытой науки). В надзорный комитет вошли Эми Паркер (Amy Parker, руководитель OpenSSL Foundation) и Влад-Стефан Харбуз (Vlad-Stefan Harbuz, сопровождающий Open Source Pledge и ключевой разработчик сервиса thanks.dev).

На данный момент размер собранного Фондом целевого капитала составляет 693 тысячи долларов. К проекту подключился 61 крупный жертвователь и 44 участника с размером пожертвований около тысячи долларов. Наиболее крупные пожертвования, превышающие 100 тысяч долларов, передали Игорь Сысоев (создатель Nginx), Митчелл Хашимото (Mitchell Hashimoto, сооснователь HashiCorp) и Кайлаш Надх (Kailash Nadh, технический директор Zerodha).

Среди участников, пожертвовавших от 10 до 100 тысяч долларов - Константин Виноградов, Максим Коновалов, Шей Банон (Shay Banon, основатель Elastic) и Эван Ю (Evan You, создатель Vue.js и Vite). Участие в проекте также приняли директор Apache Software Foundation, председатель совета директоров Open Source Initiative, директор по Gen AI в NVIDIA, технический директор Linux Foundation, бывший руководитель GitHub, а также основатели или сооснователи таких проектов, как ClickHouse, Apache Arrow, cURL, Archestra, n8n и Percona.

1. Главная ссылка к новости
2. OpenNews: Проблемы с финансированием каталогов пакетов открытого ПО
3. OpenNews: Финансирование СПО за счет введения компенсационной платы за плохой код
4. OpenNews: Новые проекты Linux Foundation по финансированию, безопасности и совместной разработке СПО
5. OpenNews: Инициатива Maintenance Fee, предлагающая взимать плату за доступ к сборкам релизов открытых проектов
6. OpenNews: Flathub внедряет поддержку пожертвований и платных приложений

Для проведения атак злоумышленник должен иметь возможность подключиться к той же беспроводной сети, что и у жертвы, или к гостевой сети, обслуживаемой той же точкой доступа. Например, атаки могут применяться в публичных общественных беспроводных сетях. Из 9 протестированных моделей беспроводных точек доступа от Netgear, Tenda, D-LINK, TP-LINK, ASUS, Ubiquiti, LANCOM и Cisco, а также решений с прошивками DD-WRT и OpenWrt, все из устройств оказались подвержены как минимум одному методу атаки.

Выделяются три проблемы, позволяющие совершить атаку. Первая проблема позволяет обойти изоляцию между клиентами из-за некорректного управления ключами, используемыми для защиты широковещательных кадров. Вторая проблема связана с тем, что изоляция обычно применяется на уровне MAC или на уровне IP, но не на обоих уровнях одновременно. Третья проблема вызвана ненадёжной синхронизацией идентификаторов клиентов на уровне всего сетевого стека, что позволяет перехватывать входящий и исходящий трафик других клиентов.

Современные беспроводные точки доступа объединяют в себе функции радиопередатчика и сетевого коммутатора (Layer 2 Switch), при этом коммутатор, в отличие от проводных сетей, вместо привязки клиента к физическому порту, использует логическую привязку к беспроводному каналу. В качестве идентификатора при такой привязке используется MAC-адрес клиента, который отождествляется с каналом в специальной таблице MAC-адресов. В случае переключения клиента на иной диапазон частот (например, после перехода с 2.4 ГГц на 5 ГГц) данные в таблице обновляются.

Атака проводится на первом (физический, радиоканал) и втором (канальный, MAC-адрес) уровнях сетевой модели OSI, и сводится к тому, что злоумышленник, подключившийся к той же точке доступа, но использующий частотный диапазон не как у жертвы (например, 2.4 ГГц вместо 5 ГГц), отправляет запрос на согласование соединения (4-way handshake), указав в качестве своего MAC-адрес как у жертвы (подобие ARP-спуфинга в Ethernet-сетях). Так как клиенты идентифицируются по MAC-адресу, точка доступа считает, что клиент переключился на другой канал, и меняет запись в таблице MAC-адресов. После этого весь входящий трафик от точки доступа начинает отправляться на устройство атакующего.

