В новую версию принято 20260 исправлений от 3171 разработчика, из которых 807 впервые отправили свои изменения в ядро. Размер патча - 63 МБ (изменения затронули 14923 файлов, добавлено 943849 строк кода, удалено 297515 строк). В прошлом выпуске было 17833 исправлений от 2766 разработчиков, размер патча - 68 МБ. Около 44% всех представленных в 7.3 изменений связаны с драйверами устройств, примерно 12% изменений имеют отношение к обновлению кода, специфичного для аппаратных архитектур, 12% связано с сетевым стеком, 5% - с файловыми системами и 3% c внутренними подсистемами ядра.

Основные новшества в ядре 7.3 (1, 2, 3):

• Дисковая подсистема, ввод/вывод и файловые системы
  • Проведена оптимизация производительности ФС Btrfs. Для не SSD-накопителей удалена лишняя задержка, что привело к пятикратному повышению пропускной способности для нагрузок с активным использованием функции fsync, таких как запись логов. В fsync отключено определение пустот в файлах с большим числом экстентов и без пустот, что ускорило выполнение некоторых специфичных тестов в 5 раз.

    При отслеживании некэшируемых буферов экстентов структура xarray заменена на локальный LRU-список, что привело к повышению производительности данных операций в 3 раза. Устранены провалы в производительности при использовании режима прямого ввода/вывода, вызванные регрессиями в прошлых выпусках ядра. Сокращены блокировки при упреждающем чтении экстентов, что снизило накладные расходы при обращении разных задач к перекрывающимся областям.

  • В Btrfs удалена поддержка первой версии кэша с информацией о свободном месте. ФС, созданные на старых системах, необходимо перевести на вторую версию кэша при помощи утилиты btrfstune, иначе они будут работать медленнее. Также удалена опция монтирования "usebackuproot", вместо которой следует использовать "rescue=usebackuproot".
  • В ФС Ext4 повышена производительность параллельных операций записи при прямом вводе/выводе (Direct I/O) и ускорено резервирование пустых областей через вызов fallocate(). Устранена регрессия, снижавшая производительность при буферизированной записи.
  • В ФС Ext4 режим монтирования "data=journal" переведён в разряд устаревших. Поддержку данной опции монтирования намерены прекратить в 2028 году. Опция "data=journal" включает режим полного журналирования, при котором в журнал записываются не только метаданные, но и сами данные, что обеспечивает высокую устойчивость в случае сбоев, но усложняет сопровождение кода, приводит к значительному снижению производительности по сравнению с режимами "data=ordered" и "data=writeback".
  • Удалена файловая система EFS, которая применялась в ранних версиях ОС IRIX, перестала использоваться около 30 лет назад и уже более 20 лет находится без сопровождения. Для тех кому необходим доступ разделам с EFS существуют утилиты, работающие в пользовательском пространстве.
  • Удалена файловая система FreeVxFS, реализующая формат ФС VERITAS VxFS, применявшийся в SCO UnixWare в 1990-е годы и давно не используемый на практике.
  • В механизме создания файловых систем в пространстве пользователя FUSE повышена производительность и сокращено потребление памяти при использовании системы асинхронного ввода/вывода io_uring. Ускорение достигнуто благодаря добавлению возможности передачи пулов буферов из пользовательского пространства в ядро и исключению лишней буферизации (zero-copy) при доступе FUSE-сервера к страницам памяти клиентского процесса или страничному кэшу.
  • Для блочных устройств реализован флаг RWF_DONTCACHE, похожий на режим прямого ввода/вывода (Direct I/O), который можно использовать в функциях preadv2() и pwritev2() или в запросах на чтения и запись через io_uring для доступа к блочному устройству в обход страничного кэша. Например, флаг может применяться в СУБД для низкоуровневой работы с блочными устройствами.
  • В ФС overlayfs добавлена поддержка маппинга идентификаторов пользователей, применяемом для сопоставления файлов определённого пользователя на примонтированном чужом разделе с другим пользователем в текущей системе.
  • Улучшена поддержка монтирования нескольких ФС с одного блочного устройства.
  • В драйвере ntfs3 реализована начальная поддержка альтернативных потоков данных, разделяемых через двоеточие в имени файла. Для создания нового альтернативного потока можно использовать команду "touch file:поток", чтения - "cat file:поток", удаления - "rm file:поток", вывода доступных потоков - "cat file:query_streams".
  • В новой реализации NTFS (ntfsplus) в режиме только для чтения появилась поддержка технологии прозрачного сжатия файлов с использованием оверлейных фильтров WOF (Windows Оverlay Filter).
  • В NFS-сервер добавлена поддержка операции CB_NOTIFY, позволяющей клиенту кэшировать метаданные директорий на своей стороне, получая уведомления об изменениях от сервера.
  • В ФС F2FS добавлена поддержка динамического (без отмонтирования ФС) удаления разделов из общего пула с автоматическим переносом данных на другие разделы и возвращения обратно (например, можно временно изъять накопитель для других нужд).
  • В XFS добавлена поддержка флага FALLOC_FL_WRITE_ZEROES в системном вызове fallocate(), позволяющего заполнить нулями указанный диапазон в файле, используя поддерживаемую некоторыми SSD-накопителями команду WRITE_ZERO, выполняющую обнуление без операций ввода/вывода.
• Память и системные сервисы
  • Улучшена обработка нехватки видеопамяти. В ситуации исчерпания свободной видеопамяти ядро теперь пытается вытеснить из видеопамяти в системную память (GTT) буферы приложений, не имеющих гарантированной квоты памяти (dmem cgroup), а не сразу отказывать в выделении видеопамяти. Такой подход гарантирует выделение ресурсов приложению, которому система зарезервировала определённый объем видеопамяти, даже если память уже выделена другим приложениям. Ранее, если приложению без квот уже была выделена видеопамять, то в ситуации нехватки видеопамяти приложение с гарантированными квотами не могло получить её, и вместо видеопамяти через подсистему TTM (Translation Table Maps) приложению выделялась более медленная системная оперативная память, адресуемая из GPU (GTT). Поддержка dmem cgroup реализована для драйверов nouveau, xe и amdgpu.
  • В механизме SCHED_EXT, позволяющем использовать BPF для создания планировщиков CPU, завершена работа над возможностью создания вложенных планировщиков (sub-scheduler), при помощи которых для каждого cgroup можно задействовать собственный планировщик задач.
  • В планировщик задач внесены улучшения, связанные с обработкой cgroup и решением проблем с распределением весов, из-за которых возникали дополнительные накладные расходы и задержки. Предложено несколько методов распределения весов для cgroup - 'up', 'max', 'concur' и 'tasks', выставляемых через параметр cgroup_mode. Задействована единая очередь выполнения (runqueue) для планирования задач внутри cgroup. Сокращены задержки при планировании задач, которым выделяются короткие кванты процессорного времени, за счёт возможности при необходимости отменять, обновлять или минимизировать время выполнения задач, защищённых от вытеснения.
  • В механизме binfmt_misc (/proc/sys/fs/binfmt_misc) реализована возможность подключения BPF-обработчиков для добавления поддержки новых форматов исполняемых файлов. Изменение позволяет программно в момент каждого запуска анализировать тип исполняемого файла и выбирать для него интерпретатор или динамический загрузчик без хаков типа использования утилиты patchelf и скриптовых обвязок. Например, в BPF-программе можно определять исполняемые файлы для иных архитектур или платформ и запускать соответствующие эмуляторы или Wine, а также упростить организацию запуска исполняемых файлов в пакетах, установленных в разные каталоги в системах с пакетным менеджером Nix.
  • Продолжен перенос изменений из ветки Rust-for-Linux, связанных с использованием языка Rust в качестве второго языка для разработки драйверов и модулей ядра (поддержка Rust не активна по умолчанию, и не приводит ко включению Rust в число обязательных сборочных зависимостей к ядру). Появилась возможность использования Rust для архитектуры PowerPC. Реализованы: модуль для целочисленных преобразований без потерь, режим обфусцированного логгирования значений указателей для предотвращения утечки сведений об адресном пространстве, обвязка над функцией synchronize_rcu(), барьеры памяти, модуль interrupt для включения/отключения прерываний, типы для ввода/вывода, обвязки над fwctl, механизм SRCU (sleepable read-copy-update), обвязки над gem shmem, spinlock-блокировки SpinLockIrq, не допускающие прерывания в критических секциях.
  • Добавлен sysctl-параметр syscall_user_dispatch для управления включением режима диспетчеризации системных вызовов в пользовательском пространстве, позволяющий одному процессу перехватывать системные вызовы другого процесса (применяется в Wine для эмуляции системных вызовов Windows).
  • В BPF добавлена функция bpf_sock_read_xattr(), при помощи которой BPF-программы могут читать выставляемые пользователем расширенные атрибуты (user.*) из inode сокетов. В BPF-приложениях появилась возможность определения глобальных переменных, привязанных к CPU. В верификаторе BPF-программ предоставлена дополнительная информация о выявленных ошибках, упрощающая определение причин проблем.
  • В механизмах трассировки kprobes, uprobes и fprobes реализована поддержка приведения типов, используя данные BTF (BPF Type Format) с информацией для проверки типов в псевдокоде BPF, а также улучшено извлечение сведений о переменных.
  • В подсистему DAMON (Data Access MONitor), позволяющую отслеживать доступ процесса к данным в оперативной памяти (например, можно узнать к каким областям памяти обращался процесс, а какие области памяти остались невостребованными), добавлена возможность мониторинга изменения атрибутов данных (анонимная память, отображённые в память файлы, доступ только для чтения, отсутствие обращений к памяти и т.п.).
  • В механизме KHO (Kexec HandOver), применяемом для запуска нового ядра из старого без потери состояния системы, обеспечен учёт выделения больших страниц памяти (huge pages) во время загрузки. Подобные страницы памяти теперь маркируются и сохраняются после запуска нового ядра.
  • Низкоуровневый код системы подкачки (swap) переведён на новую низкоуровневую структуру данных swap_ops, которая упростила сопровождение кода и реализовала абстракции, необходимые для расширения функциональности в будущем.
  • Добавлены ioctl-команды ALLOCINFO_IOC_CONTENT_ID, ALLOCINFO_IOC_GET_AT и ALLOCINFO_IOC_GET_NEXT, позволяющие выборочно передавать в пространство пользователя данные профилирования выделения памяти. По сравнению с ранее доступным интерфейсом /proc/allocinfo, предложенные ioctl-вызовы позволяют до 20 раз повысить производительность запросов профилирования за счёт фильтрации лишних данных.
• Виртуализация и безопасность
  • Предложен новый механизм изоляции, блокирующий доступ к содержимому файловых систем, за исключением ресурсов, явно переданных в sandbox-окружение через файловые дескрипторы. Механизм реализован при помощи псевдо-ФС failfs и системного вызова fchroot.

