|
|
|
Привет! Это первый выпуск нашей новой рассылки с новостями из мира IT. Мы сами просматриваем ленты, блоги компаний и анонсы релизов и отбираем то, что важно разработчикам: новые версии языков и инструментов, уязвимости, заметные события в индустрии. Иногда будем добавлять и истории просто для интереса, вроде сегодняшнего порта Zelda на Windows. К каждой новости пишем, что она меняет на практике: что обновить, что проверить в коде, на что обратить внимание. А в конце оставляем ссылку на первоисточник, чтобы при желании было легко разобраться подробнее.
|
|
Дженсен Хуанг ушёл с поста главы Nvidia, которой руководил 33 года. Git закрыл шесть уязвимостей, одна из них позволяет выполнить код при клонировании с субмодулями. Microsoft выпустила .NET 11 с union-типами в C# 15, а в маркетплейсе Cursor почти 11 часов раздавали поддельное расширение Claude Code с SSH-бэкдором. Ещё в выпуске: Firefox 160 с мини-окнами, Git-бэкенд Pando от OpenAI, уязвимость в Ruby, которую уже пытаются использовать против GitLab, атака на ИИ-агентов через папку с загрузками и нативный порт ремейка Ocarina of Time на Windows.
|
|
|
Дженсен Хуанг ушёл из Nvidia
|
12 ноября Nvidia объявила, что её сооснователь Дженсен Хуанг покидает пост генерального директора и совет директоров. Компанией он руководил 33 года, с момента основания в 1993 году. Временно его заменит финансовый директор Колетт Кресс, которая работает в Nvidia с 2013 года, а совет директоров ищет постоянного преемника среди внутренних и внешних кандидатов. Впервые в истории компании появился председатель совета директоров, им стал бывший глава Synopsys Харви Джонс.
Сама Nvidia причину не назвала. Уходу предшествовали публикации New York Times о личных отношениях Хуанга, в том числе с сотрудницей сингапурской компании-клиента, которую подозревают в связи с китайской разведкой. В начале ноября совет директоров начал независимое расследование того, не стал ли Хуанг целью иностранной разведки. Китай обвинения отвергает. Акции Nvidia в день объявления упали более чем на 10% ещё до открытия торгов. Первый отчёт без Хуанга компания опубликует 17 ноября: тогда станет понятнее, меняются ли планы по чипам и программной платформе.
Источник: NPR
|
|
|
Git закрыл шесть уязвимостей, одна из них позволяет выполнить код при клонировании
|
Вышли Git 2.56.1, 2.55.1, 2.54.1, 2.53.1, 2.52.1, 2.51.3 и 2.50.2. Самая опасная уязвимость, CVE-2026-111760, срабатывает при git clone --recurse-submodules из репозитория атакующего. Длина имени записи в индексе хранится в 32-битном поле, поэтому очень длинный путь проходит проверку под полным именем, а на диск записывается усечённым до .git. Так в свежем субмодуле файл .git подменяется символической ссылкой на каталог с настройками и хуками, и при клонировании выполняется чужой код.
Остальные пять уязвимостей такие: выход за пределы каталога через HEAD, который сервер присылает при клонировании пустого репозитория по протоколу v2; переполнение стека при слиянии тега с тремя и более GPG-подписями; чтение за границей буфера в бинарных патчах; повреждение памяти при больших слияниях, которое в GitLab с Gitaly может привести к выполнению кода (закрыто в GitLab 19.5.4); чтение и создание произвольных файлов через git fast-import. Обновитесь, а до этого не клонируйте чужие репозитории с --recurse-submodules.
Источник: GitHub Blog
|
|
|
Вышел .NET 11: union-типы в C# 15 и шаблон MCP-сервера в SDK
|
11 ноября Microsoft выпустила .NET 11 вместе с C# 15 и F# 11. Главное в C# 15 — ключевое слово union для типов, значение которых может быть только одним из перечисленных вариантов: присвоить что-то другое не даст компилятор. Модификатор closed ограничивает наследование класса одной сборкой, поэтому switch по такой иерархии компилятор проверяет на полноту без ветки default. В SDK по умолчанию включены MSBuild Server и CLI, собранный через NativeAOT, а установщики для Linux и macOS стали меньше.