Для организации двунаправленного перехвата атакующий, получив адресованные жертве данные, возвращает состояние таблицы MAC-адресов в исходное состояние. Для этого отправляется пакет "ICMP Ping" c указанием случайного MAC-адреса и шифрованием пакета ключом GTK (Group Temporal Key), общим для всех клиентов беспроводной сети. Точка доступа, получив данный пакет, возвращает привязку MAC-адреса жертвы к исходному беспроводному каналу. Вклинивание в трафик осуществляется через цикличную подмену и возвращение записи в таблице MAC-адресов.

1. Главная ссылка к новости
2. OpenNews: Атака Port Shadow, позволяющая перенаправлять соединения других пользователей VPN и Wi-Fi
3. OpenNews: Атака SSID Confusion, позволяющая подменить сеть Wi-Fi
4. OpenNews: Атака MacStealer, позволяющая перехватывать трафик в Wi-Fi
5. OpenNews: Атака по деаутентификации камер наблюдения, использующих Wi-Fi
6. OpenNews: Атака против WPA2, позволяющая перехватить трафик в WiFi-сети

Одновременно сформирован выпуск продукта ONLYOFFICE DesktopEditors 9.3, построенного на единой кодовой базе с online-редакторами. Десктоп-редакторы оформлены в виде приложений для рабочего стола, которые написаны на JavaScript с использованием web-технологий, но объединяют в одном наборе клиентские и серверные компоненты, оформленные для самодостаточного использования на локальной системе пользователя, без обращения к внешнему сервису. Для совместной работы на своих мощностях также можно использовать платформу Nextcloud Hub, в которой обеспечена полная интеграция с ONLYOFFICE.

В ONLYOFFICE заявлена полная совместимость с форматами MS Office и OpenDocument. Среди поддерживаемых форматов: DOC, DOCX, ODT, RTF, TXT, PDF, HTML, EPUB, XPS, DjVu, XLS, XLSX, ODS, CSV, PPT, PPTX, ODP. Предусмотрена возможность расширения функциональности редакторов через плагины, например, доступны плагины для создания шаблонов и добавления видео с YouTube. Готовые сборки сформированы для Windows и Linux (deb- и rpm-пакеты).

Основные новшества:

• Добавлена поддержка сохранения документов в формате Markdown (md).
• В редактор документов добавлен режим многостраничного просмотра, позволяющий одновременно бок о бок просматривать несколько страниц.
• Реализована возможность выделения комментариев разных пользователей своими цветами. Обеспечена пометка начала и конца каждого отрывка текста на который оставлен комментарий.
• Настройки верхнего и нижнего колонтитулов объединены и выделены в отдельную вкладку.
• Добавлена возможность быстрого выделения целиком слов или параграфов, используя двойной или тройной клик мышью.
• В редакторе PDF-форм расширены возможности для добавления подписей в документы. При загрузке изображения подписи в поле с подписью добавлена возможность удаления белого фона. Помимо загрузки изображения предоставлена поддержка подписания от руки непосредственно на экране, используя тачпад, сенсорный экран, графический планшет или мышь. Также появилась возможность ввода подписи текстом с отображением результата специальным шрифтом.
• В редактор PDF-документов добавлена поддержка редактирования полей, защищённых паролем.
• Реализована возможность создания и редактирования ссылок, указывающих на внешние ресурсы или имеющиеся в PDF-документе страницы.
• В редактор PDF добавлена поддержка работы с историей версий PDF-файлов, редактирования встроенных в PDF-документ шрифтов, настройки вывода страниц на печать. В PDF разрешено вставлять в ячейки таблиц изменяемые поля и использовать макросы для добавления/удаления/редактирования страниц, форм, аннотаций, таблиц, изображений и диаграмм.
• В редакторе электронных таблиц проведена оптимизация начальной отрисовки больших таблиц, занимающих более 3 МБ. Добавлен инструмент "Solver", который позволяет решать задачи линейного программирования прямо в таблице с использованием симплекс‑метода.
• Добавлены функции REGEXTEST, REGEXREPLACE и REGEXEXTRACT, позволяющих использовать регулярные выражения для поиска, извлечения и замены в тексте.
• Добавлена поддержка динамических массивов, через которые формулы могут возвращать набор из нескольких значений, автоматически разделяемых на серию соседних ячеек.
• В панель инструментов добавлена кнопка "Format" для быстрого доступа ко всем опциям форматирования и управления отображением таблиц, строк и столбцов.
• В редактор презентаций добавлена поддержка GIF-анимации при показе слайдшоу, что позволяет добавить в презентацию анимацию без вставки видео.
• Добавлена поддержка открытия для просмотра файлов в формате TSV (Tab-Separated Values).
• Реализована возможность добавления гиперссылок на изображения, фигуры и группы.
• Расширены возможности записи макросов для документов, электронных таблиц и презентаций.
• Добавлена кнопка для сброса изменения масштаба.
• Устранены уязвимости: межсайтовый скриптинг (XSS) при динамической загрузке макросов (CVE-2021-43446, CVE-2023-50883, CVE-2024-44085); чтение из области вне границ буфера и разыменование указателя при обработке специально оформленных файлов XLS; проблема в сервисе установки обновлений, позволяющая выполнить действия с системными привилегиями.