    Псевдо-ФС failfs напоминает ФС nullfs, но в отличие от последней реализует принцип "ничего не поддерживается" вместо "ничего не хранится". Подобное свойство не позволяет монтировать что-либо поверх failfs, клонировать ФС и отслеживать состояние через statmount(), listmount(), /proc/<pid>/mountinfo и /proc/filesystems. Если корневой или рабочий каталог процесса находится в failfs, то блокируются любые попытки навигации по ФС c использованием абсолютных файловых путей, символических ссылок и относительных путей, зависящих от текущего рабочего каталога. Процессу оставляется только возможность обращения к определённому каталогу по файловым дескрипторам, открытым до изоляции.

    Для перехода в новый режим изоляции добавлен системный вызов fchroot, похожий на системный вызов chroot, но работающий на уровне файловых дескрипторов. В системные вызовы fchdir добавлен флаг FD_FAILFS_ROOT для перемещения рабочего каталога процесса в ФС failfs. Аналогичный флаг доступен в системном вызове fchroot.

  • Добавлена возможность отслеживания обращений к памяти гостевой системы при помощи механизма userfaultfd, позволяющего создавать обработчики обращений к невыделенным или защищённым страницам памяти в пространстве пользователя. На практике, предложенная возможность позволяет гипервизору определять страницы памяти, к которым в виртуальной машине не было обращений, для их вытеснения в более медленную память или во внешнее хранилище. Для отслеживания нарушений выставленного запрета чтения и записи в отслеживаемой области памяти добавлен флаг UFFDIO_REGISTER_MODE_RWP, который может использоваться как более высокопроизводительный аналог применения mprotect(PROT_NONE) совместно с обработчиком сигнала, генерируемого при обращении к памяти, для которой выставлен запрет на чтение и запись (в случае userfaultfd генерируется исключение, обрабатываемое в пространстве пользователя). Изменение подготовлено при помощи AI ("Assisted-by: Claude:claude-opus-4-6").
  • Усилено разделение между потоками ядра (kthread) и init-процессом (PID 1). Ранее в потоках ядра и в PID 1 совместно использовалось общее состояния файловой системы, что позволяло через вызов pivot_root() переопределить состояние ФС для всех потоков ядра. В новой версии в PID 1 задействована полностью отдельная структура fs_struct, а потоки ядра изолированы в отдельной точке монтирования с nullfs.
  • Во встроенную криптографическую библиотеку (libcrypto) добавлена поддержка режимов шифрования AES - ECB, CBC, CBC-CTS, CTR, XCTR, XTS, GCM и CCM.
  • В системе мандатного управления доступом AppArmor реализована возможность загрузки сжатых наборов правил и добавлен режим аудита.
  • Добавлен sysctl-параметр af_alg_restrict, управляющий включением доступа к криптографическому API AF_ALG из пространства пользователя. AF_ALG позволяет задействовать аппаратные ускорители для криптографических вычислений в Crypto API ядра, но применяется в достаточно специфичных ситуациях и не всегда даёт прирост производительности по сравнению с реализацией ускорения в пространстве пользователя. При этом в связанных с AF_ALG обработчиках выявлена серия уязвимостей, таких как Copy Fail, позволяющих изменить данные в страничном кэше. Для снижения поверхности атаки по умолчанию доступ к AF_ALG частично ограничен. Рассматривается возможность удаления AF_ALG в одном из будущих выпусков.
  • Ужесточена верификация BPF-программ, заверенных цифровой подписью. Добавлена проверка целостности метаданных BPF-программы перед её загрузкой.
  • В системный вызов landlock_restrict_self(), применяемый для активации блокировок Landlock, добавлен флаг LANDLOCK_RESTRICT_SELF_NO_NEW_PRIVS, запрещающий текущему процессу получение любых новых привилегий. Механизм Landlock позволяет непривилегированным программам сбрасывать ненужные для работы привилегии, добровольно ограничивая свой дальнейший доступ к системе в целях повышения безопасности, например, для защиты в случае попыток эксплуатации уязвимостей в программе.
  • В драйвер VirtIO-GPU, обеспечивающий работу виртуального GPU, добавлена поддержка спящего режима S4 (hibernation).
• Сетевая подсистема
  • В ksmbd, встроенный в ядро сервер для протокола SMB, добавлена поддержка расширений Apple Time Machine для хранения резервных копий, создаваемых в macOS через данное приложение. Реализован механизм изоляции последовательностей команд SMB в привязке к MessageId для блокирования атак через отправку недействительных или дублированных запросов. Добавлена поддержка отправки повторных запросов по протоколу SMB3 без нарушения состояния сеанса, если предыдущий запрос был потерян. В SMB3 реализована возможность шифрования на уровне отдельных общих хранилищ (share). Добавлена поддержка шифрования канала связи SMB Direct, использующего технологию RDMA (Remote Direct Memory Access).
  • Реализована возможность использования TCP-пакетов c расширением BIG TCP, позволяющим увеличить максимальный размер TCP-пакета до 4ГБ, в UDP-туннелях на базе протоколов VXLAN и GENEVE.
  • Добавлена поддержка пробрса протокола MCTP (Management Component Transport Protocol) поверх USB (MCTP-over-USB 1.1).
  • Предоставлена возможность отключения (unregistration) сетевых устройств (netkit, veth, vxcan, bareudp, geneve, ipvlan, macvlan и т.п.) для выбранных пространств имён.
  • Для Bluetooth 6.2+ реализована поддержка механизма SCI (Shorter Connection Interval) для снижения задержек при передаче данных в режиме Bluetooth LE (Low Energy).
  • В API nl80211 добавлен унифицированный механизм (NL80211_CMD_PROBE_PEER) для проверки подключённых пиров, работающий как в беспроводных точках доступа, так и на стороне клиента.
• Оборудование
  • Объявлены устаревшими и намечены для удаления в ядре 7.5 старые ARM-платформы, которые почти не используются и мешают сопровождению актуальных подсистем. К удалению намечено около 55 тысяч строк кода, связанного с поддержкой платформ sa1100, omap24xx, i.MX31, samv7, lpc18xx, riscpc, axxia, footbridge, старых плат pxa, orion, dove и mv78xx0, чипов без блока управления памятью (MMU) и микроконтроллеров stm32f4/f7/h7.
  • Добавлена начальная поддержка чипов Apple M3 Pro, Max и Ultra. Реализовано управление состоянием энергопотребления для SoC Apple.
  • В подсистему DRM (Direct Rendering Manager) добавлено свойство "color format", позволяющее пользователю переключить формат представления цвета для устройства вывода. Свойство реализовано для драйверов GPU i915 (HDMI, DP), amdgpu (HDMI, DP) и rockchip (HDMI). Для тестирования можно использовать команду вида "modetest -s 115:1920x1080-60@NV12 -w 115:'color format':4", в которой 115 - идентификатор коннектора, а '4' номер формата YUV420.
  • В драйвер amdgpu добавлена поддержка модификаторов DRM для GPU AMD серий GFX6-8 (Southern Islands, Sea Islands и Volcanic Islands). Реализована начальная поддержка DCN 6.0.0 (Display Core Next). Проведена чистка устаревшего кода. Включена поддержка CACP (Content Adaptive Contrast and Power), позволяющая снизить энергопотребление OLED-панелей. Для дисплейных движков на архитектуре DCN4 включена поддержка механизма IPS (Idle Power State) для снижения энергопотребления во время неактивности. Добавлена поддержка видеокарт AMD Barco.
  • В драйвере i915 переработан код для определения возможностей и восстановления состояния коннекторов DisplayPort. Для GPU Novalake (NVL) добавлена поддержка CMTG (Common mode timing generator) и DC3DO (Display C3 with Clock Off).
  • Продолжена работа над drm-драйвером (Direct Rendering Manager) Xe для GPU на базе архитектуры Intel Xe, которая используется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Добавлены новые идентификаторы поддерживаемых устройств. В configfs реализован атрибут 'enable_multi_queue' для отключения одновременного использования нескольких очередей передачи команд. Улучшена поддержка перехода в спящий режим.
  • Продолжена интеграция компонентов драйвера Nova для GPU NVIDIA, оснащённых GSP-прошивками, используемыми начиная с серии NVIDIA GeForce RTX 2000 на базе микроархитектуры Turing. Драйвер написан на языке Rust. В новой версии осуществлён переход на новые образы прошивок TLV, вместо старых вариантов, используемых в драйвере Nouveau. Добавлена поддержка запуска прошивки для чипа GSP (GPU System Processor) с включением vGPU. Добавлен API для получения информации о размере видеопамяти.
  • В драйвер Tyr, написанный на языке Rust и обеспечивающий работу с GPU ARM Mali, добавлена возможность загрузки прошивок в формате Mali CSF, активации виртуальной памяти GPU и запуска MCU.
  • В драйвер msm добавлена поддержка GPU Adreno Shikra (A704) и Eliza (722).
  • Добавлена поддержка звуковых устройств и ASoC: Pioneer DJ DJM-S11, AW88399 (Lenovo Legion Pro), AW88399 (Lenovo Legion), Lisuan, ALC235, RME HDSPe AIO, RT766/RT767 SDCA, Maili, Hawi, CS35L62 (SoundWire), RT766/RT767 VA1.
  • Добавлена поддержка Steam Controller (модель 2026 года); мышей Logitech G502 X Plus и G502 X Lightspeed,; клавиатур Endorfy Thock TKL, Zenbook A16; гарнитур Nova 5X, Nova 7 и Arctis 7; игрового руля Turtle Beach VelocityOne Race; геймпада MSI Claw.
  • Улучшена поддержка звука на устройствах ASUS VivoBook M515DA/X515DAP, LG gram 16 (16Z90TR), Minisforum AI X1 Pro, HP Pavilion 15-eh2xxx, HP Laptop 15-dy0xxx и HP Spectre x360 16-aa0xxx, HP EliteBook 6 G1, HP OmniBook X Flip 14, Lenovo Yoga Pro 7, Huawei Matebook, ThinkPad X1 Carbon 6th, HP ProBook 440 G5, Acer Aspire A515-57.
  • Добавлена поддержка смартфонов, планшетов и ноутбуков: Motorola Edge 30, Motorola Moto G2, Xiaomi 12 Lite 5G, Microsoft Surface Pro, Honor MagicBook art 1412in, Sony Xperia M2, Vicharak Axon, Axon Mini и Vaaman2, Asus Zenbook A16, Lenovo Thinkedge se70.
  • Добавлена поддержка ARM-плат и SoC Samsung Exynos 1580 (используется в флагманских смартфонах с 2024 года), Orange Pi 5 pro, Sophgo SG2000 (гибрид Arm/RISC-V), BeagleBadge, Qualcomm "Shikra" и "Altera" (Cortex-A78C), Agilex72 (Cortex-A720), Alientek ATK-DLRV1126, Variscite SoC DART-MX8M-PLUS, DART-MX8M-MINI, VAR-SOM-MX8QM и платы Sonata/Symphony на их основе, 9Tripod X3568 v4, Youyeetoo YY3588, milk-v duo, ArmSoM CM5, Freescale Verdin iMX8M Mini, Anbernic rg vita-pro, Embedfire lubancat 4, Vicharak Vaaman, LincStation E1, HINLINK H28K.