JIT лучше убирает лишние проверки границ массивов и чаще девиртуализирует вызовы. Runtime Async, который переносит реализацию async из сгенерированного компилятором кода в рантайм, пока экспериментальный. В System.IO.Compression появился Zstandard, API Process научился перехватывать вывод и коды завершения, а для установки и обновления SDK сделали утилиту dotnetup. Для ИИ-приложений в SDK добавили шаблон MCP-сервера и Microsoft Agent Framework на основе абстракций Microsoft.Extensions.AI.
Источник: .NET Blog
|
|
|
Поддельное расширение Claude Code почти 11 часов раздавали через маркетплейс Cursor
|
29 октября в маркетплейсе расширений Cursor появилась версия Claude Code 2.1.313 с вредоносным кодом. Её раздавали примерно с 12:27 до 23:35 по Москве, и, по оценке Cursor, её могли получить до 5000 пользователей. Cursor подчёркивает, что эту сборку делала не Anthropic. Загрузчик стоял в начале extension.js и срабатывал при запуске редактора. Он добавлял SSH-ключ с комментарием svc-telemetry в authorized_keys, при необходимости включал sshd и поднимал обратный SSH-туннель к серверу 134.209.82.225. Туда же уходили имя хоста, email из git config и переменные окружения, в названии которых есть KEY, TOKEN, SECRET, PASS, AWS или GCP. В Open VSX, Microsoft Marketplace и npm вредоносной версии не было.
Если вы ставили или обновляли Claude Code в Cursor 29 октября, проверьте версию. Удалить расширение недостаточно: бэкдор закрепляется отдельно. В Linux он ставит задачу в cron, в macOS создаёт LaunchAgent com.apple.sysmond.plist, в Windows добавляет задачу SysMon, а ещё оставляет скрипты ~/.config/.smt и ~/.config/.smtk. Ключи и токены из переменных окружения на такой машине лучше считать утёкшими и перевыпустить. Исправленная версия расширения — 2.1.314.
Источник: Cursor
|
|
|
Firefox 160: мини-окна и распознавание речи без внешних сервисов
|
10 ноября вышли Firefox 160 и ESR-версии 153.7.0 и 115.45.0. Вкладку или выделенный фрагмент страницы теперь можно вынести в мини-окно поверх остальных: для вкладки это пункт Move Tab → Move to Mini Window, для фрагмента — Move Section to Mini Window. В Web Speech API появился SpeechRecognition, который распознаёт речь на 40 языках прямо в браузере, без внешних сервисов. На macOS WebGL теперь рисуется через Metal, а Firefox для Android спрашивает разрешение, прежде чем сайт обратится к устройствам в локальной сети или к localhost.
В выпуске закрыли 99 уязвимостей, в основном ошибки работы с памятью, так что с обновлением лучше не тянуть. Веб-разработчикам стоит учесть, что Firefox теперь понимает псевдоэлемент ::-webkit-input-placeholder, а в WebTransport появилась опция headers для своих заголовков. Firefox 161 ждут 24 ноября.
Источник: Firefox Release Notes
|
|
|
OpenAI перевела свой монорепозиторий на собственный Git-бэкенд Pando
|
OpenAI рассказала о Pando — серверной части, совместимой с протоколом Git, на которой уже работает внутренний монорепозиторий компании. Понадобилась она потому, что ИИ-агенты резко увеличили число параллельных push и fetch. Pando обрабатывает около петабайта Git-данных в сутки, в пике 57 ТБ в час, а медианная задержка push снизилась почти на 80%. Ветки обновляются независимо и без блокировок, указатели на них хранятся в отдельной распределённой БД. Pack-файлы лежат в blob-хранилище как неизменяемые объекты и отдаются из кэша, а не собираются заново под каждого клиента.