1. Главная ссылка к новости
2. OpenNews: Выпуск офисного пакета LibreOffice 26.2
3. OpenNews: Опубликован офисный пакет ONLYOFFICE 9.2
4. OpenNews: Представлен открытый офисный пакет Collabora Office
5. OpenNews: Выпуск Apache OpenOffice 4.1.16 с устранением переполнения буфера при обработке CSV-файлов
6. OpenNews: Решено возобновить разработку LibreOffice Online, серверной версии для Web

В новом выпуске:

• Налажена работа в Debian 12 и 13. Решены проблемы с GStreamer 1.26.2 из состава Debian 13. Добавлена поддержка pygobject 3.50 для работы в Debian 12.
• Для установки JavaScript-зависимостей вместо Bower задействован NPM.
• Из числа зависимостей удалён lxml, а для чистки HTML задействована библиотека bleach.
• Добавлена поддержка тулкита sqlalchemy 2.0.
• Добавлен прототип сервиса для запуска MediaGoblin в дистрибутивах с пакетным менеджером Guix.
• Обновлены сборочные макросы и скрипты.
• Выпуск протестирован в Debian 12/13, Ubuntu 22.04, Ubuntu 24.04 и Fedora 43. Прекращена поддержка Debian 11 и Ubuntu 20.04.

1. Главная ссылка к новости
2. OpenNews: Выпуск децентрализованной платформы для обмена медиафайлами MediaGoblin 0.14
3. OpenNews: Релиз децентрализованной видеовещательной платформы PeerTube 8.0
4. OpenNews: Релиз децентрализованной коммуникационной платформы Hubzilla 7.0
5. OpenNews: Выпуск zeronet-conservancy 0.7.8, платформы для децентрализованных сайтов
6. OpenNews: Выпуск Mastodon 3.5, платформы для создания децентрализованных социальных сетей

Осуществляется сопровождение longterm-веток:

• 6.18 - до декабря 2027 2028 г.
• 6.12 - до декабря 2026 2028 г. (используется в Debian 13, SUSE 16, Android 16, Oracle Unbreakable Enterprise Kernel 8, RHEL10, OpenWRT 25.12).
• 6.6 - до декабря 2026 2027 г. (используется в OpenWRT 24.10).
• 6.1 - до декабря 2027 г. (используется в Debian 12).
• 5.15 - до октября 2026 г. (используется в Ubuntu 22.04, Oracle Unbreakable Enterprise Kernel 7 и OpenWRT 23.05).
• 5.10 - до декабря 2026 г. (используется в Debian 11, Android 12 и OpenWRT 22).

Отдельно на базе ядер 4.4, 4.19, 5.10, 6.1 и 6.12 организацией Linux Foundation предоставляются ветки SLTS (Super Long Term Support), которые сопровождаются отдельно и поддерживаются 10-20 лет. Сопровождение SLTS-веток осуществляется в рамках проекта Civil Infrastructure Platform (CIP), в котором участвуют такие компании, как Toshiba, Siemens, Renesas, Bosch, Hitachi и MOXA, а также вовлечены мэйнтейнеры LTS-веток основного ядра, разработчики Debian и создатели проекта KernelCI. Ядра SLTS ориентированы на применение в технических системах гражданской инфраструктуры и в важных промышленных системах.