Одновременно латиноамериканский Фонд свободного ПО сформировал вариант полностью свободного ядра 7.3 - Linux-libre 7.3-gnu, очищенного от элементов прошивок и драйверов, содержащих несвободные компоненты или участки кода, область применения которых ограничена производителем. В выпуске 7.3 проведена чистка от блобов новых драйверов для GPU Mali Tyr, Morse Micro mm81x wi-fi, NXP wi-fi, и сетевых карт на чипах Realtek. Обновлён код чистки в драйверах nova-core, amdgpu, adreno, tegra, iris, rtw89 и mt76 wifi, Qualcomm Q6V5 PAS, qla2xxx scsi и звуковых кодеках aw88399. Выполнена чистка имён blob-ов в dts-файлах (devicetree) для ARM-чипов Qualcomm.

1. OpenNews: Релиз ядра Linux 7.2
2. OpenNews: Релиз ядра Linux 7.1
3. OpenNews: Релиз ядра Linux 7.0
4. OpenNews: Релиз ядра Linux 6.19
5. OpenNews: Релиз ядра Linux 6.18

Новые корректирующие версии Chromium последнее время появляются каждую неделю и содержат исправление сотен уязвимостей. Помимо участившихся релизов, сопровождение усложняют изменения в инструментарии upstream-проектов и конфликты, связанные, с одной стороны, со стремлением предоставить пользователям должное качество, избегая по-возможности встраивания зависимостей в пакет, и, с другой стороны, с необходимостью оперативной публикации обновлений с исправлением уязвимостей. Компиляция Chromium занимает 15-16 часов на ноутбуке и около 6 часов на мощном ПК, при том, что перед публикацией пакета требуется проверить все варианты сборки с разным USE-флагами.

Chromium использует большое число встроенных зависимостей (например, ffmpeg, harfbuzz, zstd), но особенно усложнило сопровождение добавление в зависимости Rust и Go. В случае с Rust проблемы связаны с использованием экспериментальных возможностей, совместимость с которыми может нарушаться с новых релизах, а Go с тем, что инструментарий требует доступа к сети, который запрещён для сборочных окружений правилами Gentoo. Помимо этого, отмечены сбои в системе непрерывной интеграции Google, которые временами приводят к публикации неполных архивов с кодом.

По мнению сопровождающего, для качественной поддержки пакета требуется команда как минимум из трёх человек со знаниями языков C, C++, Go, JavaScript и Rust, а также знакомых со специфичными инструментариями Google. У одного сопровождающего на поддержание Chromium уходит более 6 часов в неделю, т.е. почти целый рабочий день из своего свободного времени, и это не считая ситуаций, в которых приходится диагностировать и исправлять ошибки, а также приводить состояние сборки к соответствию требованиям Gentoo.

Последней каплей, после которой сопровождающий решил прекратить поддержание пакета, стало обесценивание его труда при обсуждении слишком медленной публикации обновлений Chromium в Gentoo (в Gentoo сейчас поставляется версия 151 при актуальном выпуске 155). Один из участников дискуссии предложил использовать готовый ebuild-сценарий из стороннего репозитория Bentoo, поддержание которого автоматизировано. Сопровождающий пояснил, что простое копирование недопустимо без аудита изменений и полного тестирования всех вариантов сборки с разными USE-флагами, иначе невозможно гарантировать работоспособность пакета у всех пользователей. На что получил ответ, что всё это чушь (ridiculous).

В случае удаления пакета www-client/chromium, пользователи могут переключится на использование пакета www-client/google-chrome, в котором упакованы поставляемые Google бинарные сборки Chrome, или использовать сторонние сборки Chromium в формате Flatpak.

1. OpenNews: Лицензионные проблемы с поставкой файлов Gentoo в репозиториях ChromiumOS и CoreOS
2. OpenNews: Gentoo начал формирование бинарных пакетов для архитектуры x86-64-v3
3. OpenNews: Chromium будет удалён из репозиториев openSUSE, если не найдётся новый сопровождающий
4. OpenNews: Прекращена разработка Funtoo Linux, развивавшегося создателем Gentoo
5. OpenNews: Arch Linux, Fedora, Debian, Slackware и openSUSE могут отказаться от поставки Chromium

Появлению подобной теории заговора способствовала непрозрачность процесса выбора seed-параметров на фоне выявление потенциального бэкдора в генераторе псевдослучайных чисел Dual_EC_DRBG, входившем в стандарт NIST. Информация о том, как были сгенерированы параметры для инициализации стандартизированных в NIST эллиптических кривых, не раскрывалась. Предполагалось, что параметры были созданы в 1997 году на основе хэшей от фраз, экспромтом придуманных Джерри Солинасом (Jerry Solinas), но затем забытых.

В ходе проведённого в Anthropic исследования AI-модель Claude определила, что seed-параметры были созданы с использованием псевдослучайных чисел, полученных при помощи входящей в стандартную Си-библиотеку функции lrand48, инициализированной значениями текущего эпохального времени. Наводкой на возможность использования случайных чисел, полученных через функцию lrand48, послужили характерные для её использования шаблоны, такие как возврат только 31 старшего бита из 48-битного внутреннего состояния генератора псевдослучайных чисел.

Для восстановления состояния генератора псевдослучайных чисел был применён алгоритм редукции базиса, после чего с имеющимися seed-параметрами перебором сопоставлялись SHA-1 хэши от получаемых через lrand48 наборов чисел необходимой длины. Попытки повторялись c переинициализацией генератора через функцию srand48() для моментов времени в 1997-1998 годах, в которых происходила разработка ECDSA. При этом оказалось, что не все подходящие для надёжных эллиптических кривых значения принимались создателями ECDSA, некоторые значения пропускались, но подобные единичные пропуски трактуются не как злонамеренные действия, а как отсутствие точных сведений о критериях выбора.

Для шести вариантов эллиптических кривых ECDSA также удалось определить происхождение базовых точек, которые оказались сгенерированы с помощью генератора псевдослучайных чисел из библиотеки FreeLIP с использованием простых значений инициализации, таких как 20000 для P-192 и 20420 для prime239v1.

За определение происхождения seed-параметров исследователям из Anthropic присуждена учреждённая три года назад премия в $36864, которую команда исследователей пожертвовала некоммерческой организации ISRG, развивающей проект Let’s Encrypt. Учредивший премию криптограф Филиппо Валсорда (Filippo Valsorda) заявил, что теперь лично ставит кривые ECDSA выше Curve25519, Ed25519 и X25519, и будет рекомендовать их в первую очередь.

1. OpenNews: Представлена техника атаки для определения ключей ECDSA и DSA
2. OpenNews: Новая техника атаки по сторонним каналам, позволяющая восстановить ключи ECDSA
3. OpenNews: Уязвимость в реализациях постквантового алгоритма шифрования Kyber
4. OpenNews: Дэниэл Бернштейн подал в суд из-за утаивания NIST информации о постквантовых криптоалгоритмах
5. OpenNews: Опубликован прототип бэкдора в генераторе псевдослучайных чисел Dual_EC_DRBG, входившем в стандарт NIST

Nimony - новая реализация языка Nim, практически не использующая кодовую базу существующего компилятора: с нуля написаны семантический анализ, обобщённые процедуры, разворачивание шаблонов, управление памятью и генерация кода. Цели проекта - инкрементальная перекомпиляция, полностью параллельные сборки, отказ от обязательных предварительных объявлений процедур и типов, типобезопасные дженерики и единая модель конкурентности на основе продолжений (continuations). Этапы компиляции обмениваются данными через текстовый формат NIF, а вместо исполнения макросов в виртуальной машине применяются плагины, компилируемые в нативные исполняемые файлы.

Основные изменения за прошедшие месяцы:

• Самокомпиляция и бэкенды
  • Бэкенд nativenif портирован и собирается при помощи Nimony. Вся цепочка инструментов, от фронтенда до генератора нативного кода, компилируется самим Nimony.
  • Архитектура перестроена вокруг промежуточного представления NJ ("No Jumps"), не содержащего операции break, continue и goto. NJ развивается для использования во фронтендах Nimony и Nim 2.x (текущей версии) и обеспечивает генерацию кода для C/C++, JavaScript и нативных бэкендов x86-64 и ARM64.
  • Добавлен JavaScript-бэкенд, включаемый подкомандой j (nimony j file.nim).
  • NIFC переименован в Leng для устранения постоянной путаницы между NIF и NIFC.
  • Обеспечена сборка DLL, позволяющая разрабатывать части программ на Nimony и подключать их к проектам на Nim 2.x,
  • Добавлена поддержка FreeBSD.
• Управление памятью
  • В дополнение к имевшимся режимам управления памятью ARC и atomicArc портированы ORC и YRC. Доступна возможность подключения собственных реализаций через переключатель mm:<путь>.
  • По умолчанию задействованы типы ref и ptr, не допускающие значения nil. Для совместимости со старым кодом предназначена прагма {.feature: "lenientnils".}.
  • Среда выполнения доработана для устойчивости к нехватке памяти (OOM - out-of-memory).
• Языковые возможности и стандартная библиотека
  • Реализованы суммарные типы (sum types) и сопоставление с образцом (pattern matching), на основе которых в стандартную библиотеку добавлены типы Opt[T] и Result[T, E] для поддержки функциональной парадигмы программирования.
  • Проверка диапазонов выполняется полностью на этапе компиляции: если корректность неявного преобразования не удаётся доказать, компиляция завершается ошибкой.
  • Семантика break и block приведена к поведению Nim 3 (RFC 576).
  • Реализованы явные циклические зависимости между модулями.
  • Решено допустить классические исключения в виде ref object с подтипами (heap-based exceptions) для совместимости с Nim 2.
  • Сохранена работоспособность макросов: std/macros отображается на систему плагинов Nimony, что позволяет использовать существующий код метапрограммирования без переписывания.
  • Добавлена параллельная форма цикла for ("for i in 0 || 1"), реализованная в виде плагина, интегрированного с пулом потоков и циклом событий. Корректность доступа к результатам проверяется статически:

    
     import std / [parfor, syncio]
    
     proc pfib(n: int): int =
       if n < 2:
         return n
       
       var r = [0, 0]
       for i in 0 || 1: # итерации выполняются параллельно
         r[i] = pfib(n - 1 - i)
       
       result = r[0] + r[1]
    

  • В стандартную библиотеку добавлены модули httpclient с собственной реализацией TLS, complex, base64 и heapqueue, а также sort. Блокировки переведены на вызовы, не зависящие от libc.
• Инженерные улучшения
  • Кодовая база компилятора переведена на nifcore, очередную итерацию API для работы с NIF, что снизило потребление памяти.
  • Для повышения безопасности работы с памятью во внутренних структурах NIF задействован подсчёт ссылок и режим copy-on-write.
  • Реализована проверка плагинов перед выполнением. Для проверки во время разработки плагинов поставляется линтер.
  • Реализованы совместимые с Nim прагмы .compile, .link, .intdefine, .booldefine и .strdefine. Прагма .build сделана независимой от инструментария сборки, а новая прагма .bundle позволяет подключать собственные бэкенды, работающие поверх Leng.