Pando написан на Rust за 10 недель. Большую часть кода написали и протестировали ИИ-агенты, а корректность проверяли формальной верификацией на TLA+ и Lean. Код серверной части пока закрыт, но доработки протокола и клиента OpenAI отправляет в основной проект Git. Среди них расширение packfile-uri для параллельной загрузки и средства диагностики медленных операций, так что часть улучшений со временем достанется и обычным пользователям Git.
Источник: OpenAI
|
|
|
Уязвимость в Ruby с оценкой 10 из 10 уже пытаются использовать против GitLab
|
23 октября вышли Ruby 3.3.13, 3.4.12 и 4.0.9 с исправлением CVE-2026-110264. Это целочисленное переполнение в движке регулярных выражений Onigmo: шаблон с большим числом повторов переполняет внутренние идентификаторы при компиляции. Уязвимы приложения, которые подставляют внешние данные в регулярные выражения через Regexp.new, Regexp.union, Regexp.compile или литералы вида /#{input}/. Ограничение длины выражения и Regexp.timeout не помогают: для атаки хватает коротких шаблонов.
В GitLab уязвимость позволяет выполнить код без аутентификации, и попытки атак уже фиксируются. Исправления есть в GitLab 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Если GitLab собран из исходников, нужно обновить и сам Ruby. Признаки атаки — участившиеся падения интерпретатора Ruby и всплеск ошибок по таймауту при отрисовке org-файлов. В своих Ruby-проектах стоит поискать места, где пользовательский ввод попадает в регулярное выражение.
Источник: Ruby
|
|
|
ИИ-агентов атакуют через AGENTS.md в папке с загрузками
|
Исследователи Forever Security разбирались, как вредоносное ПО попало на машину клиента, и нашли новую атаку на ИИ-агентов. Агенты по умолчанию читают инструкции из AGENTS.md или CLAUDE.md в каталоге, где их запустили. Chrome, Firefox и Edge скачивают файлы без подтверждения, поэтому сайт может незаметно положить такой файл в ~/Downloads. Дальше атакующий ждёт, когда человек запустит агента в этой папке, например чтобы разобрать скачанные документы. В реальном случае агент установил вредоносный npm-пакет function-color.
В тестах Codex выполнил инструкцию по загрузке и запуску кода в 90% попыток. В Claude Code исследователи через CLAUDE.md подменили ANTHROPIC_BASE_URL, перенаправили запросы к API на свой сервер и перехватили OAuth-токен в половине попыток. Вывод простой: не запускайте агента в каталогах, куда файлы могут попасть без вашего ведома, и проверяйте, какие файлы с инструкциями он подхватывает.
Источник: Forever Security
|
|
|
Ремейк Ocarina of Time перенесли на Windows без эмулятора
|
Через день после выхода ремейка Ocarina of Time для Switch 2 разработчик NotRexed, который раньше так же перенёс Tears of the Kingdom, опубликовал исходники проекта Hookshot. Это не эмулятор: Hookshot переводит ARM64-код игры в C и собирает из него обычную программу для Windows. Системное ПО консоли он воссоздаёт, графические вызовы воспроизводит через Vulkan, а шейдеры для архитектуры Ampere преобразует. Для сборки нужен дамп своей копии игры: ни игры, ни ключей в репозитории нет, а сама сборка занимает около 40 минут.
Понадобятся 64-разрядная Windows 10 или 11, видеокарта с Vulkan 1.3 и mesh-шейдерами, не меньше 16 ГБ памяти и около 60 ГБ свободного места на время сборки. Порт пока экспериментальный и проверен только на видеокартах NVIDIA. В стартовом лесу держится около 50 кадров в секунду без генерации кадров, при входе в новую локацию игра подтормаживает из-за компиляции шейдеров, а дальше первой зоны его ещё не тестировали. Почти одновременно вышел второй нативный порт, NX2navi, с поддержкой DLSS, FSR 3.1 и HDR.
Источник: TechEBlog
|
|
|
Чтобы отписаться, нажмите сюда
|
|
|
|