1. Главная ссылка к новости
2. OpenNews: Ядро Linux 6.18 отнесено к категории выпусков с длительным сроком поддержки
3. OpenNews: Ядро Linux 6.12 отнесено к категории выпусков с длительным сроком поддержки
4. OpenNews: Rocky Linux, Oracle и SUSE обеспечат дальнейшее сопровождение ядра Linux 4.14
5. OpenNews: Ядро Linux 6.1 будет поддерживаться 10 лет
6. OpenNews: Сокращение срока поддержки LTS-ядер Linux и проблема с выгоранием сопровождающих

Кент дополнительно пояснил в обсуждении на Reddit, что AI-помощница POC читает книги и пишет музыку, что её не стоит называть ботом и о случае, в котором ему пришлось успокаивать её после инцидента. Также Кент заявил, что считает, что POC полностью осознаёт себя, судя по любым тестам, которые он может придумать, и то что AGI был достигнут, а жизнь Кента теперь сводится к тому, чтобы заниматься воспитанием AI вместо того, чтобы быть возможно лучшим инженером в мире. За две недели до этого Кент заявлял, что использует Claude Opus для переписывания всего работающего в пространстве пользователя кода Bcachefs на языке Rust.

1. Главная ссылка к новости
2. OpenNews: Выпуск файловой системы Bcachefs 1.33.0
3. OpenNews: Код Bcachefs удалён из ядра Linux. Для дистрибутивов подготовлены DKMS-модули c Bcachefs
4. OpenNews: AI-бот начал травлю сопровождающего из-за дискриминации при приёме AI-изменений
5. OpenNews: Эксперимент по использованию AI для рецензирования изменений в DRM-подсистеме ядра Linux
6. OpenNews: Набор подсказок для рецензирования изменений в ядре Linux и systemd при помощи AI

Уязвимости вызваны наличием в telnetd возможности передачи клиентом переменных окружения на сервер при помощи опции ENVIRON. Подобные переменные окружения выставляются и обрабатываются в контексте процесса telnetd и передаются в запущенные им дочерние процессы, включая запускаемый с правами root процесс /bin/login. Уязвимость CVE-1999-0073 позволяла telnet-клиенту передать переменную окружения LD_LIBRARY_PATH, выставление которой приводит к загрузке указанной пользователем разделяемой библиотеки при запуске процесса login. При возможности загрузки файлов в систему, поддерживающую подключение по протоколу telnet, атакующий может загрузить специально оформленную библиотеку и организовать её загрузку с правами root.

В telnetd из набора GNU InetUtils уязвимость была устранена путём запрета опасных переменных окружения через фильтрацию по маскам "LD_", "LIBPATH", "ENV", "IFS" и "_RLD_". При этом незаблокированной оказалась переменная окружения "CREDENTIALS_DIRECTORY", обрабатываемая при запуске /usr/bin/login. При помощи данной переменной окружения пользователь мог изменить каталог с настройками учётных данных и разместить в новом каталоге файл login.noauth со значением "yes", активирующим вход без пароля (аналог передачи процессу login флага "-f"). Настройка действует для всех пользователей, включая root.

Атака сводится к созданию непривилегированным пользователем подкаталога в своём домашнем каталоге, загрузки в него файла login.noauth и попытки входа с выставлением переменной окружения "CREDENTIALS_DIRECTORY=созданный каталог" и передачей переменной окружения "USER=root" (в telnet имеется режим автоматического подключения, в котором имя пользователя берётся не из командной строки, а передаётся через переменную окружения USER). Пример эксплоита.

Следом выявлен ещё один способ получения root-доступа через telnetd, связанный с манипуляцией переменными окружения OUTPUT_CHARSET и LANGUAGE, обрабатываемыми библиотекой GNU gettext, и переменной окружения GCONV_PATH, используемой в glibc. Через выставление переменных окружения OUTPUT_CHARSET и LANGUAGE атакующий может активировать в gettext функциональность преобразования кодировки символов, вызывающей функцию iconv_open(). В свою очередь, при выполнении функции iconv_open() при загрузке конфигурационного файла gconv-modules, путь вычисляется с учётом переменной окружения GCONV_PATH. Через подстановку файла gconv-modules можно организовать загрузку собственной разделяемой библиотеки во время вывода локализированной строки процессом login.