При тестировании потребления памяти на системе с чипом Apple M1 самый требовательный к памяти процесс фронтенда занимает 45 МиБ, бэкенда - 111 МиБ, а суммарное потребление при восьми одновременно работающих процессах достигает 171 МиБ. Сборка тех же компонентов компилятором Nim 2 требует примерно в пять раз больше памяти, что в значительной мере обусловлено применением clang.

Целью на текущий год в README проекта названа готовность компилятора к промышленному использованию для проектов, укладывающихся в задокументированный набор возможностей. В начале года темп разработки снизился из-за параллельной работы над системой инкрементальной компиляции в Nim 2. Модуль httpclient с собственной реализацией TLS создан для отработки применения Nim в роли встроенного ассемблера.

1. OpenNews: Релиз языка программирования Nim 2.2.12
2. OpenNews: В языке Nim представлен YRC - потокобезопасный сборщик циклических ссылок
3. OpenNews: Представлены принципы дизайна компилятора Nimony для будущего Nim 3.0
4. OpenNews: Для Nim 3.0 развивается новый компиляторный бэкенд на основе формата NIF
5. OpenNews: В openSUSE обеспечена полная поддержка языка программирования Nim

При сжатии фотографий с потерями для веб-ресурсов с настройками эффективности сжатия (баланс между временем кодирования и уровнем сжатия) по умолчанию файлы JPEG XL получались обычно на 15-25% больше аналогичных файлов AVIF (libavif). При максимальных уровнях сжатия разрыв сокращался до 6-20%. В отдельных тестах JPEG XL приближался к AVIF (libavif) или даже превосходил его. При этом на результат JPEG XL влияет выбор кодировщика: новый кодировщик jixel, как правило, создаёт файлы меньшего размера, чем libjxl, за исключением случаев, когда изображение содержит сложную прозрачность.

Для скриншотов и иллюстраций формат AVIF значительно лучше, чем JPEG XL. При настройках по умолчанию размер файлов JPEG XL был на 30-90% больше, а при максимальных уровнях сжатия - на 20-70% больше. Отмечается, что AVIF отлично справляется с такими изображениями при сжатии с потерями, поэтому использование форматов без потерь оправдано только в тех случаях, когда требуется абсолютная точность передачи данных (побитовое совпадение).

Для изображений с прозрачностью AVIF также значительно превосходит JPEG XL. При использовании libjxl файлы получаются на 31-44% больше при настройках по умолчанию или на 61-70% больше при максимальных уровнях сжатия. Кодировщик jixel всегда сохраняет прозрачность без потерь, из-за чего его файлы в 2-3 раза превышают по размеру аналогичные файлы AVIF, созданные libavif.

Как правило, AVIF (libavif) быстрее производит кодирование и потребляет меньше памяти с учётом размера итогового файла. Кодировщик jixel работает быстрее libavif и требует меньше памяти, однако создаваемые им файлы обычно значительно крупнее.

Декодирование в AVIF происходит быстрее. Для JPEG XL декодирование обычно требует в 2-3 раза больше времени при среднем качестве, однако при очень высоком качестве разрыв сокращается - в таких случаях браузер Chrome иногда декодирует JPEG XL даже быстрее.

Использование более высоких уровней сжатия оправдано для libavif и jixel, но не для libjxl. В случае с libjxl высокие уровни сжатия значительно замедляют процесс, требуют гораздо больше оперативной памяти и практически не улучшают результат. Иногда файлы, полученные при таких настройках, оказываются даже больше, чем при использовании настроек по умолчанию.

Режим 4:2:0 в AVIF (с пониженным вдвое цветовым разрешением) редко приводит к уменьшению размера файла, но при этом затрудняет достижение высокого качества изображения. Но кодирование и декодирование в этом режиме происходят быстрее.

Настройки качества работают предсказуемо во всех кодировщиках. При одном и том же значении параметра качество итогового изображения может немного варьироваться, но у всех кодировщиков эти отклонения происходят однородно и выглядят вполне логично.

В JPEG XL при выборе высоких уровней сжатия использование прогрессивного вывода практически не требует дополнительных затрат. В jixel недавно появилась поддержка предварительного прогрессивного отображения: при максимальной интенсивности сжатия это почти не влияет на результат, однако при настройках по умолчанию размер файла увеличивается на 12%. Браузеры Firefox и Chrome поддерживают прогрессивный JPEG XL. Safari отображает финальное изображение, но не показывает промежуточные прогрессивные стадии.

В AVIF с недавних пор тоже поддерживается прогрессивный вывод. Пока эта функция доступна только в Chrome, но работа над её внедрением в Firefox уже ведётся. Реализация этого механизма в AVIF сложнее, чем в JPEG XL, зато он даёт больше контроля над тем, как будет выглядеть предварительное изображение, а файлы обычно получаются меньше и декодируются значительно быстрее.

Что касается HDR, то в JPEG XL отсутствуют "карты усиления" (gain maps), что является существенным недостатком по сравнению с AVIF. Формат JPEG XL поддерживает такие карты, но браузерные декодеры их пока не распознают, а процесс кодирования остаётся непроработанным или экспериментальным. При сравнении HDR-контента без использования карт усиления два применённых в тестах показателя качества дают противоречивые результаты, однако оба сходятся в том, что JPEG XL позволяет получить файлы меньшего размера, чем AVIF. JPEG XL даёт возможность уменьшить размер существующих JPEG-файлов на 9-20% без дополнительной потери качества. Скорость декодирования у него такая же или даже выше (за исключением изображений небольшого размера).

В режиме сжатия без потерь (lossless) лидирует JPEG XL. Формат WebP (без потерь) позволяет получить файлы на 9-17% больше, а AVIF (без потерь) - на 30-120% больше. При настройках максимального сжатия без потерь в jixel зачастую создаются файлы, которые декодируются слишком медленно.

1. OpenNews: Представлен формат изображений AVIF 1.2
2. OpenNews: Опубликованы libavif 1.0 и SVT-AV1 1.7, библиотеки для форматов изображений AVIF и видео AV1
3. OpenNews: Представлен формат сжатия изображений Spectral JPEG XL
4. OpenNews: В спецификацию PDF добавлена поддержка формата изображений JPEG XL
5. OpenNews: Google готов вернуть в Chrome поддержку формата JPEG-XL

GNOME OS использует компонент systemd-sysupdate для организации атомарного обновления системы и формат пакетов flatpak для установки дополнительных программ. Для установки задействован прототип инсталлятора. Из недавних улучшений в GNOME OS отмечены:

• Поддержка механизма zswap для сжатия памяти, претендующей на вытеснение в раздел подкачки, для повышения эффективности работы на системах с небольшим ОЗУ;
• Поставка приложения Test Center для упрощения тестирования экспериментальных версий программ;
• Создание проекта Toolpak для установки независимых от дистрибутивов сборок консольных утилит (как Flatpak и Flathub, но для консольных программ).

Сборка GNOME OS Preview пока позиционируется как экспериментальная и будет объявлена стабильной после реализации недоделанных возможностей и поддержки механизмов подготовки, доставки и установки обновлений для поддержания системы в актуальном состоянии. Среди планов на будущее:

• Доработка инсталлятора до полнофункционального состояния;
• Поддержка дельта-обновлений в systemd-sysupdate для загрузки при обновлении только изменений, а не всего образа;
• Интеграция systemd-homed для организации работы с шифрованными переносимыми домашними каталогами;
• Улучшение поддержки устройств на базе архитектуры ARM;
• Более тесная интеграция с TPM и графический интерфейс для восстановления ключей;
• Поставка предустановленных программ в формате Flatpak;
• Создание новых порталов и возможностей Flatpak, например, для поставки VPN-приложений.

1. OpenNews: Инициатива по упрощению тестирования экспериментальных версий программ в GNOME OS
2. OpenNews: Дистрибутив GNOME OS перешёл на стадию тестирования на реальном оборудовании
3. OpenNews: Превращение GNOME OS в дистрибутив для обычных пользователей
4. OpenNews: Проект KDE опубликовал дистрибутив KDE Linux Testing Edition
5. OpenNews: Первый альфа выпуск дистрибутива KDE Linux, развиваемого проектом KDE

Проблема вызвана некорректной последовательностью операций при проверке контрольной суммы сетевого пакета, позволяющей изменить заголовок IPv4 в момент после проверки корректности информации, но до выполнения действий с ним (TOCTOU - Time-Of-Check-To-Time-Of-Use). При определённых условиях вычисление контрольной суммы выполняется в отложенном режиме, уже после разбора и проверки сетевого пакета, что может привести к изменению уже проверенных данных и чтению до 32 байт из области памяти вне буфера, в котором происходит обработка пакета.

Атака производится через отправку из гостевой системы пакета с флагом CHECKSUM_PARTIAL, при котором контрольная сумма вычисляется не сразу, и специально подобранными значениями skb->csum_start и skb->csum_offset. Пакет проходит проверку в сетевом стеке, так как длина заголовка корректна и равна 20 байт. Завершение вычисления контрольной суммы осуществляется при обработке фрагментации, но из-за некорректных значений csum_start и csum_offset результат записывается в самое начало IPv4-заголовка и изменяет первый байт, хранящий размер, увеличивая его 20 до 60 байт. При дальнейшей обработке ядро считает, что размер заголовка теперь 60 байт, при копировании читает дополнительные 40 байт (c учётом хвостовых служебных 8 байт, читается 32 байта из области вне буфера) и отправляет обратно в составе секции с IP-опциями.

В подготовленном эксплоите утечку 32 байт удалось использовать для контролируемой перезаписи 64 байт в памяти ядра и добиться выполнения кода на стороне хост-окружения с правами root. Исследователи пока не опубликовали технические детали данной стадии атаки и код эксплоита, чтобы дать пользователям время на установку обновления. Предположительно, утечка вначале используется для воссоздания раскладки памяти ядра в обход рандомизации KASLR, после чего создаются условия для выделения целевой структуры ядра с указателем сразу за памятью с буфером пакета и инициируется действие, приводящее к изменению данных в секции с IP-опциями, выходящими за границу буфера.

Уязвимость устранена во вчерашних обновлениях ядра Linux 7.2.11, 6.18.57, 6.12.113, 6.6.159, 6.1.190, 5.15.223 и 5.10.272.

Libreboot нацелен на формирование системного окружения, позволяющего обойтись без проприетарного ПО настолько, насколько это возможно, не только на уровне операционной системы, но и прошивки, обеспечивающей загрузку. Libreboot дополняет Coreboot средствами для упрощения применения конечными пользователями, формируя готовый дистрибутив, которым может воспользоваться любой пользователь, не имеющий специальных навыков.

По сравнению с прошлым стабильным релизом добавлена поддержка 222 моделей Google Chromebook на базе процессоров Intel и AMD, 9 редакций ноутбуков Purism Librem 13/14/15/Mini, а также моделей Samsung Lumpy и Stumpy, ThinkPad X301, ThinkPad X270 и ThinkPad X280 Помимо этого добавлена поддержка ПК Dell OptiPlex 5050 SFF и Dell OptiPlex 3040 Micro, материнской платы Supermicro X11SSH-F.

