Опубликовано исследование, в котором утверждается, что Telega, альтернативный клиент Telegram, содержит изменения, позволяющие реализовать MITM-атаку и отключающие ключевые элементы криптозащиты Telegram. Клиент Telega использует код оригинального Android-клиента Telegram, распространяемый под лицензией GPLv2, но не раскрывает вносимые изменения, вопреки требованиям лицензии.

Компания Qualys выявила уязвимость (CVE-2026-3888) в организации работы связки snap-confine и systemd-tmpfiles в Ubuntu, позволяющую непривилегированному пользователю получить root-доступ к системе. Проблема проявляется в Ubuntu в конфигурации по умолчанию начиная с выпуска 24.04. В Ubuntu 16.04-22.04 уязвимость может быть эксплуатирована в нестандартных конфигурациях, имитирующих поведение более новых версий дистрибутива. В Ubuntu исправление доступно во вчерашнем обновлении пакета snapd. В snapd проблема устранена в обновлении 2.75.

В мультимедийном фреймворке GStreamer, используемом в GNOME, выявлено 10 уязвимостей, все из которых помечены как допускающие удалённое выполнение кода при обработке некорректно оформленных мультимедийных данных в форматах AVI, RTP, H.266, JPEG, ASF и RealMedia, а также субтитров DVB-SUB. Двум проблемам присвоен уровень опасности 8.8 из 10, а остальным 7.8. Восемь уязвимостей приводят к записи данных за пределы буфера, а две к целочисленному переполнению.

Компания Cloudflare объявила об устранении трёх уязвимостей во фреймворке Pingora, двум из которых присвоен критический уровень опасности (9.3 из 10). Фреймворк Pingora написан на языке Rust и предназначен для разработки защищённых высокопроизводительных сетевых сервисов. Построенный при помощи Pingora прокси используется в сети доставки контента Cloudflare и обрабатывает более 40 млн запросов в секунду. Уязвимости устранены в выпуске Pingora 0.8.0.

Компания Mozilla в рамках проекта Nova работает над модернизацией интерфейса Firefox. Доступно несколько макетов нового дизайна, позволяющих оценить основные тенденции.

Организация Wikimedia Foundation была вынуждена временно отключить возможность редактирования и запретить выполнение персональных скриптов на Meta-Wiki, Wikipedia и сопутствующих Wiki-сайтах, из-за инцидента с безопасностью, который создал угрозу компрометации учётных записей администраторов проекта и привёл к массовой вредоносной модификации страниц и скриптов.

В штате Калифорния одобрен сенатом и подписан губернатором законопроект, предписывающий добавление в операционные системы возможности для указания возраста пользователя на этапе регистрации учётной записи и предоставления приложениям программного интерфейса для определения возраста текущего пользователя. Законопроект вступит в силу 1 января 2027 года. Предполагается, что родители будут указывать возраст детей при регистрации их учётных записей, а приложения учитывать эту информацию при предоставлении доступа к контенту для взрослых. Аналогичный законопроект находится на рассмотрении в штате Колорадо.

Опубликован очередной еженедельный отчёт о разработке KDE, в котором представлены изменения для ветки KDE Plasma 6.7, релиз которой ожидается в июне. Среди внесённых за неделю изменений.

Исследователи из Калифорнийского университета в Риверсайде разработали (PDF) новый класс атак на беспроводные сети - AirSnitch. Атаки дают возможность обойти механизмы изоляции клиентов в Wi-Fi сети, не позволяющие клиентам напрямую обращаться друг к другу. При наихудшем сценарии атаки позволяют злоумышленнику перенаправить через себя трафик жертвы (MITM) для анализа или модификации незашифрованных запросов, а также подменить обращения к сайтам через отравление DNS-кэша.

Следом за выявленной в конце января уязвимостью, позволявшей подключиться под пользователем root без проверки пароля, в сервере telnetd из набора GNU InetUtils выявлено несколько способов повышения своих привилегий, ставших следствием неполного устранения уязвимости в 1999 году (CVE-1999-0073).

Андреас Клинг (Andreas Kling), основатель web-браузера Ladybird, объявил о решении задействовать язык Rust при разработке проекта и начале переписывания частей Ladybird на данном языке. В качестве эксперимента с C++ на Rust уже переписан javascript-движок LibJS. LibJS выбран из-за хорошего покрытия тестами, упрощающего оценку качества портирования.

Компания Oracle опубликовала выпуск операционной системы Solaris 11.4 SRU 90 (Support Repository Update), в котором предложена серия значительных изменений и улучшений для ветки Solaris 11.4. Для установки предложенных в обновлении исправлений достаточно выполнить команду 'pkg update'. Пользователи также могут воспользоваться бесплатной редакцией Solaris 11.4 CBE (Common Build Environment), развиваемой с использованием модели непрерывной публикации новых версий.

Альянс Open Media (AOMedia), курирующий разработку форматов кодирования видео AV1/AV2, формата объёмного звука IAMF и формата изображений AVIF, приступил к разработке звукового кодека Open Audio Codec (OAC), который преподносится как продолжение развития кодека Opus, разработанного организацией Xiph.Org. В качестве эталонной реализации кодировщика и декодировщика OAC под лицензией BSD предложена библиотека liboac, созданная на основе кода библиотеки libopus.

Реми Вершельде (Rémi Verschelde), один из ключевых сопровождающих открытого игрового движка Godot и сооснователь компании W4 Games, заявил, что нарастающий поток низкокачественных pull-запросов, сгенерированных при помощи больших языковых моделей, выматывает и деморализует разработчиков Godot, занимающихся рецензированием изменений. По словам Реми, проект Godot гордится своей открытостью для новых участников и предоставляет любому пользователю возможность повлиять на развитие движка. Сопровождающие Godot тратят много времени, помогая привести pull-запросы к должному состоянию, но при текущем обилии сомнительных изменений Реми не знает, сколько ещё команда сможет выдержать.

Представлены результаты анализа надёжности паролей, генерируемых большими языковыми моделями и AI-ассистентами. Исследователи попросили модели Claude, ChatGPT и Gemini сгенерировать надёжный 16-символьный пароль и во всех случаях получили результат, на первый взгляд отвечающий всем требованиям к безопасным паролям и признаваемый утилитами для проверки качества паролей как надёжный. Пароли сочетали в себе символы в разных регистрах, спецсимволы и числа, но лишь выглядели безопасными, а на деле имели минимальную энтропию, формировались по типовому шаблону и при повторных запросах образовывали закономерность.

С ростом популярности AI-ассистентов у разработчиков участились случаи утечки в публичные Git-репозитории конфиденциальных данных, оседающих среди информации, сохраняемой AI-инструментами в рабочее дерево проекта. AI-ассистенты Claude Code, Cursor, Continue, Aider, OpenAI Codex, Copilot, Sourcegraph Cody и Amazon Q в корневом каталоге проекта создают локальные файлы конфигурации и каталоги, в которых среди прочего может сохранятся история операций и данные о контексте.

GitHub подвёл итоги третьего раунда инициативы "GitHub Secure Open Source Fund", нацеленной на финансирование работы по усилению безопасности открытых проектов. В третьем раунде финансирование получили 67 проектов, используемых при разработке или задействованных в современных AI-стеках.

Дэйв Эйрли (David Airlie), мэйнтейнер стека графических драйверов в ядре Linux, объявил о внедрении вспомогательной автоматизиованной системы рецензирования патчей, для проверки изменений в которой применяется AI-платформа Сlaude Opus 4.6. Система внедрена в качестве эксперимента для оценки возможности применения AI для оптимизации рабочих процессов сотрудников компании Red Hat.