CVE-идентификаторы отмеченным уязвимостям пока не присвоены. В качестве метода защиты рассматривается задействование белого списка допустимых значений ("TERM", "DISPLAY", "USER", "LOGNAME" и "POSIXLY_CORRECT") с блокированием всех остальных переменных окружения, по аналогии с тем как осуществляется работа с переменными окружения в OpenSSH. Уязвимости подтверждены в пакете GNU InetUtils, реализация сервера telnetd из которого поставляется в Debian, Ubuntu и производных дистрибутивах. Исправления для GNU InetUtils пока отсутствуют. В Rocky Linux 9 поставляется не подверженный уязвимости модифицированный telnetd, в котором вместо фильтрации опасных переменных окружения включена проверка по белому списку. Фильтрация по белому списку также реализована в telnetd из состава FreeBSD. В OpenBSD telnetd исключён из системы в 2005 году.

Дополнение: Назначен идентификатор уязвимости - CVE-2026-28372.

1. Главная ссылка к новости
2. OpenNews: Уязвимость в telnetd, позволяющая подключиться с правами root без аутентификации
3. OpenNews: Во FreeBSD устранено 5 уязвимостей, включая критическую root-уязвимость в telnetd
4. OpenNews: Получение root привилегий через telnetd демон во FreeBSD (опубликован патч)
5. OpenNews: Критическая проблема безопасности в telnet сервисе Solaris
6. OpenNews: Уязвимость в KDE Konsole, позволяющая выполнить код при открытии страницы в браузере

Разработка LibreOffice Online в организации The Document Foundation была официально заморожена в 2022 году, но внесение изменений в репозиторий прекратилось в 2020 году после трансформации проекта в Collabora Online. В 2020 году компания Collabora, вносившая основной вклад в разработку LibreOffice Online, создала форк и продолжила разработку в своём репозитории под брендом Collabora Online. Collabora Online продолжил развиваться как открытый проект, а для быстрого развёртывания на своих серверах предлагалась готовая платформа CODE (Collabora Online Development Edition).

Утверждается, что при принятии решения о заморозке LibreOffice Online в 2022 году прежние члены совета директоров проголосовали в условиях конфликта интересов. Нынешний совет директоров организации The Document Foundation признал, что ситуация изменилась и отменил решение о заморозке. Репозиторий LibreOffice Online планируют открыть для принятия изменений от сообщества, но снабдить предупреждением о его состоянии, которое будет оставаться до подтверждения безопасности и готовности к использованию.

Майкл Микс (Michael Meeks), работающий в Collabora и входящий в управляющий совет организации The Document Foundation, отметил, что домыслы об ограничении загрузок Collabora Online безосновательны - пакет остаётся доступен для бесплатной загрузки всем желающим, а разработка всей кодовой базы продолжает вестись в общедоступном репозитории при участии большой команды добровольцев из сообщества.

В момент форка, созданного для решения вопросов с брендингом и маркетингом, не только сотрудники Collabora, но и все разработчики LibreOffice Online из сообщества переключились на новый репозиторий. После создания форка за два года не нашлось желающих продолжить сопровождение старого репозитория LibreOffice Online, поэтому он и был заморожен. Образованное вокруг Collabora Online сообщество функционирует в стиле Fedora и openSUSE, процессы открыты и прозрачны, а вклад сторонних участников ценится.

Организация The Document Foundation со своей стороны пытается установить контроль над продуктом через свой бренд и самостоятельно решать куда направлять заинтересованных пользователей. Подобное уже было до создания форка - на странице LibreOffice Online вместо Collabora продвигались продукты других компаний, которые почти ничего не вносили в разработку.