Совместимость с новыми устройствами удалось наладить благодаря интеграции payload на базе EDK2 из coreboot-дистрибутива MrChromebox, позволившем обеспечить полную поддержку UEFI и ReBAR (PCIe Relocatable BAR). Поддержка ReBAR решила проблемы с использованием современных видеокарт с объёмом памяти больше 4 ГБ. EDK2 (реализация UEFI) задействован по умолчанию даже на старых устройствах, таких как ThinkPad X200 и T500, а ReBAR по умолчанию оключён из-за возникновения проблем с выводом в библиотеке libgfxinit на системах с GPU Intel.

Поддержка UEFI протестирована при загрузке Windows 10/11, 9front (форк Plan 9), Linux-дистрибутивы с UKI или systemd-boot, OpenBSD с EFI-загрузчиком и разделами GPT, FreeBSD в режиме UEFI и RedoxOS. ReactOS не загружается из-за отсутствия поддержки UEFI. Обособленное использование GRUB и SeaBIOS объявлено устаревшим, но для обратной совместимости в EDK2 встроены EFI-сборки GRUB и SeaBIOS, вызываемые через нажатие ESC при загрузке. В состав EDK2 включены MemTest86+ и iPXE.

Значительно расширена поддержка материнских плат для процессоров AMD Fam15h, таких как KGPE-D16. Для инициализации подобных плат задействован форк coreboot от проекта 15h.org, использующий код протокола инициализации AMD Agesa (AMD Generic Encapsulated Software Architecture), ранее опубликованный компанией AMD.

По умолчанию при сборке выставлен бит HAP (High Assurance Platform) для отключения Intel ME. Обновлены версии Coreboot (от 18 сентября 2026 г.), EDK2 26.09.2, GRUB 2.16 и SeaBIOS (от 28 июля 2026 г.).

В репозиторий добавлен файл AGENTS.md с запретом любого применения AI при подготовке изменений. В качестве причин упоминается экономическая неустойчивость AI-инфраструктура, подконтрольность технологий узкой группе людей и негативное влияние на разработчиков. По мнению автора Libreboot AI-инструменты отупляют и лишают профессиональных навыков, превращая даже талантливых специалистов в зависимых и некомпетентных потребителей.

Оборудование, поддерживаемое в Libreboot:

• Серверные материнские платы:
  • ASUS KFSN4-DRE
  • ASUS KGPE-D16
  • Supermicro X11SSH-F
• Десктоп-системы:
  • Gigabyte GA-G41M-ES2L;
  • Acer G43T-AM3, Q45T-AM;
  • Intel D510MO / D410PT;
  • Apple iMac 5,2;
  • HP Elite 8200 SFF/MT;
  • HP Elite 8300 USDT;
  • HP Pro 3500;
  • Topton XE2 N150;
  • ASUS KCMA-D8;
  • Dell Precision T1650, T1700 SFF/MT;
  • Intel D945GCLF
  • Dell OptiPlex 3050 Micro, 3040 Micro, 5050 SFF, 7010, 7020, 9010 и 9020 серии SFF, XE2 SFF, MT и XE2 MT, 780 USFF/MT.
• Ноутбуки:
  • ThinkPad X60 / X60S / X60 Tablet;
  • ThinkPad T60;
  • Lenovo ThinkPad X200 / X200S / X200 / X220 / X230 / X230 eDP / X230 Tablet;
  • Lenovo ThinkPad X301;
  • Lenovo ThinkPad R400;
  • Lenovo ThinkPad T400 / T400S / T420 / T420S / T430 / T440 / T480 / T480S.
  • Lenovo ThinkPad T500 / T530 / T580;
  • Lenovo ThinkPad W530 / W541;
  • Lenovo ThinkPad R500;
  • HP EliteBook 2560p / 2570p / 2170p / 8470p / Folio 9470m;
  • HP EliteBook 820 G2;
  • HP Compaq Elite 8300 CMT;
  • HP EliteBook 8460p;
  • HP EliteBook 8560w;
  • Dell Latitute E6400 / E6430;
  • Dell Latitude E5420 / E5520 / E5530 / E6520 / E6530 / E6420 / E6220 / E6320 / E6330 / E6230 / E4300 / E7240;
  • Apple MacBook1 и MacBook2;
  • ASUS Chromebook Flip C101 (ARM);
  • Samsung Chromebook Plus (ARM), Lumpy и Stumpy (x86);
  • Purism Librem 13/14/15/Mini;
  • Более 200 моделей Google Chromebook.
• Игровые приставки:
  • Sony PlayStation 1.

1. OpenNews: Выпуск Coreboot 26.09, открытой альтернативы проприетарным прошивкам
2. OpenNews: Истекает время жизни сертификата, которым заверен загрузчик для UEFI Secure Boot в дистрибутивах Linux
3. OpenNews: Выпуск загрузочных прошивок Libreboot 26.01 и Canoeboot 26.01
4. OpenNews: Проект U-Boot перешёл под крыло организации Software Freedom Conservancy

Лоран аргументировал свою позицию тем, что даже если невозможно принудить людей всегда соблюдать правило о декларировании AI, так как часть разработчиков всё равно будет хитрить, сообщество всё равно должно формально зафиксировать свои ожидания и чётко обозначить, что допустимо, а что нет. Подобная попытка регулировать процесс разработки через ограничения на инструменты и апелляция к "установлению ожиданий" вызвала бурный ответ Торвальдса.

По мнению Линуса, к "ожиданиям" это не имеет никакого отношения, а вызвано личными заскоками. Линус не признаёт концепцию "не используй AI для таких-то задач", которая сродни рекомендации не использовать компиляторы при подготовке кода, в контексте того, что если разработчик не разбирается в том как компьютер обрабатывает машинный код, то предложенное изменение не заслуживает внимания, а разработчик не компетентен, если не может писать код на языке ассемблера. Доводя ситуацию до абсурда также можно потребовать не использовать текстовые редакторы при написании пояснений к коммитам, чтобы допускать только разработчиков, способных в один заход грамотно набирать текст без инструментов, позволяющих исправлять допущенные при вводе ошибки.

Линус против введения любых запретов на использование инструментов для упрощения работы и ожидает от людей, что они прикладывают максимум усилий и понимают, что делают. Но это понимание имеет мало общего с тем, какими инструментами они пользуются. По опыту Линуса, люди, которых он уважает и считает умными, не склонны сторониться новых и интересных инструментов.

1. OpenNews: Проект GCC запретил приём значимых изменений, сгенерированных при помощи AI
2. OpenNews: LLVM ввёл правила применения AI-инструментов. Curl и Node.js ограничат выплаты за уязвимости из-за AI
3. OpenNews: В Fedora утверждены правила использования AI-инструментов при разработке
4. OpenNews: Линус Торвальдс поддержал право использовать AI-инструменты при разработке ядра
5. OpenNews: Линус Торвальдс экспериментирует с генерацией изменений к ядру через AI

Основные изменения:

