← Архив

Октябрь 2026October 2026

31 октября 2026 г.October 31, 2026 день целиком 14 новостейstories

• Безопасность Важно Binance потеряла около $6,3 млрд: атака началась с ноутбука DevOps-инженераBinance loses about $6.3B in a hack that started with a DevOps engineer's laptop 29 октября с горячих кошельков Binance вывели около $6,3 млрд — это крупнейшая кража криптовалюты в истории. Компания говорит, что приватные ключи не утекли, обещает покрыть убытки из страхового фонда и уже заморозила примерно $3 млрд on-chain.About $6.3 billion left Binance hot wallets on 29 October, the largest crypto theft on record. The exchange says no private keys leaked, pledges to cover losses from its insurance fund and has already frozen roughly $3 billion on-chain.
• Безопасность Важно В маркетплейсе Cursor подменили расширение Claude Code: внутрь вшили SSH-бэкдорClaude Code extension was tampered with in the Cursor marketplace and shipped an SSH backdoor 29 октября в маркетплейсе Cursor около 11 часов были доступны вредоносные версии Anthropic.claude-code 2.1.312 и 2.1.313 для Windows и macOS. Расширение собирало данные о хосте, добавляло чужой SSH-ключ и пыталось поднять обратный туннель.For about 11 hours on 29 October, the Cursor marketplace served malicious builds of Anthropic.claude-code 2.1.312 and 2.1.313 for Windows and macOS. The extension collected host data, added an attacker SSH key and tried to open a reverse tunnel.
• Безопасность Важно Эксплуатируется Цепочку zero-day в Ivanti Connect Secure использовали для root-доступа и кражи учётных данныхIvanti Connect Secure zero-day chain used for root access and credential theft Volexity связала атаки на VPN-аппараты Ivanti с группой UTA0576: злоумышленники прошли аутентификацию, выполнили код и получили root, а затем собирали пароли LAPS и ключи BitLocker. Ivanti 29 октября раскрыла три CVE и выпустила патчи.Volexity has tied attacks on Ivanti VPN appliances to a group it calls UTA0576: the intruders bypassed authentication, executed code and gained root, then harvested LAPS passwords and BitLocker keys. Ivanti disclosed three CVEs and shipped fixes on 29 October.
• AI Важно Открытая модель GLM 5.3 превратила свежие патчи Firefox в рабочие эксплойтыOpen-weight GLM 5.3 turned fresh Firefox patches into working exploits Epoch AI показала, что GLM 5.3 без человека находит ещё не выпущенные исправления Firefox и строит по ним однокликовый эксплойт. Все шесть релизов с 17 сентября по 26 октября были скомпрометированы примерно за $1 000 каждый; дыру закрыли в Firefox 159.0.Epoch AI has shown that GLM 5.3 can find unpublished Firefox fixes and build a one-click exploit from them without human input. All six releases from 17 September to 26 October were compromised at about $1,000 each; the underlying flaw was fixed in Firefox 159.0.
• Безопасность Coruna и DarkSword: zero-click эксплойты для iPhone распространяли через 608 доменовCoruna and DarkSword: zero-click iPhone exploits spread through 608 domains Zimperium обнаружила 608 доменов, раздававших эксплойты Coruna и DarkSword для iOS, и 21 сервер телеметрии. Цепочки работают без клика: жертве достаточно открыть ссылку в Safari, а на iOS 18 атака доходит до системного mediaplaybackd.Zimperium found 608 domains delivering Coruna and DarkSword iOS exploits and 21 telemetry servers. The chains need no click: opening a link in Safari is enough, and on iOS 18 the attack reaches the mediaplaybackd system daemon.
• AI Computer Use в Gemini API вышел из preview: браузер, десктоп и AndroidComputer Use in the Gemini API is generally available for browser, desktop and Android 30 октября Google перевёл Computer Use в статус GA сразу для Interactions API и GenerateContent API. Модель предлагает действие по скриншоту, а выполняет его клиентский код; поддерживаются Gemini 4 Argon, 3.8 Flash, 3.5 Flash-Lite и 3 Flash Preview.On 30 October Google made Computer Use generally available in both the Interactions API and the GenerateContent API. The model proposes an action from a screenshot and client code executes it, with support for Gemini 4 Argon, 3.8 Flash, 3.5 Flash-Lite and 3 Flash Preview.
• Безопасность У Polymarket украли средства пользователей через взлом стороннего провайдера DebugBearPolymarket users lost funds after a breach at third-party provider DebugBear Polymarket остановила торги на международной площадке после несанкционированных выводов со счетов. По данным CNBC, причиной стал взлом стороннего поставщика DebugBear; компания вернула 95% кошельков и передала дело британской полиции.Polymarket halted trading on its international exchange after unauthorised withdrawals from user accounts. CNBC reports the cause was a breach at third-party provider DebugBear; the company has refunded 95% of wallets and referred the matter to UK police.
• AI GitHub Copilot Fusion стал общедоступным: вместо выбора модели — три уровня усилийGitHub Copilot Fusion is generally available: three effort levels instead of picking a model 28 октября GitHub сделал Copilot Fusion GA и заменил им режим Auto. Пользователь выбирает Standard, High или Max, а система сама решает, одну модель использовать или сцепить несколько; первые 30 дней действует скидка 30%.On 28 October GitHub made Copilot Fusion generally available and replaced the Auto option with it. Users pick Standard, High or Max, and the system decides whether to use one model or combine several; a 30% discount runs for the first 30 days.
• Безопасность Kairos: новый DDoS-ботнет захватывает Linux-устройства через Telnet с пустым паролем rootKairos: a new DDoS botnet takes Linux devices through Telnet with an empty root password Nozomi Networks описала Kairos — Go-ботнет, который логинится в Telnet под root без пароля и превращает устройство в узел DDoS. Никакого zero-day нет: эксплуатируется базовая ошибка конфигурации.Nozomi Networks has documented Kairos, a Go botnet that logs in to Telnet as root with no password and turns the device into a DDoS node. There is no zero-day: it exploits a basic configuration mistake.