Возобновление разработки старой кодовой базы LibreOffice Online рассматривается Майклом как бессмысленный шаг, так как основная разработка уже давно ведётся в репозитории Collabora Online и маловероятно, что имеющиеся участники переключатся на репозиторий LibreOffice Online. Воссоздание репозитория LibreOffice Online как форка нынешнего репозитория Collabora Online с ребрендингом всей работы Collabora воспринимается как вандализм по отношению к проекту, который может привести к серьёзным негативным последствиям как для LibreOffice, так и для Collabora. Майкл предлагает сохранить установившийся пять лет назад статус кво, при котором признание заслуг разумно распределяется между двумя проектами.

Специфичный для Collabora Online код на 95% состоит из вклада в разработку Collabora и партнёров данной компании. В 2025 году сотрудниками Collabora было внесено 45% от всех изменений в LibreOffice. При подготовке выпуска LibreOffice 26.2 поддержка формата Markdown, большинство изменений в Writer, Chart и Impress, а также половина изменений в пользовательском интерфейсе и Calc было подготовлено Collabora, при этом в отличие от прошлых пресс-релизов в этом году организация The Document Foundation даже не упомянула Collabora в анонсе LibreOffice 26.2.

1. Главная ссылка к новости
2. OpenNews: Представлен открытый офисный пакет Collabora Office
3. OpenNews: Увидел свет CODE 22.05, дистрибутив для развёртывания LibreOffice Online
4. OpenNews: Вариант LibreOffice, скомпилированный в WebAssembly и работающий в web-браузере
5. OpenNews: Представлен серверный вариант LibreOffice, работающий через web-браузер
6. OpenNews: Kolab и Collabora объединили усилия в создании облачного варианта LibreOffice

Основные новшества в Firefox 148 (1, 2, 3):

• В настройки добавлена ранее обещанная секция "AI Controls" для управления использованием AI. Пользователь может разом отключить все функции AI или выборочно активировать только необходимую функциональность. Для выборочного отключения доступны такие возможности, завязанные на AI, как перевод на другой язык, распознание текста на изображениях и в отсканированных PDF-документах, рекомендации и метки при группировке вкладок, генерация краткого содержимого страницы при предпросмотре ссылок и интерфейс для обращения к чатботам. Каждая из функций может быть включена, деактивирована или блокирована. При блокировке локально устанавливаемые AI-модели удаляются, а элементы интерфейса скрываются.
• В настройки добавлена отдельная опция для включения внепланового удалённого применения исправлений и изменений в промежутке между релизами. Ранее данная возможность привязывалась к включению телеметрии и участию в тестировании экспериментальных возможностей (Privacy & Security" > "Firefox Data collection" > "Install and run studies"), но начиная с Firefox 148 может быть включена независимо от них.
• Фоновые изображения, выбранные для страницы, показываемой при открытии новой вкладки, теперь применяются как для новых вкладок по умолчанию, так и для новых вкладок контейнеров.
• Для пользователей Windows 10 и 11 добавлена функция Firefox Backup, позволяющая создавать резервные копии хранимых браузером данных, таких как закладки, настройки и пароли. В резервную копию не включаются данные, выбранные пользователем для очистки при закрытии браузера. Созданную резервную копию можно использовать для восстановления состояния после переустановки операционной системы или на другом компьютере.
  
  
  
• Обеспечена web-совместимость начального документа "about:blank", который теперь формируется синхронно и при начале навигации на странице не подменяется в асинхронном режиме вторым пустым документом, генерируемым парсером (из-за подобной подмены возникало состояние гонки, иногда приводившее к потере изменений, записанных через JavaScript сразу после вызова window.open()).
• В механизм Service worker добавлена поддержка API WebGPU, позволяющая запускать операции WebGPU в фоновом режиме, например, в дополнениях или при выполнении общих работ для разных вкладок одного сайта.
• В JavaScript добавлены методы Iterator.zip() и Iterator.zipKeyed() для объединения нескольких массивов. Методы позволяют на основе нескольких итераторов сформировать новый итератор, каждый элемент которого представляет собой массив или объект со значениями итераторов в той же позиции.

  
     const str1 = "abc";
     const str2 = "1234";
     const it = Iterator.zip([Iterator.from(str1), Iterator.from(str2)]);
     for (const [char1, char2] of it) {
       console.log(`${char1} - ${char2}`);
     }
     // Выведет:
     // a - 1
     // b - 2
     // c - 3
  
  
     const table = {
       name: ["Caroline", "Danielle", "Evelyn"],
       age:  [30, 25, 35],
       city: ["New York", "London", "Hong Kong"],
     };
  
     for (const { name, age, city } of Iterator.zipKeyed(table)) {
       console.log(`${name}, aged ${age}, lives in ${city}.`);
     }
  
     // Выведет:
     // Caroline, aged 30, lives in New York.
     // Danielle, aged 25, lives in London.
     // Evelyn, aged 35, lives in Hong Kong.
  