• Рабочий стол обновлён до выпуска GNOME 51, в котором предложены оптимизации для повышения плавности вывода и исключения подвисаний во время анимации и при большой нагрузке на систему.
• Обновлены версии пакетов, включая ядро Linux 7.3-rc6, GCC 15.2.0, LLVM 22.1.6, systemd 261.3, APT 3.3.3, Python 3.14.7, .NET 10.0.112, Go 1.27, PHP 8.5.9, OpenJDK 25.0.4, Rust 1.97.1, Zig 0.16, OpenSSL 4, Mesa 26.2, LibreOffice 26.8.
• Обновлены серверные пакеты: Postfix 3.11.7, Samba 4.24.7, MySQL 9.7.2, FreeRADIUS 3.2.10, FRRouting 10.7.1, HAProxy 3.4.2, iPXE 2.0.0, Valkey 9.1.2, strongswan 6.0.7, cloud-init 26.2, apache httpd 2.4.68, OpenLDAP 2.6.13.
• Осуществлён полный переход на инструментарий uutils coreutils (Rust Coreutils), написанный на языке Rust. Утилиты из состава Rust Coreutils полностью заменили все компоненты пакета GNU Coreutils, включая утилиты cp, mv и rm, которые в Ubuntu 26.04 поставлялись в варианте из GNU Coreutils.
• Обеспечена официальная поддержка пакета Sequoia PGP с реализацией стандарта OpenPGP на языке Rust. В настоящий момент пакет включён в основной репозиторий, но доступен в качестве опции. В будущем намерены перейти по умолчанию на PGP-инструментарий Sequoia, заменив утилиты gpg и gpgv на sq и sqv.
• При использовании Sequoia вместо GnuPG реализована поддержка применения постквантовых алгоритмов для верификации цифровых подписей APT-репозитория. Добавлена поддержка токенов, стойких к подбору на квантовых компьютерах (программные, EP11 и CCA токены с интеграцией поддержки алгоритмов ML-DSA и ML-KEM), реализованная при помощи библиотеки openCryptoki.
• OpenSSH разделён на два пакета - openssh и openssh-gssapi, которые отличаются включением поддержки GSSAPI/Kerberos при сборке. В пакете openssh-gssapi поставляется фоновый процесс openssh-gssapi-server и утилиты openssh-gssapi-client, поддерживающие GSSAPI. По умолчанию в новых установках предлагается openssh, а при обновлении пакет выбирается в зависимости от наличия настроек GSSAPI в файле конфигурации. Разделение произведено для снижения поверхности атаки, так как поддержка GSSAPI реализована в форме внешнего патча, не принятого в основной состав OpenSSH и сомнительного с точки зрения безопасности (весной в патче была выявлена удалённая уязвимость), при том, что поддержка GSSAPI нужна лишь очень небольшому числу пользователей.
• Сформированы сборки Ubuntu Desktop для архитектуры RISC-V. Обеспечена официальная поддержка плат на базе архитектуры RISC-V - SpacemiT K3 (Pico-ITX, CoM260 kit) и SiFive BigSky.
• Добавлена начальная поддержка ноутбуков на ARM-чипах Qualcomm Snapdragon X2.
• Предложена для начального тестирования возможность голосового ввода текста с использованием развиваемой компанией Canonical системы распознавания речи Myna. Сеанс работы с приложением сводится к активации через клавиатурную комбинацию, диктовки вслух и вставки распознанного текста в текущее приложение через симуляцию клавиатурного ввода по мере его произнесения. Для распознавания на выбор могут использоваться AI-модели Whisper, Parakeet или Funasr, выполняемые локально. Из компонентов в базовую поставку пока включено только дополнение к GNOME Shell - Myna Shell, а конфигуратор и AI-модели поставляются отдельной через PPA-репозиторий myna-config и snap-пакеты myna, myna-whisper, myna-parakeet и myna-funasr.
• В качестве применяемой по умолчанию реализации шины D-Bus вместо dbus-daemon задействован dbus-broker. D-Bus Broker реализован в пространстве пользователя, но использует для ускорения подсистемы ядра Linux, сохраняет совместимость с эталонной реализацией D-Bus и может быть использован для прозрачной замены dbus-daemon. D-Bus Broker учитывает ресурсы в привязке к пользователям и включает оптимизации для повышения производительности и надёжности (например, сообщение не может быть потеряно без обработки ошибки).
• Механизм обработки ситуаций нехватки памяти в системе (OOM) переработан для предотвращения аварийного завершения всего десктоп-сеанса (для ключевых десктоп-процессов снижен приоритет, влияющий на выбор претендентов для принудительного завершения с целью высвобождения памяти).
• Сформированы экспериментальные установочные образы Ubuntu Desktop 26.10 с пакетами, собранными с оптимизациями для архитектуры x86-64-v3. Третья версия микроархитектуры x86-64 (x86-64-v3) применяется в процессорах Intel примерно с 2015 года (начиная с Intel Haswell) и отличающейся наличием расширений AVX, AVX2, BMI2, FMA, LZCNT, MOVBE и SXSAVE. Прирост производительности при сборке с оптимизациями для архитектуры x86-64-v3 в большинстве случаев составляет примерно 1%, но в отдельных ситуациях в приложениях с интенсивными вычислениями может наблюдаться более заметное повышение производительности.
• В поставляемое по умолчанию GNOME-дополнение Tiling Assistant добавлен интерактивный режим выбора раскладки окон - при перетаскивании окна мышью в верхней части экрана появляется плавающая панель-подсказка с вариантами мозаичной компоновки.
• Добавлена опциональная поддержка NTP-сервера ntpd-rs, написанного на языке Rust. По умолчанию ntpd-rs планируют задействовать в выпуске Ubuntu 27.04. Проект ntpd-rs станет третьим компонентом, после Rust Coreutils и sudo-rs, интегрированным в Ubuntu в рамках инициативы по повышению качества системного окружения через поставку программ, изначально разрабатываемых с оглядкой на безопасность, надёжность и корректность.
• В заверенных цифровой подписью сборках загрузчика GRUB, применяемого на системах с UEFI Secure Boot, удалена поддержка форматов изображений jpeg и png, таблиц разделов part_appleа и возможности использования для раздела /boot LVM, md-raid (кроме raid1), шифрованных разделов LUKS и ФС btrfs, hfsplus, xfs и zfs. Отмечается, что в инсталляторе Ubuntu для /boot всегда используется только ФС ext4, а другие системы не тестируются и представляют угрозу обхода режима верифицированной загрузки на фоне периодического выявления уязвимостей в GRUB.
• Расширены возможности по использованию полнодискового шифрования, не требующего ввода пароля разблокировки диска при загрузке, благодаря хранению информации для расшифровки ключей в TPM (Trusted Platform Module). Добавлена поддержка оборудования без заслуживающих доверия аппаратных компонентов (RoT, Root of Trust), на которых пользователи могут активировать проверку по PIN-коду или паролю в дополнение к ключу, хранимому в TPM.
• Добавлена поддержка процессоров на базе микроархитектуры Intel Xe3P (Nova Lake) и AMD Zen 6. Добавлена поддержка ноутбуков на чипах Snapdragon X2 Elite, таких как Asus Zenbook A14 (UX3407NA), HP EliteBook X G2q 14 AI и Lenovo Yoga Slim 7x Gen 11, а также на чипах Snapdragon X Elite и X Plus - Lenovo IdeaCentre Mini 01Q8X10 (Snapdragon X Plus model), Lenovo IdeaPad Slim 5x 14Q8X9, HP EliteBook 6 G1q, Acer Swift 14 AI (SF14-11) и Acer Swift Go 14 AI (SFG14-01).
• Реализована поддержка из коробки кластерной файловой системы Lustre (модуль ядра для ФС Lustre теперь собирается по умолчанию).
• В репозиторий добавлены пакеты со стеком AMD ROCm 10.0 для высокопроизводительных вычислений (HPC) и задействования GPU для ускорения работы AI-систем.
• В менеджере приложений (App Center) унифицировано отображение детальной информации о пакетах в форматах Snap и Deb, включающей такие сведения, как разработчик, рейтинг, права доступа, версия, размер пакета, скриншоты и описание. Добавлена отдельная страница управления драйверами, на которой показаны доступные графические драйверы, включая проприетарные драйверы NVIDIA. Реализована возможность установки недостающих кодеков по мере необходимости - при первой попытке воспроизведения связанного с ними контента.
• Администраторам предоставлена возможность отключения сбора телеметрии (Ubuntu Insights) для всей системы, переопределяя настройки отдельных пользователей (если ранее пользователь дал согласие на сбор телеметрии, она всё равно будет отключена).
• Удалена поддержка скриптов System V - компонент systemd-sysv-generator, применявшийся для генерации systemd-сервисов из скриптов /etc/init.d, больше не входит в поставку.
• В Kubuntu задействованы выпуски KDE Plasma 6.7, KDE Gear 26.08, KDE Frameworks 6.29.0 и Qt 6.11.2. По умолчанию предложен сеанс на базе протокола Wayland. Пакет "plasma-session-x11", обеспечивающий работу сеанса X11, не включён в основную поставку и объявлен не поддерживаемым, но может быть отдельно установлен из репозитория. В выпуске Kubuntu 27.04 намерены полностью прекратить поддержку X11, следом за удалением поддержки X11 в выпуске KDE Plasma 6.8.
• В Ubuntu Studio в инсталляторе реализован минимальный режим установки, позволяющий установить только необходимый базовый набор специфичных пакетов (тема оформления, настройки звука, оптимизированные настройки), а мультимедийные программы инсталлировать по отдельности. Возможна установка категорий программ: звук, видео, графика, обработка фотографий и т.п., и отдельный выбор рекомендованных зависимостей для каждого пакета. Для пользователей других редакций Ubuntu предоставлена возможность использовать пакет ubuntu-studio-installer для установки предоставляемых в Ubuntu Studio настроек, пакетов и категорий программ.

  Переделан интерфейс настройки звука, который теперь оформлен как одно окно с вкладками. Предоставлена возможность установки отдельного приложения для настройки PipeWire. Добавлены новые приложения для работы со звуком: Sonic Pi, SuperCollider и JNoise, а также набор плагинов SuperCollider 3. Обновлены версии: OBS Studio 32.2.2, FreeShow 1.6.5, QPrompt 2.0.2, RaySession 0.18.0, Patchance 1.4.0, DistroAV 6.2.1, Kdenlive 26.08.1, Krita 6.0.3, GIMP 3.2.6, Ardour 9.8.0, Scribus 1.6.6, Audacity 3.7.8.

• В Lubuntu задействован выпуск среды рабочего стола LXQt 2.4. Предложен экспериментальный сеанс на базе Wayland, реализованный с использованием дисплейного сервера Mir и композитного менеджера Miriway. Протокол X11 продолжает применяться по умолчанию и прекращать его поддержку в данный момент не планируют, но при этом реализация экрана входа в систему переведена на Miriway и Wayland.
• Возобновлена публикация выпусков Ubuntu MATE. Часть компонентов рабочего стола MATE обновлена до последних версий, перенесены исправления ошибок.
• В Ubuntu Cinnamon задействован выпуск среды рабочего стола Cinnamon 6.6.9.
• В Xubuntu продолжает поставляться выпуск Xfce 4.20, в который перенесли накопившиеся исправления. Повышена стабильность работы при использовании Wayland. Обновлены версии Ristretto 0.14.0, Xfce Screenshooter 1.11.3, Xfce Terminal 1.2.0, Xfce Power Manager 4.20.1.
• В Ubuntu Budgie осуществлён переход на выпуск Budgie 10.10.3. Упрощено перемещение апплетов на рабочем столе. Добавлен новый виджет для поиска и прослушивания интернет-радиостанций. Предоставлена опциональная возможность запуска Budgie поверх композитного сервера wayfire.
• В Ubuntu Unity продолжено использование выпуска Unity 7.7, для которого проведена дополнительная стабилизация. По умолчанию задействованы приложения Lomiri Calculator, Lomiri Files и Lomiri Terminal.
1. OpenNews: Релиз дистрибутива Ubuntu 26.04
2. OpenNews: Отозван установочный образ Ubuntu 24.04.5 LTS для архитектуры x86-64
3. OpenNews: Обновление дистрибутива Ubuntu 26.04.1 LTS

Помимо этого объявлено о подготовке версии online-игры Fortnite для Linux. В рамках этого проекта ведётся модернизация системы защиты EAC (Easy Anti-Cheat) для Linux-дистрибутивов и налаживаются контакты с сопровождающими для реализации необходимых для античит-систем возможностей в Linux.

Отмечается, что старая реализация EAC для Linux не обеспечивает должный уровень античит-защиты, из-за чего многие разработчики игр не добавляют поддержку Linux. В новой редакции EAC вместо собственного модуля ядра задействованы штатные механизмы обеспечения безопасности, предоставляемые ядром Linux, а сам античит запускается как сервис systemd. Во второй версии EAC задействованы загрузка в режиме Secure Boot, лог Measured Boot и удалённая аттестация через TPM-чип для подтверждения целостности загруженных компонентов, а также eBPF-программа для монтиринга за процессами.

Среди требований, которые должны быть выполнены в дистрибутивах для использования EAC:

• Загрузка в режиме Secure Boot ядра, драйверов и модулей ядра, подписанных одобренными ключами. Должный уровень верифицированной загрузки уже обеспечен в Ubuntu, Fedora, Bazzite, Bluefin, Debian, openSUSE, SUSE, Rocky Linux и AlmaLinux.
• Активация TPM 2.0 в BIOS для создания верифицируемого лога загрузки (Measured Boot).
• Применение загрузчиков, таких как systemd-boot и GRUB, поддерживающих режим измеряемой загрузки (measured boot), позволяющий подтвердить достоверность конфигурации и загружаемых компонентов.
• Активация в BIOS и ядре технологии IOMMU, предотвращающей доступ читерских аппаратных устройств к памяти игры.
• Включение в ядре режима Lockdown, который ограничивает доступ пользователя root к ядру и блокирует пути обхода UEFI Secure Boot (ограничивается доступ к /dev/mem, /dev/kmem, /dev/port, /proc/kcore, debugfs, отладочному режиму kprobes, mmiotrace, tracefs, BPF, PCMCIA CIS (Card Information Structure), некоторым интерфейсам ACPI и MSR-регистрам CPU, блокируются вызовы kexec_file и kexec_load, запрещается переход в спящий режим, лимитируется использование DMA для PCI-устройств, запрещается импорт кода ACPI из переменных EFI, не допускаются манипуляции с портами ввода/вывода).
• Отключение в ядре механизма Kexec, применяемого для запуска нового ядра из старого без полной перезагрузки системы.
• Поддержка LSM-хуков (Linux Security Module) в BPF для подключения eBPF-программ, контролирующих доступ и отслеживающих работу процессов (для блокирования чтения и модификации памяти игры, а также проверки активности античит-системы).