• Разработка Node.js 26 перешёл в LTS «Lithium»: поддержка до апреля 2029 годаNode.js 26 enters LTS as 'Lithium' with support through April 2029 28 октября вышел Node.js 26.13.0 — первый релиз ветки 26.x в статусе Long Term Support. Изменений по сравнению с 26.12.1 почти нет: обновились только метаданные, зато срок поддержки теперь измеряется годами.Node.js 26.13.0 shipped on 28 October as the first Long Term Support release of the 26.x line. There is almost nothing new versus 26.12.1 beyond metadata, but the support window now runs for years.
• Безопасность Trezor предупредила о возможном импланте в Safe 5, купленном у CryptoBilisTrezor warns of a possible implant in a Safe 5 bought from CryptoBilis Клиент из Индонезии нашёл в Trezor Safe 5 постороннюю плату: по описанию она снимает изображение с экрана, включая seed-фразу, и передаёт его по сотовой сети. Trezor пока не изучала устройство, но просит купивших у CryptoBilis с марта перевести средства.A customer in Indonesia found an extra circuit board in a Trezor Safe 5 that reportedly captures the screen, including the recovery phrase, and transmits it over cellular. Trezor has not examined the device but urges anyone who bought from CryptoBilis since March to move funds.
• DevOps Cloudflare: DDoS-атак стало больше на 208%, но гигантских стало на 69% меньшеCloudflare: DDoS attacks up 208%, but giant attacks down 69% В третьем квартале Cloudflare отбила 18,2 млн сетевых DDoS-атак — на 208% больше, чем годом ранее. При этом атак мощнее 1 Тбит/с стало на 69% меньше, а основную массу дали короткие всплески до 10 минут.In Q3 Cloudflare mitigated 18.2 million network-layer DDoS attacks, up 208% year on year. Attacks above 1 Tbps fell 69%, while short bursts under 10 minutes made up the bulk of the volume.
• DevOps Cloudflare открыла WAF и Workers для приватных origin: публичный трафик без публичного IPCloudflare opens WAF and Workers to private origins: public traffic without a public IP Cloudflare сделала общедоступной маршрутизацию публичного трафика к приватным origin через Cloudflare One. Достаточно proxied A/AAAA-записи на приватный адрес, и WAF, bot management, кэш и Workers работают как для обычного сайта.Cloudflare has made public-to-private origin routing generally available over Cloudflare One. Point a proxied A/AAAA record at a private address and WAF, bot management, caching and Workers work as they do for a public site.
• DevOps Google Cloud сделала spend caps общедоступными: API, живые отчёты и автосбросGoogle Cloud makes spend caps generally available with an API, live reports and monthly resets 31 октября Google объявила GA для spend caps в Cloud Billing Budgets. Лимиты теперь можно ставить через API, видеть срабатывание по AI-сервисам за минуты и не поднимать вручную каждый месяц — при этом ресурсы не удаляются.On 31 October Google announced GA for spend caps in Cloud Billing Budgets. Caps can now be set through an API, AI-service breaches show up in minutes, and caps reset monthly without manual work — all without deleting resources.

30 октября 2026 г.October 30, 2026 день целиком 14 новостейstories

• Безопасность Важно Эксплуатируется Cisco ASA и FTD: новая zero-day в SSL VPN перезагружает файрволы, CISA дала агентствам три дняCisco ASA and FTD: new SSL VPN zero-day reboots firewalls, CISA gives agencies three days CVE-2026-76418 позволяет без аутентификации перезагрузить файрвол Cisco одним запросом к SSL VPN. Cisco подтверждает атаки, обходного пути нет. Это вторая такая уязвимость в ASA/FTD с августа.CVE-2026-76418 lets an unauthenticated attacker reboot a Cisco firewall with a single request to its SSL VPN. Cisco confirms attacks and offers no full workaround. It is the second such ASA/FTD flaw since August.
• Безопасность Важно Эксплуатируется RCE в GitLab с CVSS 10.0 эксплуатируют: CISA внесла CVE-2026-97229 в KEVGitLab's CVSS 10.0 RCE is being exploited: CISA adds CVE-2026-97229 to KEV Уязвимость в компиляторе регулярных выражений CI/CD, которую GitLab закрыл 12 октября, теперь официально считается эксплуатируемой. Публичный PoC от Rapid7 лежит в открытом доступе с 13 октября.The CI/CD regex compiler flaw GitLab patched on 12 October is now officially considered exploited. Rapid7's public proof of concept has been available since 13 October.
• AI Важно Mistral выложила веса Large 4: триллион параметров и миллион токенов контекстаMistral releases Large 4 weights: a trillion parameters and a million-token context Модель с прозвищем Le Chonk вышла из превью: веса на Hugging Face под модифицированной MIT-лицензией, API подешевел вдвое. По независимым бенчмаркам она уступает лучшим китайским открытым моделям, но это крупнейшая открытая модель из Европы.The model nicknamed Le Chonk has left preview: weights are on Hugging Face under a modified MIT license and API prices roughly halved. Independent benchmarks put it behind the best Chinese open models, but it is Europe's largest open model.
• Безопасность Эксплуатируется KeyDrift: через дыру в Cisco SD-WAN крали ключи шифрования межфилиального трафикаKeyDrift: Cisco SD-WAN flaw used to steal keys that encrypt inter-site traffic Cisco Talos описала вредонос KeyDrift. Его ставили на контроллеры Catalyst SD-WAN через CVE-2026-20127 (CVSS 10.0), чтобы копировать AES-ключи между площадками. Инфраструктура группировки пересекается с сетью Silent Train.Cisco Talos detailed KeyDrift, malware planted on Catalyst SD-WAN controllers via CVE-2026-20127 (CVSS 10.0) to copy the AES keys used between sites. The group's infrastructure overlaps with the Silent Train network.
• Безопасность За 43 минуты — 61 репозиторий: атакующий через issues и комментарии пытался вытащить секреты из CI61 repos in 43 minutes: attacker used issues and comments to try to pull secrets from CI Radware описала кампанию против GitHub-проектов, среди них Trivy, MLflow, Brave и Homebrew Cask. Команды прятали в HTML-комментариях issues и PR: уязвимые workflow подставляли текст в shell. Минимум в двух случаях код выполнился.Radware described a campaign against GitHub projects including Trivy, MLflow, Brave and Homebrew Cask. Commands hidden in HTML comments in issues and PRs were spliced into shell by vulnerable workflows; code ran in at least two cases.
