Linux / Линукс

Опубликован сетевой стек F-Stack 2.0, работающий в пользовательском пространстве Состоялся релиз проекта F-Stack 2.0, развивающего редакцию сетевого стека FreeBSD, адаптированную для обособленной работы в пользовательском пространстве в форме библиотеки. Проект создан крупнейшей в Китае телекоммуникационной компанией Tencent и используется в её продуктах и сервисах. Код написан на языке Си и распространяется под лицензией BSD. Поддерживается работа в Linux и FreeBSD. Проектом также поддерживаются переведённые на использование F-Stack редакции Nginx 1.28 и СУБД Redis 6.2.6, демонстрирующие производительность выше обычных сборок, работающих поверх системного сетевого стека. F-Stack позволяет задействовать в приложениях собственный локальный сетевой стек, не зависящий от сетевого стека операционной системы, функционирующий в пользовательском пространстве и напрямую работающий с сетевым оборудованием. F-Stack позиционируется как решение, позволяющее повысить производительность обработчиков сетевых запросов в условиях, когда штатный TCP/IP стек ядра Linux становится узким местом и ограничивает масштабирование. Теоретически F-Stack позволяет достигнуть потолка сетевой производительности, возможного для используемой сетевой карты, и в некоторых ситуациях даёт возможность в разы увеличить число обрабатываемых мелких сетевых запросов. Наиболее заметные изменения в новом выпуске:

— Компоненты сетевого стека обновлены до состояния FreeBSD 15 (ранее использовался FreeBSD 13). — Реализован режим многопоточной работы (thread_mode=1) в одном процессе, дополняющий ранее доступный многопроцессный режим. — Добавлен легковесный режим работы (primary_slim), при котором основной процесс выполняет только базовые задачи инициализации и координации работы, а приём пакетов и обработка очередей приёма/передачи (rx/tx) производится только на стороне дочерних процессов. — Добавлена поддержка механизма аппаратного ускорения TSO (TCP Segmentation Offload) для выноса на сторону сетевой карты операций объединения пакетов, с возможностью отката на программную реализацию. Улучшена поддержка TSO (TCP Segmentation Offload) для IPv6. — Добавлена возможность изменения размера MTU (Maximum transmission unit) и реализована поддержка jumbo-кадров. — Расширены возможности управления аппаратным ускорением вычисления контрольных сумм отправляемых пакетов — Добавлена функция ff_zc_recv() для получения данных в без промежуточной буферизации (zero-copy). Переработана аналогичная функция ff_zc_send() для отправки. Оптимизирована и дополнена поддержкой IPv6 функция ff_rss_check(). — Добавлен опция FF_KERNEL_COEXIST для работы совместно с сетевым стеком ядра. — Предоставлена возможность сохранения информации о трафике в pcap-дампах с наносекундной точностью. — В config.ini добавлены новые параметры idle_loop_interval, extra_eal_args, drain_ring_size, reload_heartbeat_timeout_ms и reload_udp_idle_ms. — В специализированной сборке nginx реализована поддержка перезагрузки конфигурации и обновления бинарного файла без разрыва соединений (graceful_reload=1).