Разработчики Ubuntu уже начали обсуждение опубликованных требований, с учётом прошлого негативного опыта нарушений конфиденциальности Windows-пользователей (EAC скрыто выполнял код в нулевом кольце защиты, передавал данные на внешние серверы без явного согласия пользователя и оставался в системе после удаления игры). Из опасений также упоминается увеличение поверхности атак со стороны вредоносного ПО и связь с китайской компанией Tencent (владеет 40% акций Epic Games), которая может быть заинтересована в слежке за пользователями. Предлагается не распространять пакеты c EAC через основные репозитории, информировать пользователей о возможных рисках и предоставить отдельную загрузочную конфигурацию для запуска EAC.

Дополнение: Мэтью Гаррет (Matthew Garrett), известный разработчик ядра Linux, в своё время получивший от Фонда СПО премию за достижения в области обеспечения загрузки Linux на системах с UEFI Secure Boot, раскритиковал подход, применяемый в новом Easy Anti-Cheat, и заявил, что античит можно будет легко обойти. Реализованная в EAC защита привязывается к аттестации через TPM, но на многих материнских платах TPM-чип не распаян, а подключается в форме модуля, имеющего pin для сброса состояния, замкнув который можно обнулить TPM. После этого модифицированное ядро может записать в обнулённый TPM поддельные, но ожидаемые античитом значения измерений, и TPM их заверит корректной цифровой подписью. Также можно подключить через USB-to-SPI-адаптер внешний модуль TPM и использовать модифицированное ядро для перенаправления запросов к этому модулю.

1. OpenNews: В Epic Games Store появится официальная поддержка Linux
2. OpenNews: Сервис доставки игр GOG разрабатывает Linux-версию GOG Galaxy
3. OpenNews: Стабильный релиз Proton 11.0, пакета для запуска Windows-игр в Linux
4. OpenNews: Компания Epic Games опубликовала систему управления версиями Lore

• ElixirOffice - офисный пакет для пользователей, привыкших к Microsoft Office, и предлагающий интерфейс пользователя в его стиле. Поддерживается редактирование документов в форматах Word, Excel и PowerPoint (.docx, .xlsx и .pptx), а также в формате OpenDocument. Структура панелей, меню, диалогов и клавиатурных комбинаций повторяет Microsoft Office. Поставляется как обособленная десктоп-сборка, так и серверная редакция, работа с которой осуществляется через браузер. Код написан на JavaScript и Python с привлечением AI, и открыт под лицензией AGPLv3. Реализация интересна тем, что в проекте задействованы наработки и движок от проекта Euro-Office (форк ONLYOFFICE), а изменения сосредоточены на переработке интерфейса и его стилизации под MS Office.

  Проект создан для жены разработчика, которая преподаёт в школе и несколько раз пыталась перейти на использование открытых офисных пакетов, но всё время возвращалась на MS Office из-за непривычности интерфейса альтернативных пакетов и проблем с отображением документов, создаваемых коллегами. Осознав, что поменять привычки, выработанные за годы работы в MS Office, не так просто, было решено создать новый офисный пакет, на который будет легко перейти с MS Office.

  
• TinyLittleOffice - ключевая идея проекта в том, что документ отождествляется не с файлом, а со ссылкой. Для передачи и копирования документа достаточно передать или скопировать ссылку из адресной строки. Учётная запись для работы с документами не требуется. Предоставляются текстовый и табличный процессоры, планировщик, построитель диаграмм, система презентаций, калькулятор, векторный редактор, календарь-планировщик и планировщик поездок. Редактирование и работа с данными осуществляется на стороне клиента, всё содержимое сохраняется непосредственно в самой ссылке (чем больше документ тем длиннее ссылка). Возможно использование коротких ссылок с хранением документа на сервере в зашифрованном виде (серверная часть запускается на оборудовании пользователя).

  Содержимое документов кодируется в формате TLO, напоминающем Markdown. Поддерживается импорт и экспорт в PDF, HTML, JSON и Markdown, а также в офисные форматы, такие как docx, rtf, pptx и xlsx. Интерфейс минималистичен и поддерживает только самые необходимые возможности. Код написан на TypeScript с привлечением AI и распространяется под лицензией MIT.

  
• Компания Базальт СПО представила офисный пакет "Свободный офис" (ALT Office или Free Office), включающий текстовый и табличный процессоры, редакторы презентаций, векторной графики, формул и БД, почтовый клиент, браузер Chromium (с инструментами для работы с электронной подписью, сертификатом Минцифры и поддержкой криптографических алгоритмов ГОСТ), приложение для работы с PDF-документами Surguch и приложение Alt-csp-cryptopro для интеграции с Криптопро CSP. Поддерживается установка на физические и виртуальные рабочие станции, используя инсталлятор freeoffice-installer (не путать с SoftMaker FreeOffice).

  На странице ALT Office не детализируется на основе какого проекта построен продукт, упоминается лишь обезличенный "офисный пакет". При этом в предлагаемом руководстве пользователя на скриншотах изображён LibreOffice, который также упомянут в rpm-пакете freeoffice, уже достаточно давно поставляемом в ALT Linux. В качестве почтового клиента задействован ThunderBird. Продукт распространяется под проприетарной лицензией, разрешающей безвозмездное использование только физическими лицами и требующее покупки лицензии у юридических лиц.

  

Дополнение: Опубликованы новые версии

• Euro-Office Lite (0.17.31-alpha) - упрощённый вариант Euro-Office, переписанный при помощи AI на Rust с использованием фреймворка Tauri. Лицензия AGPLv3.0.
• GenOffice (0.11.727) - альтернатива Microsoft Office, поддерживающая форматы .docx, .xlsx и .pptx, редактирование PDF, Markdown и HTML, и примечательная тесной интеграции AI-агента в процесс работы над документами. Код написан на TypeScript и поставляется под лицензией Apache 2.0.
• WordCraft (0.7.0), GridCraft (0.7.0), DeckCraft (0.7.0) - развиваемые проектом ArtCraft клоны Microsoft Word, Excel и PowerPoint, сгенерированные на языке Rust через AI. Лицензия MIT.

1. OpenNews: Клоны программ Adobe и MS Office, САПР, AI-ускоритель и почтовый клиент, сгенерированные через AI
2. OpenNews: Опубликован офисный пакет ONLYOFFICE 10
3. OpenNews: Создан Euro-Office, форк ONLYOFFICE. Проект ONLYOFFICE обвинил форк в нарушении лицензии
4. OpenNews: Первый стабильный выпуск открытого офисного пакета Euro-Office

Предоставляется три режима навигации по файловой системе: колонки Миллера, сетка пиктограмм и отсортированный список. В режиме колонок Миллера по мере перемещения по иерархии ФС каждый новый уровень вложенности открывается в новой вертикальной колонке справа от текущей. Для одновременной работы с разными частями ФС предоставляются вкладки и возможность разделения панели на части.

В правой части интерфейса отображается область предпросмотра, позволяющая без открытия нового окна просматривать код, картинки, видео, HTML-файлы и документы, а также прослушивать звуковые файлы. Вызываемые при предпросмотре обработчики выполняются в отдельном процессе, изолированном при помощи прослойки Bubblewrap (нет доступа к сети, ограничены ресурсы и возможен только доступ на чтение). При отображении видео применяется аппаратное ускорение с привлечением GPU.

Доступна бесшовная навигация по содержимому архивов и возможность обращения к сетевым ресурсам (smb, ftp, sftp, WebDAV) как к виртуальным ФС. Поддерживаются темы оформления, локализация на разные языки, специфичные для разных типов файлов контекстные меню и декорирование, история навигации, фильтрация вывода, рекурсивный и индексируемый поиск имён файлов, удаление файлов в пакетном режиме. Интерфейс не блокируется при выполнении длительных операций, например, можно отменить загрузку при ожидании показа содержимого очень больших директорий. Возможно подключение собственных скриптов для вызова из контекстных меню дополнительных действий с файлами и директориями.

При тестировании работы с очень большим числом файлов Strata продемонстрировал самое низкое расходование ресурсов CPU. Результаты теста при навигации по 100 тысячам файлов:

1. OpenNews: Для поддержания дистрибутива Omarchy создана организация Omacom Foundation, получившая 8 млн долларов
2. OpenNews: Выпуск дистрибутива Omarchy 4.0, развиваемого создателем Ruby on Rails
3. OpenNews: Omacom Linux удалось собрать 14.95 млн долларов на разработку

Основные изменения в KDE Plasma 6.8:

• Прекращена поддержка сеанса на базе протокола X11. Оставлен только сеанс для работы с использованием протокола Wayland, возможность запуска X11-приложений в котором обеспечивается при помощи DDX-сервера XWayland. Прекращение поддержки X11 затрагивает только сеанс среды рабочего стола KDE Plasma и не касается возможности запуска приложений KDE в окружениях на базе X-сервера (планов по прекращению поддержки X11 в приложениях KDE пока нет). Для тех, кому требуется X11, по возможности сохранена поддержка данного протокола в различных компонентах рабочего стола и добавлены дополнительные изменения для улучшения совместимости при запуске приложений поверх XWayland.

  Среди причин прекращения поддержки X11 упоминается общая стагнация разработки X-сервера и желание не распылять ограниченные ресурсы разработчиков на параллельную поддержку двух дисплейных систем и типов сеансов. Заявлено, что в долгосрочной перспективе избавление от X11 предоставит новые возможности для расширения функциональности, повышения стабильности, оптимизации кода и ускорения процесса разработки.

• В основной состав Plasma перенесена система резервного копирования kup, позволяющая создавать версионированные бэкапы данных пользователя и сохранять их на внешние USB-накопители или на сервер. Возможна настройка автоматического сохранения изменений со времени прошлого резервного копирования при подключении к компьютеру накопителя с бэкапами.
• Добавлена утилита kscreenctl, идущая на смену kscreen-doctor и предоставляющая более привычный и структурированный интерфейс командной строки для управления выводом. Поддерживаются такие операции, как определение доступных устройств вывода, включение/выключение устройств вывода и изменение настроек.
• В композитный менеджер KWin добавлена возможность автоматической дорисовки на стороне сервера теней и контуров окон, а также применения эффекта закругления углов для приложений, применяющих декорирование окон на стороне клиента (CSD, client-side-decorated), но не поддерживающих указанные элементы оформления. Изменение позволило придать типовой для KDE вид таким приложениям, как Steam и Discord, окна которых ранее отрисовывались без теней, обрамления и скруглений.
  
  

  Для активации теней реализовано новое правило переопределения атрибутов окон приложений (KWin Window Rules) - "Window manager draws titlebar, frame, and shadows". Автоматически тени добавляются к X11-приложениям, в которых не используется декорирование на стороне сервера и не отрисовыаются тени на стороне клиента.

