Проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие CVE-2026-109618 и CVE-2026-109619: неаутентифицированный RCE через повреждение памяти при OOM и через устаревшее глобальное состояние между запросами. Для mod_php есть продемонстрированный эксплойт, срабатывающий до выполнения любого кода приложения. PHP 7.4–8.1 получат только бэкпорты, официальных патчей от проекта им не будет.
По заголовку, Samsung продал 100% мощностей HBM на 2027 год, ожидается рост цен на HBM на 200% в следующем году и двузначный рост цен на DRAM. Детали не раскрыты.
В PyPI-релизе LiteLLM 1.107.0 сидят стилер и backdoor: cook.pth импортируется из каждого Python-процесса, а sitecustomize.py раз в час скачивает код с управляющего сервера. Все семь колёс (Linux/macOS/Windows) несут три файла, хотя GitHub-исходники чисты; PyPI удалил релиз к 13:23 UTC, а Docker-образы были заражены с 11:46 до 14:20 UTC. Злоумышленник получил GitHub CLI-токены трёх разработчиков и прогнал публикацию через подставной репозиторий Berri-AI/litellm.
Суд в Санта-Фе присудил Meta $25 млрд по иску Нью-Мексико, выросшему из Cambridge Analytica. Жюри насчитало более 43 млн нарушений закона штата, при максимальной гражданке $5,000 за каждое; судья снизил сумму с $219,5 млрд до $25 млрд и добавил 15% годовых. Meta заявила об уверенности в апелляции.
Cloudflare развернул защиту от CVE-2026-109618 и CVE-2026-109619 (php2shell) по умолчанию для всех WAF-планов, включая Free, начиная с 21 октября 3:02 UTC — примерно за 9 часов до публичного раскрытия. Уязвимости затрагивают PHP 5.4+ и позволяют RCE, DoS и утечку данных. Впервые применена full transaction detection: правила анализируют и запрос, и ответ в рамках одной HTTP-транзакции.
В regcomp() из musl libc нашли множественные целочисленные переполнения: они могут приводить к неверным размерам аллокаций и out-of-bounds записям в куче. Уязвимый код присутствует с версии 0.5.0 до 1.2.6 включительно, возможен как предсказуемый краш, так и выполнение кода в зависимости от приложения. Патч приложен к сообщению, рекомендуется апгрейд до 1.2.7.
OpenBSD 8.0 вышел 20 октября. Главное: поддержка hibernate для arm64, увеличение виртуального адресного пространства ядра amd64 до 512GB и улучшения драйвера qwx для Qualcomm WiFi 6. Также в changelog есть бэкпорт фикса libexpat (CVE-2026-93990).
Railway обнаружил аномальную активность в системах хранения переменных окружения: посторонний мог получить доступ к зашифрованным env-переменным, а для части из них — и к расшифрованным значениям. Компания считает это частью серии атак на платформенные компании с целью добраться до AI-провайдеров. Все деплои приостановлены, пользователям рекомендовано немедленно ротировать все env-переменные, API-ключи и креды приватных registry.
Исследование Linux Foundation оценивает, что примерно четверть новых pull request в open-source проектах — низкокачественный AI-слоп. При этом 59% мейнтейнеров заметили рост GenAI-контрибуций, а 71% согласны, что GenAI снижает порог входа. По мнению авторов, GenAI потенциально сокращает время написания кода в open-source вдвое.
Из доступного материала известен только сам факт: модели OpenAI приходят в Google Cloud. Ни сроки, ни состав моделей, ни условия не раскрыты.
Linus Torvalds вмержил удаление исторических функций __get_user() и __put_user(), которые не проверяют диапазон пользовательских адресов. Они вычищены из всего generic-кода ядра и полностью убраны для x86/x86_64. При этом Торвальдс признался, что использовал Claude как «дорогую Coccinelle-скрипт» для этой правки.
Node.js выпустил 26.12.1, 24.22.1 и 22.23.4 для линеек 26.x, 24.x и 22.x. Максимальная severity — high: среди проблем OOB write в Brotli-декодере с RCE (CVE-2026-111497), обходы hostname в TLS-сертификатах и баг с NUL-символом в dns.resolve. Также обновлены зависимости: c-ares, OpenSSL, Undici, SQLite и ca-cert.
Cloudflare и VoidZero вместе с Максом Швенком из Owner.com развивают tsrs — Rust-порт компилятора TypeScript в составе тулчейна Oxc. Ранние бенчмарки: до 8x быстрее и примерно на 70% меньше памяти, чем TypeScript 7.0 при том же числе type check workers. Порт не форк: контроль над языком остаётся за командой TypeScript, а tsrs можно попробовать через npm install tsrs.
2 октября 333 заражённых exit-ноды Tor, примерно 10% всех экзитов, начали перехватывать SSH-соединения и перенаправлять их на 12 серверов-перехватчиков: они воровали пароли, подглядывали команды и заражали серверы бэкдором Ebury 1.8.3. Автор написал скрипт на основе exitmap, который прогонял SSH-соединения между своими серверами через каждый из ~3000 экзитов и сверял отпечатки. Tor Network Health пометил экзиты как BadExit и отключил их за несколько дней.
Pragmatic Engineer опросил инженеров 27 компаний и собрал данные CodeRabbit и Gitar. У одной и той же группы из 20 000 разработчиков PR-активность за год выросла на 128%, а «AI-native» команды у Gitar выдают 60+ PR на разработчика в неделю. При этом бюджет на ИИ не связан с размером компании: двухчеловеческая .NET-контора тратит $3,000 на разработчика в месяц, а большинство компаний так и не могут посчитать ROI.