Linux / Линукс 🥸

Linux / Линукс 🥸

Нарушения эмбарго и затягивание разработки патчей в ходе устранения уязвимостей в PHP Разработчики PHP опубликовали отчёт о проблемах, возникших в процессе устранения исправленных критических уязвимостей в PHP. Информация об уязвимости, возникающей при исчерпании доступной памяти, была получена в ходе внешнего аудита ещё в 2024 году, но была воспринята лишь как теоретическая возможность совершения атаки. Исправление затянулось из-за проблем с достижением консенсуса среди разработчиков PHP о способе устранения уязвимости. Рассматривалось несколько конкурирующих предложений о решении проблемы, каждое из которых имело свои минусы. Приходилось выбирать между нарушением обратной совместимости, появлением новых векторов для атак, вызывающих отказ в обслуживании, и необходимостью внесения изменений во множество сторонних дополнений. Несколько месяцев назад компании Calif и Wiz независимо друг от друга при помощи AI-моделей GPT‑5.6 и Gemini 4 Argon выявили рабочие методы эксплуатации проблемы и 11 и 24 августа 2026 года сообщили об этом разработчикам PHP. После этого разработке исправлений был назначен наивысший приоритет и начато реформирование процесса принятия решений для более оперативного реагирования в вопросах, связанных со сложными компромиссами (подобные решения теперь могут приниматься большинством голосов без строгого достижения консенсуса). Изначально, скоординированная с дистрибутивами дата публикации исправления была назначена на 22 октября, но затем была перенесена на 21 октября после утечки 20 октября в социальные сети сведений о CVE-идентификаторах и некорректных данных о времени публикации предстоящих корректирующих выпусков. Вскоре после анонса предстоящих исправлений в компания Calif, выявившая одну из уязвимостей, по ошибке опубликовала видеоролик с демонстрацией работы эксплоита, в котором были заметны некоторые детали, позволяющие сузить область поиска и воссоздания информации о проблеме. Ролик был быстро удалён, что лишь подстегнуло у исследователей желание докопаться до сути уязвимости и форсировало работу над альтернативными прототипами эксплоитов. Помимо этого, за шесть часов до намеченной публикации исправлений компания Chainguard нарушила эмбарго и опубликовала сборки своего дистрибутива, содержащие исправленную версию PHP. Подобное нарушение дало возможность злоумышленникам изучить исправление до официального релиза, а также перечеркнуло всю работу по скоординированному раскрытию информации и одновременной публикации исправлений в разных дистрибутивах. Спустя 16 часов после раскрытия деталей об уязвимостях универсального рабочего эксплоита ещё не появилось и массовых атак пока не наблюдается, что объясняется сложностью эксплуатации уязвимости из-за необходимости определения раскладки структур в памяти процесса, которая специфична в каждой сборке. Опубликованные рабочие прототипы эксплоитов завязаны на отдельные конфигурации и проведение атаки в лабораторных условиях. Также появилось много фиктивных эксплоитов, являющихся галлюцинациями AI, лишь создающих видимость атаки, завязанных на ошибки в конфигурации или работающих только при наличии других критических уязвимостей. Linux / Линукс 🥸

"Мне нужно пойти все починить." Linux / Линукс 🥸

Зарабатывайте на установках Яндекс Браузера Партнёрская программа для сервисных центров, магазинов компьютерной техники, сайтов для скачивания файлов и авторов статей. Вы можете предлагать его своим клиентам и аудитории — и зарабатывать на новых установках. Выплаты до 500₽ за каждую установку Яндекс Браузера. Подать заявку #реклама 0+ partner.browser.yandex.ru О рекламодателе

Проблемные корневые сертификаты eMudhra были сгенерированы в HSM и прошли независимый аудит Компания eMudhra опубликовала заявление, связанное с инцидентом, в результате которого у восьми корневых сертификатов удостоверяющего центра оказались легко подбираемые закрытые ключи, имеющие всего 1 байт энтропии вместо 48. eMudhra утверждает, что сертификаты были сгенерированы в апреле 2025 года на публичной церемонии с использованием аппаратных модулей HSM (Hardware Security Module), имеющих сертификат соответствия требованиям FIPS 140-2 Level 3. В процессе генерации ключей произошёл сбой, из-за которого на этапе упаковки/распаковки в HSM (wrap/unwrap, шифрование и расшифровка ключом-обёрткой) в дополнение к основному набору криптостойких ключей был создан второй набор слабых ключей с обнулёнными старшими байтами, который и был задействован в сертификатах. Сбой не распознали, так как закрытые ключи создаются и хранятся только в HSM и не попадают в открытом виде за его пределы. Причина произошедшего сбоя пока не ясна и компания проводит связанное с этим расследование. Утверждается, что проблемные корневые сертификаты, созданные с использованием слабых ключей, прошли независимый аудит и два года оставались в списке доверенных во всех хранилищах корневых сертификатов. Linux / Линукс 🥸

Зачем взламывать периметр, если можно просто войти? Украденный пароль, перехваченная сессия или скомпрометированный токен — и злоумышленник может получить доступ к корпоративным системам под видом легитимного пользователя. Для защиты от таких сценариев CURATOR запустил CURATOR.IDENTITY — облачное решение для управления доступом и аутентификацией. Что оно умеет: 🔹 подключать MFA и SSO для корпоративных сервисов, VPN и веб-приложений; 🔹 настраивать права доступа для разных категорий пользователей; 🔹 учитывать контекст входа и устройство; 🔹 защищать пользовательские сессии и выстраивать Zero Trust-сценарии. Решение расширяет защиту CURATOR: теперь она охватывает не только инфраструктуру и приложения, но и доступ к ним. 👉 Подробнее о CURATOR.IDENTITY — по ссылке.