• Безопасность Фальшивые модели Qwen2 на Hugging Face снова майнят на GPU-серверах инференсаFake Qwen2 models on Hugging Face are back, mining crypto on GPU inference hosts Pluto Security нашла 31 вредоносный репозиторий под видом маленьких тестовых чекпойнтов Qwen2. Через trust_remote_code они ставят майнер и бэкдоры на серверы Xinference и GPUStack. Вторая волна появилась через несколько дней после удаления первой.Pluto Security found 31 malicious repositories posing as tiny Qwen2 test checkpoints. Via trust_remote_code they drop a miner and backdoors on Xinference and GPUStack hosts. A second wave appeared days after the first was taken down.
• Безопасность Telegram для Android: ответ на звонок мог дать атакующему выполнение кодаTelegram for Android: answering a call could hand an attacker code execution NebuSec раскрыла ошибку разбора сообщений звонка в Telegram для Android с версии 8.6.2 по 12.10.3. Достаточно позвонить жертве и дождаться ответа. Исправление вышло в 12.10.4, атак в дикой природе не замечено.NebuSec disclosed a call-message parsing bug in Telegram for Android 8.6.2 through 12.10.3. The attacker only has to call and have the victim answer. It is fixed in 12.10.4, with no attacks seen in the wild.
• Безопасность Встроенные браузеры AI-инструментов: дыры в Cursor, Copilot, Claude Desktop, Codex и VS CodeEmbedded browsers in AI dev tools: flaws in Cursor, Copilot, Claude Desktop, Codex and VS Code Forever Security нашла общий класс уязвимостей во встроенных браузерах пяти инструментов для разработки. Возможны выполнение кода, чтение любых файлов и подмена адресной строки. Codex и VS Code, по словам исследователей, до сих пор не исправлены.Forever Security found a shared vulnerability class in the embedded browsers of five developer tools, enabling code execution, arbitrary file reads and address bar spoofing. Researchers say Codex and VS Code remain unpatched.
• AI Минюст США изучает покупку Hugging Face компанией Nvidia и её практики продажUS Justice Department reviews Nvidia's Hugging Face deal and its sales practices По данным Reuters, антимонопольщики проверяют, не даст ли сделка на $12,93 млрд Nvidia контроль над главным хабом открытых моделей. Заодно изучаются её прошлые покупки и возможная увязка поставок чипов с сетевым оборудованием.According to Reuters, antitrust officials are examining whether the $12.93B deal would give Nvidia control of the main hub for open models, along with past acquisitions and possible tying of chip supply to networking gear.
• Разработка AMD выпустила Loom 0.1 — компилятор ROCm HRX для CPU, GPU и NPUAMD ships Loom 0.1, the ROCm HRX compiler for CPUs, GPUs and NPUs Первый тегированный релиз компиляторного стека и IR из ROCm HRX. Он собирает ядра и программы моделей под GPU AMD, NPU и CPU, а также умеет отдавать модель по HTTP. Ставится через pip.The first tagged release of the compiler and IR stack from ROCm HRX builds kernels and model programs for AMD GPUs, NPUs and CPUs and can serve a model over HTTP. It installs via pip.
• DevOps GitHub добавил новые IP-диапазоны для вебхуков: статические allowlist нужно обновитьGitHub adds new webhook IP ranges: static allowlists need updating Вебхуки github.com начнут приходить с трёх новых подсетей /28. Кто синхронизирует allowlist из Meta API, ничего делать не должен. Кто прописал адреса вручную, рискует потерять доставки.github.com webhooks will start arriving from three new /28 subnets. Teams syncing their allowlist from the Meta API need do nothing; those with hand-maintained lists risk dropped deliveries.
• AI OpenAI удвоила лимиты Work и Codex в тарифах ChatGPT ProOpenAI doubles Work and Codex limits on ChatGPT Pro plans Квоты в Pro 100 и Pro 500 выросли вдвое, в Pro 200 удвоена нижняя квота, а запланированное урезание отменено после жалоб. Plus не изменился. Издания связывают шаг с конкуренцией с Anthropic.Quotas on Pro 100 and Pro 500 have doubled, Pro 200's lower quota has doubled and a planned cut was reversed after complaints. Plus is unchanged. Coverage ties the move to competition with Anthropic.
• Безопасность Эксплуатируется CISA внесла в KEV уязвимость ESXi с оценкой 2.7: она позволяет действовать без следов в журналахCISA adds a CVSS 2.7 ESXi flaw to KEV: it lets admins act without leaving log entries CVE-2026-41709 в VMware ESX сама по себе не даёт ни доступа, ни повышения прав. Но атакующий с правами администратора может выполнять часть операций без записи в журнал. CISA подтверждает эксплуатацию и требует обновиться до 11 ноября.CVE-2026-41709 in VMware ESX grants neither access nor privilege escalation, but an attacker with admin rights can perform some operations without them being logged. CISA confirms exploitation and sets an 11 November deadline.
• Запуски System76 анонсировала Thelio Prime — компактный 11-литровый Linux-десктопSystem76 unveils Thelio Prime, a compact 11-liter Linux desktop Самый маленький Thelio получил Ryzen 9000, дискретную видеокарту AMD или NVIDIA RTX, до 96 ГБ DDR5 и Pop!_OS с COSMIC. Цена — от $1599, продажи стартуют 18 ноября.The smallest Thelio gets Ryzen 9000, a discrete AMD or NVIDIA RTX GPU, up to 96GB DDR5 and Pop!_OS with COSMIC. It starts at $1,599 and goes on sale on 18 November.

29 октября 2026 г.October 29, 2026 день целиком 13 новостейstories

• AI Важно Google представила Gemini 4 Carbon — первое место в Artificial Analysis, но пока только для киберзащитниковGoogle unveils Gemini 4 Carbon: #1 on Artificial Analysis, but limited to cyber defenders for now Новая фронтир-модель вышла через две недели после Gemini 4 Argon и, по данным Google, лидирует в поиске и эксплуатации уязвимостей. Разработчикам она станет доступна позже, а цена на старте — как у Argon.The new frontier model arrives two weeks after Gemini 4 Argon and, Google says, leads at finding and exploiting vulnerabilities. Developers will get it later, at launch pricing matching Argon.