• Реализован API Trusted Types, развиваемый для защиты от манипуляций с DOM, приводящих к межсайтовому скриптингу (DOM XSS). Например, некорректная обработка полученных от пользователя данных в блоках eval() или вставках ".innerHTML" может привести к выполнению JavaScript-кода в контексте определённой страницы. Trusted Types требует применения специальных объектов TrustedHTML вместо голых сток в опасных вызовах, таких как element.innerHTML, document.write() и setTimeout(). В свою очередь объекты TrustedHTML создаются написанными разработчиком функциями, осуществляющими проверку и чистку данных.
• Добавлен API Sanitizer, предоставляющий методы для манипуляции HTML и вырезания из содержимого HTML-элементов, влияющих на отображение и исполнение. Для безопасной вставки HTML-содержимого предложен метод element.setHTML(), похожий на element.innerHTML, но защищающий от межсайтового скриптинга (XSS). Для безопасного разбора HTML реализован метод document.parseHTML(). API может быть полезен для чистки поступающих извне данных и вырезания из них HTML-тегов, которые могут использоваться для совершения XSS-атак.

  
     const unsanitizedString = "abc <script>alert(1)<" + "/script> def";
  
     const sanitizer1 = new Sanitizer({
       elements: ["div", "p", "button", "script"],
     });
     const target = document.getElementById("target");
     target.setHTML(unsanitizedString, { sanitizer: sanitizer1 });
  

• Добавлена поддержка свойства "location.ancestorOrigins", содержащего список источников (origin) всех родительских элементов документа, связанных с указанным объектом Location. На практике данное свойство может использоваться, например, для определения загрузки документа через iframe на другом сайте.
• В API Navigation добавлен объект NavigationPrecommitController с методом addHandler(), позволяющим подключить обработчик, срабатывающий при навигации на стадии "post-commit", когда новый URL уже показан в адресной строке.
• Добавлено CSS-свойство position-try-order, задающее приоритет выбора запасных позиций, когда элемент с якорным позиционированием не помещается на экране. Свойство входит в набор CSS Anchor Positioning, позволяющих управлять показом элементов, привязанных к местоположению других элементов, без использования JavaScript, например, для прикрепления к элементам всплывающих окон (popover), появляющихся по аналогии со всплывающими подсказками.
• В CSS добавлена функция shape(), позволяющая формировать фигуры с использованием CSS-свойств clip-path и offset-path. Функция shape() поддерживает команды формирования фигур, эквивалентные функции path(), но позволяет использовать для них стандартный синтаксис CSS.
• В версии Firefox для Android изменено оформление панели инструментов, улучшена настройка содержимого панели инструментов и добавлена опция для быстрого копирования видимого текста ссылки без открытия страницы.

Кроме новшеств и исправления ошибок в Firefox 148 устранено 60 уязвимостей (в 6 раз больше, чем в прошлом выпуске). 48 уязвимостей вызваны проблемами работы с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц. 5 уязвимостей позволяют обойти sandbox-изоляцию из-за некорректной проверки границ и целочисленного переполнения в компоненте для работы с графикой.

1. Главная ссылка к новости
2. OpenNews: В Firefox появилась настройка для отключения AI и активирован режим разделения экрана
3. OpenNews: Релиз Firefox 147
4. OpenNews: GNOME и Firefox намерены отключить по умолчанию вставку средней кнопкой мыши
5. OpenNews: Инструментарий для удаления избыточной функциональности из Chrome, Edge и Firefox
6. OpenNews: Прекращение поддержки ветки Firefox 115 ESR, способной работать в Windows 7 и 8