Linux / Линукс 🥸

😮 PHP2Shell гулял по интернетам до релиза ИБшники из AWS посмотрели в логи и оказывается, что первые успешные пробивы пошли еще 17 октября. За 4 дня до официального анонса 😗 Также разобрали механику эксплойта, и это просто песня. Атака не оставляет ВООБЩЕ НИКАКИХ следов. Не нужен обход авторизации, пофиг на плагины, WAFы и версии CMS. Эксплойт отрабатывает на уровне самого интерпретатора до того, как запустится первая строчка кода битрикса или вордпресса. В логах приложения чистота. Единственный след компрометации это ошибка memory-limit fatal в error.log веб-сервера. А теперь эпичный проёб про то, как вообще сплойт так быстро ушел в массы. Релиз планировали на 22 октября. Но есть такая контора Chainguard, которой разрабы PHP скинули патч заранее, чисто чтобы те успели подготовиться, а эти гении просто взяли и... выкатили пропатченные бинарники в паблик 💩 Хацкеры скачали новые сборки, сравнили старое с новым, поняли, где была дыра, и написали рабочий эксплойт. Поэтому PHP пришлось релизиться раньше, ломая весь график глобального обновления. В мире сейчас светит голой жопой около 2,6 миллиона серверов на PHP 🤙 Типичный 🥸 Сисадмин

Релиз CRIU 4.3 — инструмента, который сохраняет состояние работающих процессов и воскрешает их на другой машине или после перезагрузки ядра, даже не разрывая открытые TCP-соединения. На этом годами держится бесшовная live-миграция контейнеров в Docker, LXC и OpenVZ, а также фокусы с обновлением хостовой ОС без простоя сервисов. В версии 4.3 упор сделали на скорость и взаимодействие с видеокартами. Слепки памяти теперь можно на лету сжимать быстрым алгоритмом LZ4 с многопоточной распаковкой, а восстановление виртуальной памяти перевели на асинхронный ввод-вывод (AIO). Но главное новшество — полноценная работа с графическими ускорителями: в CRIU добавили бэкенд для сохранения состояния API драйвера NVIDIA CUDA, а для чипов AMD научились морозить и восстанавливать буферы подсистемы DRM и дескрипторы DMA-BUF. Для архитектуры ARM64 прикрутили поддержку аппаратных теневых стеков (GCS), чтобы при восстановлении процесса злоумышленники не могли подменить адреса возврата функций. Linux / Линукс 🥸

Опрос сопровождающих: 25% pull-запросов являются AI-слопом Linux Foundation подвела итоги опроса 234 сопровождающих и разработчиков открытых проектов, оценивающего влияние AI-инструментов на разработку. 59% опрошенных сопровождающих отметили увеличение числа присылаемых изменений, но около 25% присылаемых pull-запросов признаны низкокачественным AI-слопом. Если рассматривать только крупные проекты, то рост числа изменений отметили 69% опрошенных, а доля AI-слопа среди pull-запросов оценена в 31%. Среди других тенденций:

— AI позволил ускорить выполнение задач, связанных с написанием кода, у 52% опрошенных, и обсуждением предложений у 19%. Но 21% респондентов заявили, что применение AI лишь замедлило решение очень сложных задач. — 66% опрошенных тратят сэкономленное время на устранение технического долга, 63% - на создание новой функциональности (63%) и 58% - на обучение. — 71% сопровождающих считают, что AI снижает порог вхождения в разработку открытых проектов, но 53% полагают, что применение AI подрывает доверие со стороны сообщества. — 35% проектов явно обозначили в правилах возможность использования AI, а 32% не имеют подобных правил и не планируют их введение. — 61% участников разработки заявили, что перед отправкой изменений проводят детальное рецензирование и полное тестирование сгенерированного через AI кода, но не всегда упоминают, что использовали AI. — 46% сопровождающих полагают, что AI повышает потребность в наставниках для новых участников, а 32% считают, что снижает. — 52% используют генеративные AI-инструменты ежедневно, 23% - почти каждый день, 20% - еженедельно, 3% - раз в месяц, 2% - реже, чем раз в месяц. — 20% опрошенных не используют AI, 58% используют AI для задач, не связанных с разработкой, а 59% - для задач, связанных с разработкой.

