Автор Tell HN признаёт, что своей публикацией случайно сорвал координированное раскрытие двух PHP RCE — CVE-2026-109618 и CVE-2026-109619. Он пишет, что не хотел побочных эффектов и берёт ответственность на себя, а последствия уже прилетели в расписание disclosure и в чужую рабочую нагрузку.
Несколько отчётов о новых уязвимостях Linux kernel ушли не в приватную security-рассылку, а прямо в публичный LKML. Среди них есть проблемы с CVSS до 9.0: SMB Direct RCE из-за integer underflow, race condition в KSMBD, LPE в skbuff skb_zerocopy, баг в VMWGFX и ещё пара свежих дыр.
Компания объявила, что добровольно уходит из глобального бизнеса SSL/TLS и сосредоточится на enterprise-решениях и других trust services. Поводом называют недавний инцидент: affected CAs отозвали за 14 часов, end-entity сертификаты не выпускались, инфраструктура не была скомпрометирована, а доля этого направления — около 1% выручки.
Исследователь рассказал о захвате более 300 Tor exit node: атакующие подменили настройки так, чтобы SSH-трафик уходил на 12 своих серверов, а заодно резали порты 25, 465, 587, 993 и 995, оставляя путь для незашифрованной почты. Всё началось с украденного переиспользованного пароля на management server, потом на серверах поставили Ebury, и кампания шла с 2 по 5 октября.
Quad9 заявила, что с 24 ноября больше не сможет оказывать бесплатную защиту пользователям во Франции. Французский суд обязал сервис блокировать recursive DNS-резолвинг для ряда доменов по жалобе beIN, а Quad9 называет это технически неосуществимым и несовместимым с её моделью приватного DNS.
OpenShell написан на Rust и позиционируется как safe, private runtime для флотилий автономных агентов. Проект обещает policy-based контроль доступа к файлам, системным вызовам и сети на уровне ядра, а изменения политик прогоняет через formal verification до того, как их пустят в прод.
Компания утверждает, что с помощью Claude и в сотрудничестве с Theorem смогла доказать security properties на уровне assembly для 123 open-source библиотек. По их словам, модель ещё и нашла баги, которые не всплывали даже после триллионов тестов, а условия были вполне приземлённые: single-threaded static binary, фиксированная память, RISC-V и Linux.
По заголовку известно только то, что DeepSeek и MiniMax смогли уложиться в китайские правила экспорта для зарубежных open-source релизов. Детали в материале не раскрыты.
Zvi пишет, что день оказался «probably worst day in cybersecurity history»: критическая PHP-уязвимость всплыла до релиза фикса, а рядом случились и другие инциденты. Отдельно он разбирает утёкший draft bill Anthropic для Конгресса и то, как компания сначала только усугубила впечатление своими объяснениями.
В выпуске The Pulse авторы обещают разбор серии громких security-инцидентов и breaches, случившихся за один день и частично подпитанных AI. Среди тем — спор вокруг нового version control system Anthropic, tooling для self-healing software у Shopify, продажа Foursquare и ускорение Claude Code через gzip.
Проект на Go позиционируется как open-source managed agent platform, которую можно поднять у себя и гонять на любом model и любой машине. В коробке уже есть tools, secrets, permissions и streaming, а облачный вариант обещает стартовый project с provider’ом и пулом managed sandboxes.
Исследователь показал software-only partial jailbreak для Switch 2: сначала userland-доступ через уязвимость в SmileBasic 4, а потом выход на более привилегированный доступ через баг в FileSystem services module. В цепочке были 32-bit integer overflow при удалении элементов массива, buffer overflow, доступ к памяти на чтение-запись и демонстрация модифицированных персонажей в Mario Kart World.
Microsoft запустила для Xbox Insiders a la carte Cloud Playtime: 10 часов за $4, 25 за $8 и 50 за $12. Часы не сгорают, но к ним надо уже владеть игрой или иметь free-to-play доступ, так что получается не подписка, а поминутный счётчик поверх уже купленной игры.
Авторы пишут про сеть WorldLink Communications в Непале: с IPv6 экспериментировали с мая 2016 года, запустили его в июле 2019-го, и теперь у них больше миллиона абонентов, 100% с включённым IPv6 и около 70% трафика по IPv6. Разбор начинается с IPoE, dual-stack и DHCPv6, а дальше уже идут шрамы: DUID, IA_NA, IA_PD и вся боль, которую лаборатория обычно аккуратно прячет.
DuckDB объявил 2.0.0 LTS под кодовым именем Cinnamon Teal после почти 20 тысяч коммитов со времён 1.5. В релизе — отполированный Quack protocol, asynchronous I/O, first-class VARIANT type, agent mode, triggers, extensible SQL parser и ещё пачка изменений, а поддержка LTS обещана как минимум до октября 2027 года.