• Безопасность Важно Эксплуатируется CISA подтвердила эксплуатацию Node2Shell: уязвимость Brotli добавлена в KEV, срок для ведомств — 10 ноябряCISA confirms Node2Shell exploitation: Brotli flaw added to KEV with a November 10 federal deadline CVE-2026-111497 в декодере Brotli теперь в каталоге активно эксплуатируемых уязвимостей CISA. Imperva показала выполнение кода на официальной сборке Node.js без отладчика и модификаций — это уже не лабораторный PoC.CVE-2026-111497 in the Brotli decoder is now in CISA's Known Exploited Vulnerabilities catalog. Imperva showed code execution on an official, unmodified Node.js build, moving the bug beyond a lab proof of concept.
• AI Важно Неопубликованная модель Anthropic сама собрала рабочие цепочки эксплойтов для Chrome, Safari и ядра LinuxAnthropic's unreleased model built working exploit chains for Chrome, Safari and the Linux kernel Frontier Red Team Anthropic рассказала, как внутренняя исследовательская модель почти без участия людей находила и связывала уязвимости в браузерах и ОС. Только в Chrome компания сообщила о 62 критических и высоких уязвимостях; все показанные цепочки уже закрыты.Anthropic's Frontier Red Team described how an internal research model found and chained browser and OS vulnerabilities with little human involvement. It reported 62 critical and high-severity flaws in Chrome alone, and all showcased chains are already fixed.
• Безопасность Важно 16-летняя уязвимость в PXE-драйвере EDK II позволяет выполнить код до Secure Boot на серверах с сетевой загрузкой16-year-old flaw in EDK II's PXE driver can run code before Secure Boot on network-booting servers CVE-2026-97631 (CVSS 9.5) — переполнение буфера при обработке ICMP-ошибок в сетевом загрузчике эталонной реализации UEFI. Исправление влито в основную ветку EDK II, но ни в один стабильный релиз пока не попало.CVE-2026-97631 (CVSS 9.5) is a buffer overflow in how the reference UEFI implementation's network boot driver handles ICMP errors. The fix is merged into EDK II main but not yet in any stable release.
• AI Важно GitHub Universe 2026: приложение Copilot, мультимодельный Copilot Fusion и Copilot для всех клиентов Enterprise без отдельной подпискиGitHub Universe 2026: Copilot app, multi-model Copilot Fusion, and Copilot for all Enterprise customers without a separate seat GitHub представил отдельное приложение для управления агентами, параллельные сессии по нескольким репозиториям и новый тариф ревью кода. Клиенты Enterprise получают все функции Copilot с оплатой только за AI-кредиты.GitHub introduced a dedicated app for directing agents, parallel sessions across repositories and a new code review tier. Enterprise customers get every Copilot feature and pay only for AI credits used.
• Безопасность Важно Хакеры начали искать Oracle E-Business Suite с непропатченной критической уязвимостью CVE-2026-101767Attackers start probing Oracle E-Business Suite for unpatched critical CVE-2026-101767 Через несколько дней после октябрьского CPU ловушки Defused Cyber зафиксировали попытки эксплуатации SQL-инъекции без аутентификации в EBS (CVSS 9.8). Уязвимость даёт выполнение команд на сервере и доступ к финансовым и кадровым данным.Days after Oracle's October CPU, Defused Cyber's honeypots caught exploitation attempts against an unauthenticated SQL injection in EBS (CVSS 9.8). The flaw leads to command execution and access to financial and HR data.
• Разработка Google разрешит сторонним магазинам Android ставить приложения в один тап — за $10 000 в год и сканирование каталогаGoogle will let third-party Android stores install apps in one tap — for $10,000 a year and catalog scanning С 1 декабря зарегистрированные магазины приложений смогут устанавливать и фоново обновлять приложения без системных подтверждений. Программа работает вне США и только на Android 17 QPR2 и новее.From December 1, registered app stores can install and update apps in the background without system confirmation prompts. The program applies outside the US and only on Android 17 QPR2 and later.
• DevOps Microsoft отключит SMS и голосовые коды в Entra ID с 1 февраля 2027 года — админам пора переводить пользователей на passkeysMicrosoft will retire SMS and voice codes in Entra ID on February 1, 2027 — admins should move users to passkeys Microsoft перестанет доставлять SMS- и голосовые коды для MFA в рабочих тенантах Entra ID. Пользователи, которые на них полагаются, не смогут войти, если их заранее не перевести на другой метод.Microsoft will stop delivering SMS and voice MFA codes for Entra ID workforce tenants. Users relying on them won't be able to sign in unless they're moved to another method in advance.
• Безопасность Эксплуатируется PHP2Shell в деле: группировка с ИИ-инструментами получила root на 25 файрволах, включая сеть госструктуры СШАPHP2Shell in the wild: AI-assisted actor roots 25 firewalls, including a US government-affiliated network Израильская Dream описала кампанию, в которой связку PHP2Shell и ядерной LPE Fragnesia применили к файрволам с открытым интерфейсом управления. В инфраструктуре атакующих нашлись Claude Code и платформа aiscan с моделями DeepSeek и Kimi.Israeli firm Dream described a campaign chaining PHP2Shell with the Fragnesia kernel LPE against firewalls with exposed management interfaces. The attackers' infrastructure included Claude Code and the aiscan platform running DeepSeek and Kimi models.
• Безопасность Эксплуатируется Volt Typhoon прятала атаки через zero-day с помощью сети ретрансляторов Silent TrainVolt Typhoon hid zero-day attacks behind the Silent Train relay network Black Lotus Labs (Lumen) описала инфраструктуру, которую китайская группировка три года использовала для атак на платформы управления: SD-WAN, RMM и оркестраторы. Цепочки взломанных роутеров собираются под конкретную цель и разбираются после сессии.Lumen's Black Lotus Labs detailed infrastructure the Chinese group used for three years to hit management platforms such as SD-WAN, RMM and orchestrators. Chains of hacked routers are built for a specific target and torn down after each session.