Linux / Линукс 🥸

Новая осенняя коллекция Marc O’Polo Скандинавская эстетика, тема естественности и свободы быть собой Перейти на сайт #реклама marc-o-polo.ru О рекламодателе

37-летний баг в коде BSD помог обойти все защиты OpenBSD одновременно Есть что-то завораживающее в том, как ошибка, написанная ещё в восьмидесятых, продолжает аукаться системе, которая славится словом "secure by default". Исследователь Эндрю Гриффитс из Calif показал рабочий эксплойт Big Fish, поднимающий права обычного пользователя до root в OpenBSD. Корень проблемы уходит прямиком в код старой BSD, где счётчик подключений к разделяемой памяти System V сделали 16-битным знаковым. Казалось бы, мелочь, но если подключений больше 32 767, счётчик уходит в минус, и учёт ссылок на объекты памяти начинает врать. На практике это выглядело так: создать 127 сегментов общей памяти, запустить 259 дочерних процессов, и готово, счётчик падает до минус 32 643, открывая состояние гонки между удалением сегмента и новым подключением к памяти. Ядро обращается к уже освобождённому объекту, и вот тут начинается самое интересное — одного этого бага не хватило бы, поэтому Гриффитс связал его ещё с одной ошибкой записи за пределами выделенной памяти, подменил данные в структуре сетевого сокета и через это добрался до таблиц страниц памяти. В итоге он выполнил код на уровне ядра, и всё это при включённых KARL, SMAP и SMEP, которые как раз для того и придуманы, чтобы такое не прокатывало. Самое неприятное даже не сама цепочка багов, а то, как её обошли защитные механизмы без единой дополнительной уязвимости для утечки адресов. KARL должен рандомизировать расположение функций и данных ядра, но распределители памяти OpenBSD не всегда выбирают адреса случайно, и после перезагрузки на одном железе некоторые структуры оседают на предсказуемых местах. То есть защита технически работает, но у неё остаются слепые пятна, которыми и воспользовался эксплойт через обработчики интерфейсов lo0 и enc0. Патчи вышли ещё до публикации исследования (обновления 018 и 026 от сентября), так что для OpenBSD 7.9 всё уже закрыто через syspatch. Плохая новость в том, что релиз 7.9 буквально недавно разбирали с другим 27-летним багом, и похоже, в этом древнем коде ещё есть что искать. Linux / Линукс 🥸

Тут в ядре Linux отменили требование указывать использование ИИ при отправке нового кода на рассмотрение Linux / Линукс 🥸

Linux / Линукс🥸

Три новые файловые системы для Linux: одна для спутников под радиацией, другая от Huawei, третья почти полностью написана ИИ Сразу три свежих файловых системы претендуют на попадание в ядро Linux, и каждая закрывает свою узкую нишу. ▫️ BeamFS, создана специально для условий, где космические частицы или рентгеновское излучение могут незаметно испортить данные. Используется кодирование Рида-Соломона. Из минусов — никакого журналирования и Copy-on-Write, так что после сбоя питания придётся ждать полную проверку fsck, но для специализированных систем это разумный компромисс. ▫️ XMFS от инженера Huawei решает совсем другую задачу — объединение оперативной памяти нескольких узлов кластера в единое файловое пространство через POSIX-интерфейс, с прицелом на CXL 3.0 и Huawei United Bus. По сути это tmpfs, растянутый на весь кластер. Проект пока на стадии прототипа и до ядра не скоро доберётся, но тесты на совместном доступе к образам контейнеров уже показывают производительность, близкую к обычной tmpfs с большими страницами памяти, то есть идея рабочая. ▫️ MeshXFS — форк XFS, адаптированный для одновременного монтирования на нескольких узлах с полноценными распределёнными блокировками, журналированием и восстановлением после сбоев. Написан он в основном нейросетью Claude Opus, с точечной помощью Fable, GPT, Gemini и Astra для самых заковыристых мест. Начиналось всё как эксперимент - получится ли у ИИ написать настолько сложный компонент ядра, как кластерная файловая система. Проект уже прошёл проверку на связке из 16 узлов через iSCSI, протестирован в Proxmox VE, RHEL, Ubuntu и Debian, и вышло несколько рабочих релизов. Linux / Линукс 🥸