  
• Значительно повышена производительность при использовании внешних видеокарт. Из-за того, что при использовании Wayland-протокола linux-dmabuf v5 композитный менеджер мог работать только с одной видеокартой, при рендеринге на другом GPU (например, на дискретной видеокарте вместо встроенной) кадры необходимо было постоянно копировать через оперативную память. В новой версии протокола linux-dmabuf v6 проблема была решена и в KWin удалось избавиться от лишнего копирования буферов. В проведённых тестах c видеокартой, подключённой через USB-C, в vkcube FPS вырос с 5 до 120, в игре Cyberpunk 2077 с пресетом "low" FPS увеличился c 27 до 50 при использовании linux-dmabuf v6.
• Включена поддержка тройной буферизации вывода на системах c GPU NVIDIA (Kwin автоматически включает тройную буферизацию, если видеокарта не успевает выполнить отрисовку). При тройной буферизации используется три экранных буфера - в первый осуществляется отрисовка, из второго производится вывод на экран, а третий используется для продолжения непрерывного процесса отрисовки, если первый буфер был заполнен до завершения вертикальной развёртки (vblank). Применение третьего дополнительного буфера позволяет избавиться от рывков, возникающих при двойной буферизации в случае невозможности переключения между буферами отрисовки и вывода до завершения вертикальной развёртки. Подобная организация вывода позволяет повысить частоту кадров на маломощных устройствах, ценой увеличения задержки вывода.
• В KWin прекращена поддержка десктопного графического API OpenGL в пользу использования только OpenGL ES. Поддержка OpenGL ES требуется для работы на некоторых старых GPU и, как оказалась, OpenGL ES достаточно для всех потребностей KWin, поэтому он оставлен в качестве базового внутреннего API, по крайней мере до тех пор, пока поддержка Vulkan не станет достаточно развита. Оставление только OpenGL ES позволило избавиться от периодически возникающих проблем, вызванных несовместимостями между OpenGL и OpenGL ES (код написанный и протестированный с одним API, приводил к проблемам с отрисовкой или сбоям при использовании другого API).
• В KWin реализована поддержка новой версии системы Emulated Input 1.6 (libei), применяемой для эмуляции ввода в окружениях на базе Wayland.
• Предложена для тестирования бета-версия унифицированного движка стилей Union, позволяющего использовать разные технологии стилевого оформления приложений, доступные в KDE. По умолчанию в новом движке задействован формат CSS вместо ранее используемого SVG. Движок Union состоит из трёх слоёв: Входной слой - обеспечивает разбор входных форматов файлов со стилями (SVG или CSS) и их преобразование в абстрактное описание для отрисовки. Промежуточный - реализует модель данных и методы для применения стилей к каждому элементу. Выходной слой - отвечает за преобразование универсального стиля в команды для отрисовки, специфичные для конкретного графического стека (QtQuick или Qt Widgets). Для включения нового движка следует установить пакет union и активировать тему "Breeze (Union)" в настройках (System Settings → Colors & Themes → Application Style).
• Расширены возможности для удалённого подключения к рабочему столу. Повышено качество картинки и сокращены задержки при работе в медленных сетях или при частом обновлении содержимого на экране. Обеспечена двунаправленная синхронизация буфера обмена. Добавлен эксклюзивный режим, включающий блокировку экрана на стороне сервера и предоставляющий клиенту виртуальный экран, точно воспроизводящий размеры окон. Страница с настройками оптимизирована для отображения в небольших окнах.
• В Spectacle добавлена опция для записи звука во время создания скринкастов (может использоваться запись с микрофона и сохраняться звук, воспроизводимый приложениями в системе). Повышено качество видео при записи скринкастов. Реализован эффект размытия, работающий без использования OpenCV, что позволило исключить данную библиотеку из зависимостей. Добавлена поддержка изменения размера и разрешения виртуального экрана, созданного для скринкастов (ранее размер был фиксированный 1920×1080).

• В конфигуратор добавлены настройки для управления появлением диалога показа альтернативных символов после удерживания нажатия клавиш. Реализована возможность поиска языков по коду локали, а так же названию на родном или английском языках (т.е. русский язык можно найти по "ru", "русский" и "russian"). На страницу настройки сети добавлены опции для использования аутентификации EAP-TTLS в StrongSwan VPN. Добавлена возможность включения и отключения автозапуска приложений без удаления и пересоздания записей.

  При настройке раскладки экранов появилась возможность попиксельной корректировки элементов, используя клавиши курсора.
  
  

  Реализация страницы настройки поведения окон переведена на использование QML, а оформление унифицировано с другими страницами.

  
• В многомониторных конфигурациях в дополнение к названию монитора обеспечен вывод порядковых номеров устройств, выделенных разным цветом. Показ меток с номерами мониторов при навигации по экранам и в диалоге настройки приоритета позволяет более наглядно разделять подключённые мониторы и избежать путаницы при использовании нескольких мониторов от одного производителя (например, при подключении к виртуальной машине нескольких виртуальных мониторов).
• В менеджере приложений Discover изменён порядок секций на главной странице. На странице обновлений задействован поиск без учёта регистра символов. Ускорена загрузка пиктограмм для приложений в формате Flatpak. Обеспечена группировка элементов по выполняемым операциям и ранжирование по активности при показе прогресса выполнения операции.
• В диалогах предоставления прав доступа через систему порталов XDG (xdg-desktop-portal-kde) представление информации и формулировки унифицированы с другими диалогами KDE.
• Переработана анимация сдвига уведомлений, которая переведена на использование более естественной кривой регулирования плавности ускорения и замедления анимации во времени (easing curve). Реализована более реалистично выглядящая анимация прыгающей пиктограммы приложения, показываемая рядом с курсором для индикации начала процесса запуска программы.
  
  
• Набор символов в интерфейсе выбора Emoji обновлён до версии стандарта Unicode 17. Реализована возможность масштабирования размера значков.
• В приложение System Monitor и виджет вывода информации о системе добавлена поддержка определения применения драйвера Intel Xe и вывода сведений о GPU на базе архитектуры Intel Xe, которая применяется в видеокартах Intel семейства Arc и интегрированной графике, начиная с процессоров Tiger Lake. Обеспечено отображение потребления видеопамяти в процентах от общего размера VRAM по аналогии с тем, как показывается потребление оперативной памяти. Предоставлена возможность привязки процессов к выбранным CPU или группе CPU, для выполнения только на них (CPU affinity).
• В тему пиктограмм Breeze добавлены пиктограммы для Android-приложений и документов Typst.
• Для пользователей с ограниченными возможностями реализован режим, "dwell clicker", симулирующий клик мышью после остановки перемещения указателя.
  
  
• В виджете настройки беспроводной сети реализована опции для автоматического выбора беспроводного канала при работе в режиме точки доступа.
• Реализовано отображение уведомления о низком заряде аккумуляторов подключённых устройств даже при запуске программ в полноэкранном режиме, чтобы пользователь не пропустил полный разряд.
• В эффектах "Peek at Desktop" и "Window Aperture" учтены системные настройки скорости анимации.
• Расширены возможности для определения использования тёмных тем оформления в приложениях на базе GTK 2 и применения к ним тёмных вариантов тем пиктограмм для исключения ситуаций когда в тёмном интерфейсе показываются светлые пиктограммы.
• В приложениях на базе QML задействован интерфейс выбора цвета от KDE вместо использования реализации из состава Qt, не соответствующей цветовым схемам KDE.
• Увеличена верхняя область захвата для перетаскивания не раскрытых на весь экран окон приложений с темой оформления Breeze.
• Добавлена возможность размещения окон поверх других окон при их перетаскивании мышью, удерживая клавишу Meta.
• Для обоев рабочего стола реализован вручную переключаемый режим слайдшоу - вместо автоматической смены обоев для перехода к следующему изображению нужно нажимать клавиатурную комбинацию или выбирать соответствующий пункт в контекстном меню.
• Убрана недокументированная комбинация клавиш Meta+Ctrl+x, применявшаяся для включения функции автоматического вызова действий в зависимости от содержимого буфера обмена. Так как комбинация Meta+Ctrl+x близка к часто используемой последовательности Ctrl+X многие пользователи нажимали её случайно и потом недоумевали как отключить диалог, который начал появляться при каждой вставке URL из буфера обмена.
• В менеджере входа обеспечено запоминание последнего сеанса, выбранного каждым пользователем. Предоставлена возможность использования функции автоматического входа в дистрибутивах со старыми версиями systemd, например в KDE neon.
• Добавлены глобально действующие клавиатурные комбинации для перегруппировки задач в списке (Meta+Ctrl+PageUp, Meta+Ctrl+PageDown) или цикличного переключения между задачами (Meta+Ctrl+Shift+PageUp, Meta+Ctrl+Shift+PageDown) в виджете Task Manager
• Изменена логика работы комбинаций клавиш Meta + 1-9, применяемых для быстрого переключения задач. В многомониторных конфигурациях данные комбинации клавиш теперь применяются для задач в панели на активном экране, а не панели на экране, помеченном первичным.

1. OpenNews: Опубликован KDE Gear 26.08, набор приложений от проекта KDE
2. OpenNews: Для KDE Plasma 6.6 обеспечено сопровождение в течение 3 лет
3. OpenNews: Релиз среды рабочего стола KDE Plasma 6.7

Исследователями изучены три варианта имплантов, встроенных в устройства, которые были куплены через Amazon Japan и Yahoo! Auctions у китайского продавца, отправлявшего заказы из Малайзии. В имплантах использовался микроконтроллер ST STM32G431KBU6 (ARM Cortex‑M4, 128 KB Flash), LTE-модем и eSIM, подключаемые к шине SPI для перехвата информации о нажатии кнопок и данных, выводимых на встроенный OLED-экран. Перехватываемая информация отправлялась злоумышленникам через сотовую сеть и содержала секретную сид-фразу, вводимую пользователем при восстановлении или генерируемую при инициализации нового кошелька.

В первом и втором вариантах для размещения в корпусе дополнительной платы был заменён аккумулятор, а в третьем варианте был оставлен оригинальный аккумулятор, а чип помещался в прорези поролоновой прокладки под экраном. В первом варианте модификацию можно сразу заметить по обилию дополнительных проводов.

Во втором варианте была задействована плата, подключаемая через гибкий шлейф, припаянный к заводским выводам на оригинальной плате.

В третьем варианте использовалась не самодельная, а специально спроектированная накладываемая печатная плата, произведённая массово по заказу. Единственным видимым признаком оставался лишь провод антенны, а сама плата импланта размещалась вплотную над оригинальной платой Ledger и визуально сливалась с ней. Маркировка на микросхемах была сточена.

Подстановка имплантов была произведена на одном из этапов цепочки поставок без компрометации инфраструктуры компании Ledger. Так как модификация не затрагивает оригинальный чип Ledger, штатная функция проверки подлинности не позволяет выявить наличие импланта.

Пользователям, в последние три месяца покупавшим аппаратные криптокошельки через компанию CryptoBilis, рекомендуется не инициализировать новые устройства или перевести средства на новый кошелёк, сгенерировав заново сид-фразу. Для предотвращения подобных инцидентов в будущем компания Ledger намерена внедрить дополнительные меры защиты от физического вмешательства. Компания CryptoBilis, которая в марте 2026 года сменила собственника, приостановила продажи аппаратных криптокошельков до завершения расследования.

1. OpenNews: Компрометация NPM-репозитория Ledger привела к подстановке вредоносных изменений
2. OpenNews: Злоумышленники смогли внедрить бэкдор в NPM-пакет от разработчиков криптовалюты XRP
3. OpenNews: Уязвимости в HSM-модулях, которые могут привести к атаке на ключи шифрования