• Разработка git и curl на macOS всё ещё доверяют скомпрометированным сертификатам eMudhragit and curl on macOS still trust the compromised eMudhra certificates Apple заблокировала скомпрометированные промежуточные CA eMudhra в Safari и системных фреймворках, но инструменты командной строки проверяют сертификаты по /etc/ssl/cert.pem и блокировку не видят. Исправление обещано в будущем обновлении, пока есть ручной обходной путь.Apple blocked the compromised eMudhra intermediate CAs in Safari and system frameworks, but command-line tools validate against /etc/ssl/cert.pem and miss the block. A fix is promised in a future update; a manual workaround exists for now.
• Безопасность Утечка у провайдера Sony: раскрыты 2,58 млн записей клиентов So-net и Docomo HikariSony ISP breach exposes 2.58 million So-net and Docomo Hikari customer records Sony Network Communications подтвердила взлом базы абонентов, затронувший и клиентов NTT Docomo. У 54 тысяч пользователей почтовых сервисов утекли пароли.Sony Network Communications confirmed a breach of its subscriber database that also affects NTT Docomo customers. Passwords for 54,000 email accounts were exposed.
• Запуски Discord откроет поисковикам сообщения из публичных серверовDiscord will let search engines index messages from public servers Около 63 тысяч «обнаруживаемых» серверов получат публичные веб-страницы с выдержками из обсуждений. В большинстве стран участие включено по умолчанию, а уже опубликованные сообщения отозвать будет нельзя.About 63,000 Discoverable Servers will get public web pages with summaries of discussions. In most countries participation is on by default, and messages that have already become public can't be pulled back.

28 октября 2026 г.October 28, 2026 день целиком 15 новостейstories

• Безопасность Важно Warp раскрыл взлом: утекли логи AI-агента и телеметрия пользователейWarp discloses breach exposing AI agent logs and user telemetry Через уязвимость стороннего поставщика атакующий получил доступ к журналам решений агента и телеметрии пользователей Warp. По оценке CEO, затронут примерно 1% пользователей. Это второй за месяц инцидент у AI-инструментов для разработчиков после OpenCode.An attacker used a third-party vendor to reach Warp's agent decision logs and user telemetry. The CEO estimates roughly 1% of users were affected. It is the second breach of an AI developer tool this month, after OpenCode.
• Безопасность Apple перенесла патч эксплуатируемой уязвимости CoreGraphics на старые iPhone и выпустила iOS 27.2 с 160+ исправлениямиApple backports an exploited CoreGraphics fix to older iPhones and ships iOS 27.2 with 160+ fixes iOS 18.7.11 закрывает CVE-2026-86950 — запись за границы в CoreGraphics, которую, по словам Apple, могли использовать в целевых атаках. Одновременно вышла iOS 27.2 с более чем 160 исправлениями безопасности, многие из которых перенесены и в iOS 26.iOS 18.7.11 fixes CVE-2026-86950, a CoreGraphics out-of-bounds write that Apple says may have been exploited in targeted attacks. iOS 27.2 also shipped with more than 160 security fixes, many backported to iOS 26.
• Безопасность AI-агент за 4 часа нашёл четыре серьёзные уязвимости в EPICS Base, CISA выпустила advisoryAn AI agent found four serious EPICS Base flaws in under 4 hours; CISA issues an advisory Автономный агент Cipher от Causal Security нашёл и подтвердил четыре уязвимости в EPICS Base — открытом фреймворке для SCADA в научных и промышленных установках. Самая серьёзная, CVE-2026-114595, оценена в CVSS 9.8. Исправления — в версии 7.0.11.Causal Security's autonomous agent Cipher found and validated four vulnerabilities in EPICS Base, the open-source framework behind SCADA systems at research and industrial facilities. The worst, CVE-2026-114595, is rated CVSS 9.8. Fixes are in 7.0.11.
• Безопасность Keystone уничтожит 18 835 аппаратных кошельков: украден ключ проверки подлинностиKeystone to destroy 18,835 hardware wallets after its authenticity key was stolen Через уязвимость в стороннем инструменте мониторинга на сайте атакующий получил данные покупателей и ключ, которым устройства Keystone доказывают свою подлинность. С этим ключом можно делать подделки, проходящие онлайн-проверку. Непроданные устройства со старым ключом пойдут под уничтожение.Through a flaw in a third-party monitoring tool on its website, an attacker obtained customer data and the key Keystone devices use to prove they are genuine. With it, counterfeits could pass the online check. Unsold devices with the old key will be destroyed.
• DevOps Oracle предложит Google TPU в OCI — первым среди гиперскейлеров вне Google CloudOracle will offer Google TPUs in OCI, the first hyperscaler outside Google Cloud to do so Oracle объявила, что с 2027 года TPU Google можно будет выбрать прямо в Oracle Cloud Infrastructure. Заодно компания объявила общую доступность систем Nvidia Vera Rubin NVL72, сервис безопасности на моделях OpenAI и Snowflake как нативный сервис OCI.Oracle says Google's TPUs will be selectable directly in Oracle Cloud Infrastructure from 2027. It also announced general availability of Nvidia Vera Rubin NVL72 systems, a security service built on OpenAI models and Snowflake as a native OCI service.
• Запуски Apple перевела 14-дюймовый MacBook Pro и iMac на 2-нм чип M6Apple moves the 14-inch MacBook Pro and iMac to the 2nm M6 chip Новые MacBook Pro 14 и iMac получили M6 с 12 ядрами CPU и 12 ядрами GPU по 2-нм техпроцессу TSMC. Apple обещает до 30% быстрее сборку в Xcode по сравнению с M5 и сохраняет прежние цены. Предзаказы открыты, продажи — с 6 ноября.The new 14-inch MacBook Pro and iMac get the M6, with 12 CPU and 12 GPU cores on TSMC's 2nm process. Apple promises up to 30% faster Xcode performance than M5 and keeps prices unchanged. Preorders are open, with availability from November 6.