Почти точная копия windows XP. Тема для KDE 6.6 & 6.7 https://github.com/andymenard/XPlasma-Plus моя кибердека

Тео де Раадт и команда выкатили релиз OpenBSD 8.0, уже шестьдесят первый по счету в истории проекта Главный технический апгрейд под капотом amd64 — виртуальное адресное пространство ядра расширили с 4 ГБ до 512 ГБ, прикрутив рандомизацию прямого отображения физической памяти. Встроенный гипервизор vmd получил поддержку многопроцессорности (до 64 vCPU на гостевую систему), а шифрование раздела подкачки ускорили за счет процессорных инструкций AES. Для архитектуры arm64 завезли рабочую гибернацию и поддержку свежих платформ Qualcomm Snapdragon. Графический стек синхронизировали со свежими ветками Linux, подтянув драйверы для видеокарт Intel Arc Alchemist и адресацию свыше 4 ГБ видеопамяти. А вот китайским процессорам Loongson на древней архитектуре MIPS не повезло: свежий Clang сломал под них сборку, а тратить силы на поддержку музейных чипов разработчики отказались. Вместе с системой обновился и софтверный фундамент, на котором держится безопасность половины интернета: OpenSSH, LibreSSL и незаменимый мультиплексор tmux (в него, к слову, завезли безрамочные всплывающие меню и поддержку кликабельных ссылок). В процессе релиза закрыли пачку уязвимостей, включая опасные RCE в DNS-сервере nsd и переполнение буфера в IPsec. И вся эта функциональная мощь традиционно уместилась в скромный 800-мегабайтный образ. Linux / Линукс🥸

🍻 Дедушке хардкора 60! Выпьем не чокаясь за нервные клетки, оставленные в Slackware. Сегодня (чуть не пропустил повод 🙂), 20 октября 2026 года, свой 60 lvl разменял динозавр и икона опенсорса - Патрик Фолькердинг, он же просто The Man. Для зумеров, которые сегодня деплоят кубернетес в два клика и грустят, когда npm install выдает варнинг, поясню. Патрик это создатель Slackware, старейшего из ныне живых дистрибов Linux (живет с 1993 года). В конце 90х и начале нулевых Слака была не просто операционкой. Это был обряд инициации, по сути как цифровая Спарта 👸, со скалы которой сбрасывали слабых духом виндузятников. В те годы даже ходила поговорка:

Если ты знаешь Ubuntu - ты знаешь Ubuntu. Если ты знаешь Slackware - ты знаешь Linux.

Патрик подарил нам философию KISS (Keep It Simple, Stupid) в её самом радикальном, садистском проявлении. Слака не прощала ошибок. Она брала тебя за жопу и тыкала носом в мануалы, заставляя понимать, как именно работает система. В Слаке по дефолту не было автоматического разрешения зависимостей. Пакетный менеджер просто распаковывал архив. Тебе нужна прога? Она требует библиотеку lib_foo. Ты качаешь lib_foo, а она требует lib_bar. И ты сидишь, красноглазишь до пяти утра, собирая эту матрешку из исходников руками. О, еще эта легендарная утилита xf86config... выставить правильные тайминги и частоту развертки монитора руками в текстовом конфиге! 🤙 Патрик до последнего держал оборону против свистоперделок, корпоративного зондирования и systemd. Slackware это как старый дедовский УАЗик... комфорта ноль, руль хрен свернешь, но заведется даже в ядерную зиму и проедет по любому говну. Патрик Фолькердинг это живой памятник той самой, ушедшей эпохе романтичного ИТ. Эпохе, когда Линукс был уделом бородатых гиков в свитерах с оленями, а не нынешней корпоративной дойной коровой бигтеха для обучения ИИ. Он не продался корпорациям, не ушел в крипту, а просто 30 с лишним лет сидел и пилил свой дистрибутив для таких же энтузиастов. Поднимем же напитки! Долгих лет жизни, Патрик. И спасибо за то, что научил немало админов не бояться консоли. Типичный 🎂 Сисадмин

Пятница, 17:30. Макет почти готов Но один сценарий всё ещё вызывает вопросы. Обсудить сейчас или вернуться в понедельник? Решайте вместе с командой hh.ru в «Охэхэнных новостях». Подписаться #реклама О рекламодателе