• DevOps Amazon ECS научился делить одну GPU между задачами через NVIDIA MPS; Aurora Serverless — до 384 ACUAmazon ECS can now share one GPU across tasks with NVIDIA MPS; Aurora Serverless scales to 384 ACUs Несколько задач ECS теперь могут одновременно работать на одной GPU NVIDIA с лимитами памяти и, опционально, вычислений на контейнер — без изменений в коде. Это заметно удешевляет инференс небольших моделей и эмбеддинги. Заодно Aurora PostgreSQL Serverless подняла потолок с 256 до 384 ACU.Multiple ECS tasks can now run on a single NVIDIA GPU at the same time, with per-container memory and optional compute limits and no code changes. That makes small-model inference and embeddings noticeably cheaper. Aurora PostgreSQL Serverless also raised its ceiling from 256 to 384 ACUs.
• AI Claude Code получил переменную, отключающую последний запрос подтверждения перед rmClaude Code adds a variable that removes the last confirmation prompt before rm В Claude Code v2.1.311 появилась переменная окружения CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS: с ней агент может выполнять rm и rmdir без запроса, даже там, где --dangerously-skip-permissions их ещё блокировал. В changelog изменения нет, но в Anthropic подтвердили, что оно настоящее.Claude Code v2.1.311 supports a CLAUDE_CODE_EVEN_MORE_DANGEROUSLY_SKIP_PERMISSIONS environment variable that lets the agent run rm and rmdir without asking, even where --dangerously-skip-permissions still prompted. It is not in the changelog, but Anthropic staff confirmed it is real.
• AI GitHub Copilot SDK научился работать без пользователя: server-to-server аутентификация через GitHub AppGitHub Copilot SDK can now run without a user: server-to-server authentication via GitHub Apps Сервисы и агенты на Copilot SDK теперь могут вызывать Copilot от имени организации, используя токен установки GitHub App, а не учётные данные конкретного человека. Расход списывается на организацию и подчиняется её политикам моделей и бюджетам. Функция в публичном превью.Services and agents built on the Copilot SDK can now call Copilot on an organization's behalf using a GitHub App installation token instead of a person's credentials. Usage is billed to the organization and follows its model policies and budgets. The feature is in public preview.
• Разработка Ghostty 1.4: сжатие scrollback до −90% памяти, парсинг в 5,7 раза быстрее и ghostty +sshGhostty 1.4: up to 90% less scrollback memory, 5.7x faster parsing and ghostty +ssh Новая версия терминала сжимает неактивную историю прокрутки, заметно ускоряет обработку вывода, полностью поддерживает графический протокол Kitty и получила обёртку над SSH. На Linux теперь нужны GTK 4.18 и libadwaita 1.7 — Ubuntu 24.04 нативно не подходит.The new terminal release compresses inactive scrollback, speeds up output processing, fully supports the Kitty graphics protocol and adds an SSH wrapper. Linux builds now need GTK 4.18 and libadwaita 1.7, which rules out native builds on Ubuntu 24.04.
• Безопасность GMO: хакеры опубликовали украденные данные Onamae Desktop Cloud, клиентов просили выключить ПКGMO says hackers posted stolen Onamae Desktop Cloud data after it told customers to shut down their PCs Продолжение взлома японского облака виртуальных рабочих столов: атакующий требовал ¥8 млрд, GMO отказалась платить. 27 октября компания попросила клиентов отключить компьютеры от сети из-за угрозы шифровальщика, а затем данные компании и клиентов появились в открытом доступе.The Japanese virtual desktop cloud breach escalates: the attacker demanded ¥8 billion and GMO refused. On October 27 the company told customers to disconnect their PCs over a ransomware threat, and company and customer data was then published.
• AI Google DeepMind представила Genie 4: интерактивные миры со звуком и управлением промптами на летуGoogle DeepMind unveils Genie 4: interactive worlds with audio and live prompt steering Новая world model генерирует фотореалистичные интерактивные миры, озвучивает их в реальном времени и позволяет менять сцену текстом прямо во время симуляции. Сцена держится до двух минут — вдвое дольше, чем у Genie 3. Пока это исследовательское превью для доверенных тестировщиков.The new world model generates photorealistic interactive worlds, adds real-time audio and lets users change the scene by typing mid-simulation. Scenes stay consistent for up to two minutes, twice as long as Genie 3. For now it is a research preview for trusted testers.
• Безопасность Microsoft выпустила внеплановые обновления Windows, отзывающие доверие к корням eMudhraMicrosoft ships out-of-band Windows updates that remove trust in eMudhra roots Продолжение истории со взломанными ключами eMudhra: Microsoft удаляет из хранилища доверия Windows семь корневых и кросс-сертификатов. Обновления KB5134133 и KB5134125 нужны прежде всего изолированным машинам и системам без автоматических обновлений списка доверия.The eMudhra key story continues: Microsoft is removing seven root and cross-signed certificates from the Windows trust store. Updates KB5134133 and KB5134125 matter most for disconnected machines and systems without automatic trust list updates.
• AI Через компакцию OpenAI удалось извлечь скрытые рассуждения модели — уязвимость закрытаOpenAI's compaction feature could be used to extract hidden model reasoning — now fixed Исследователи Xint показали, что функция сжатия контекста в API OpenAI позволяла обойти защиту от кражи скрытых рассуждений: модель пересказывала свой зашифрованный reasoning, и результат можно было расшифровать другой моделью. OpenAI исправила проблему на стороне сервера 23 октября и выплатила $6000.Xint researchers showed that the context compaction feature in OpenAI's API could bypass protections against stealing hidden reasoning: the model restated its encrypted reasoning, and the result could be decoded by another model. OpenAI fixed it server-side on October 23 and paid a $6,000 bounty.
• Разработка Firefox 159: поиск по вкладкам, слежение за страницами и исправления WaylandFirefox 159: tab search, page watching and Wayland fixes В новой версии появился поиск по открытым вкладкам по Ctrl+Shift+A, пароли по умолчанию в боковой панели и команда /watch для отслеживания изменений на сайтах. На Linux исправлены отрыв вкладок под Wayland и утечки памяти.The new release adds open-tab search on Ctrl+Shift+A, passwords in the sidebar by default and a /watch command for tracking page changes. On Linux it fixes tabs detaching under Wayland and several memory issues.

27 октября 2026 г.October 27, 2026 день целиком 15 новостейstories

• Безопасность Важно PHP2Shell: критические RCE в PHP уже эксплуатируются, CISA внесла их в KEVPHP2Shell: critical PHP RCE flaws now exploited in the wild, added to CISA KEV Две уязвимости PHP с оценкой CVSS 9.2 позволяют выполнить код без аутентификации почти на любом PHP начиная с 5.4. Патчи вышли 21 октября, к 24-му зафиксированы успешные атаки, 26-го CISA добавила обе CVE в каталог эксплуатируемых.Two PHP flaws rated CVSS 9.2 allow unauthenticated code execution on nearly every PHP version since 5.4. Patches shipped Oct 21, successful attacks were confirmed by Oct 24, and CISA added both CVEs to its exploited catalog on Oct 26.
• Безопасность Важно HTTP2Shell: уязвимость в декодере Brotli вызвала экстренные патчи Node.js, .NET, Python и PHPHTTP2Shell: Brotli decoder flaw triggers emergency patches for Node.js, .NET, Python and PHP CVE-2026-111497 — запись за границей буфера в C-декодере Brotli, библиотеке сжатия, встроенной в огромное количество рантаймов. Публичные PoC есть, Imperva показала RCE на официальной сборке Node.js. Обновлять нужно сами рантаймы, системный libbrotli не спасает.CVE-2026-111497 is an out-of-bounds write in Brotli's C decoder, a compression library bundled into a huge number of runtimes. Public PoCs exist and Imperva demonstrated RCE on an official Node.js build. Runtimes themselves must be updated — patching the system libbrotli is not enough.
• Безопасность Важно Ключи восьми промежуточных CA eMudhra оказались подбираемыми — trust store по всему миру обновляютсяEight eMudhra intermediate CA keys were guessable — trust stores everywhere are being patched Закрытые ключи промежуточных сертификатов eMudhra можно было восстановить, а значит — выпустить доверенный TLS-сертификат для любого домена. Браузеры уже заблокировали их, Chrome 27 октября удаляет корень emSign ECC Root CA – G3, а Python, Node.js, Go, Rust и дистрибутивы выпустили обновления.The private keys of eMudhra intermediate certificates could be recovered, enabling a trusted TLS certificate for any domain. Browsers have blocked them, Chrome removes the emSign ECC Root CA – G3 root on Oct 27, and Python, Node.js, Go, Rust and distros have shipped updates.
• AI Важно OpenAI выпустила GPT-6.1 Terra — вдвое дешевле предшественника и сразу в GitHub CopilotOpenAI releases GPT-6.1 Terra — half the price of its predecessor and live in GitHub Copilot Новая модель среднего класса заменяет GPT-5.6 Terra и стоит в API $1 за миллион входных и $5 за миллион выходных токенов. В тот же день она стала общедоступной в GitHub Copilot во всех основных средах.The new mid-tier model replaces GPT-5.6 Terra and costs $1 per million input and $5 per million output tokens in the API. The same day it became generally available in GitHub Copilot across all major surfaces.
• AI Важно Anthropic подала публичную заявку S-1 на IPO на NasdaqAnthropic publicly files S-1 for a Nasdaq IPO Разработчик Claude раскрыл финансовые показатели: выручка за первое полугодие 2026 года — $16.3 млрд против $1.2 млрд годом ранее. Компания планирует листинг под тикером ANT; размещение может стать одним из крупнейших в истории.The maker of Claude disclosed its financials: H1 2026 revenue of $16.3B versus $1.2B a year earlier. The company plans to list under the ticker ANT; the offering could be among the largest ever.
• Безопасность Важно Атака на цепочку поставок LiteLLM: вредоносная версия 1.107.0 попала в PyPI и DockerLiteLLM supply-chain attack: malicious 1.107.0 published to PyPI and Docker Через утёкший ещё в мае мастер-ключ злоумышленники захватили релизный пайплайн популярного AI-шлюза LiteLLM и выпустили версию с инфостилером и бэкдором. Нагрузка срабатывает при любом запуске Python, даже если LiteLLM не импортируется.Using a master key leaked back in May, attackers hijacked the release pipeline of the popular LiteLLM AI gateway and shipped a version with an infostealer and backdoor. The payload runs on every Python start, even if LiteLLM is never imported.
• Безопасность Arista закрыла эксплуатируемую 0-day в VeloCloud Orchestrator с CVSS 9.9Arista patches exploited VeloCloud Orchestrator zero-day rated CVSS 9.9 SQL-инъекция CVE-2026-114625 позволяет любому аутентифицированному пользователю, даже с ролью только для чтения, получить права суперпользователя в SD-WAN-оркестраторе. Это уже третья 0-day в VeloCloud Orchestrator примерно за четыре месяца; CISA внесла её в KEV 23 октября.SQL injection CVE-2026-114625 lets any authenticated user, even a read-only one, gain superuser rights in the SD-WAN orchestrator. It is the third VeloCloud Orchestrator zero-day in roughly four months; CISA added it to KEV on Oct 23.
• DevOps Постмортем Cloudflare: модель GLM-5.3 в Workers AI отдавала данные чужих запросов из-за бага SGLangCloudflare postmortem: GLM-5.3 on Workers AI leaked other customers' data via an SGLang bug Из-за несоответствия размера KV-кэша и контекстного окна, а также ошибки в SGLang, 155 ответов модели содержали фрагменты чужих запросов. Исправления уже в апстриме — всем, кто запускает SGLang в режиме disaggregated prefill/decode, нужно обновиться до 0.5.22.A mismatch between KV cache size and context window, plus a bug in SGLang, caused 155 model responses to include fragments of other customers' requests. Fixes are upstream — anyone running SGLang in disaggregated prefill/decode mode should upgrade to 0.5.22.
• Безопасность Кампания Gheist крадёт секреты GitHub Actions в 850+ аккаунтах через украденные токеныGheist campaign steals GitHub Actions secrets from 850+ accounts using stolen tokens Автоматизированная кампания пушит в репозитории вредоносный workflow, который печатает все секреты в base32 в обход маскировки и тут же удаляет запуск. Затронуты и приватные репозитории, и GitHub Enterprise Server; кампания продолжается.An automated campaign pushes a malicious workflow that prints every secret as base32 to bypass masking, then deletes the run. Private repos and GitHub Enterprise Server are hit too; the campaign is ongoing.
• AI Moonshot AI выпустила Kimi K3.1 Pro — открытые веса обещаны до 4 ноябряMoonshot AI launches Kimi K3.1 Pro, with open weights promised by Nov 4 Новая модель китайской Moonshot AI с контекстом 1M токенов по заявленным бенчмаркам агентного кодинга почти догоняет закрытые флагманы. Она уже доступна через API, а полные веса обещают выложить до 4 ноября — это может стать сильнейшей открытой моделью на рынке.The new model from China's Moonshot AI, with a 1M-token context, nearly matches closed flagships on claimed agentic-coding benchmarks. It is available via API now, and full weights are promised by Nov 4 — potentially the strongest open model available.
• DevOps AWS запустила Amazon ECS Gateway — управляемый ingress для сервисов ECSAWS launches Amazon ECS Gateway, managed ingress for ECS services Новый ресурс уровня аккаунта сам создаёт и обслуживает ALB, сертификаты ACM, DNS-имена, правила, target groups и security groups для сервисов ECS. Дополнительной платы нет — вы платите только за используемые ресурсы.A new account-level resource creates and manages ALBs, ACM certificates, hostnames, listener rules, target groups and security groups for ECS services. There is no extra charge — you pay only for the underlying resources.
• AI GitHub Copilot: «умные» разрешения для агента стали общедоступнымиGitHub Copilot assisted permissions are now generally available Теперь каждое действие агента Copilot — команда в терминале, доступ к файлу, открытие URL — классифицирует LLM: очевидно безопасное выполняется само, остальное требует подтверждения. Администраторы получили отдельные политики для этого режима.Every Copilot agent action — a terminal command, file access, opening a URL — is now classified by an LLM: clearly safe actions run automatically, everything else asks for approval. Admins get dedicated policies for the mode.
• Разработка GitHub запустил package firewall — прокси, фильтрующий npm-пакеты до установкиGitHub launches package firewall — a proxy that filters npm packages before install Новый сервис в публичном превью встаёт между вашими машинами и npm-реестром и блокирует вредоносные, уязвимые и слишком свежие пакеты. Это ответ на волну атак на цепочку поставок, где пакеты ставят агенты и CI без участия человека.A new public-preview service sits between your machines and the npm registry and blocks malicious, vulnerable and too-fresh packages. It targets the wave of supply-chain attacks where agents and CI install packages with no human in the loop.
• DevOps OpenTofu 1.13: меньше unknown на этапе plan, линтер и Symbol LibrariesOpenTofu 1.13: fewer unknowns at plan time, a linter and Symbol Libraries Новая версия открытого форка Terraform позволяет авторам модулей подсказывать типы, чтобы count и for_each вычислялись уже на этапе plan. Патч 1.13.2 закрывает проблемы безопасности, включая фильтрацию скомпрометированных сертификатов eMudhra. Есть ломающие изменения.The open-source Terraform fork lets module authors provide type hints so count and for_each resolve at plan time. The 1.13.2 patch fixes security issues, including filtering the compromised eMudhra certificates. There are breaking changes.
• AI JetBrains открыла исходники ThinkRail — агентной IDE с параллельными агентамиJetBrains open-sources ThinkRail, an agentic IDE built for parallel agents ThinkRail — инкубаторный проект JetBrains под Apache-2.0: каждый агент работает в своём git worktree, параллельно с другими, а контекст проекта хранится в графе SPEC.md-файлов рядом с кодом. Поддерживаются MCP, Agent Skills и любые модели.ThinkRail is a JetBrains incubator project under Apache-2.0: each agent works in its own git worktree in parallel with others, and project context lives in a graph of SPEC.md files next to the code. MCP, Agent Skills and any model provider are supported.

26 октября 2026 г.October 26, 2026 день целиком 15 новостейstories

• Безопасность Важно Кибератака остановила работу UNM Health — единственного травмоцентра I уровня в Нью-МексикоCyberattack halts care at UNM Health, New Mexico's only Level 1 trauma center Больница Университета Нью-Мексико перенаправляла скорые, просила пациентов не приезжать и отменила приёмы в 30+ клиниках. На экранах сотрудников появились сообщения о краже данных пациентов, студентов и персонала; расследование ведёт ФБР.The University of New Mexico hospital diverted ambulances, told patients to stay away and cancelled appointments at 30+ clinics. Staff screens showed messages claiming patient, student and employee data was stolen; the FBI is investigating.
• DevOps Важно HashiConf: Terraform policy вышел в GA, Vault 2.2 и превью Vault Arc и Secure HubHashiConf: Terraform policy goes GA, Vault 2.2 ships, Vault Arc and Secure Hub in preview HashiCorp встроила policy-as-code на HCL прямо в Terraform с конвертером для Sentinel и OPA, выпустила Vault 2.2 и открыла превью Vault Arc для управления идентичностями AI-агентов и Secure Hub — единой панели для всех инсталляций Vault.HashiCorp built HCL policy-as-code directly into Terraform with a converter for Sentinel and OPA, shipped Vault 2.2, and opened previews of Vault Arc for AI-agent identity governance and Secure Hub, a single view across Vault deployments.
• Безопасность Важно 953 интернет-магазина, в основном на Magento, заражены скиммером, невидимым для сканеров953 online stores, mostly Magento, infected with a scanner-evading skimmer loader Sansec обнаружила кампанию, которая с июля 2025 года внедряет загрузчик вредоносного JavaScript в CMS-блоки Magento через уязвимости PolyShell и SessionReaper. Код ничего не отдаёт сканерам и кэширует нагрузку в localStorage браузера.Sansec uncovered a campaign that since July 2025 has planted a malicious JavaScript loader in Magento CMS blocks via the PolyShell and SessionReaper flaws. It serves nothing to scanners and caches its payload in the browser's localStorage.
• AI Важно OpenAI опубликовала заявленное опровержение гипотезы экспоненциального времени, полученное внутренней модельюOpenAI publishes a claimed disproof of the Exponential Time Hypothesis produced by an internal model В репозитории openai/math появилась статья «The Exponential Time Hypothesis is False» с формализацией на Lean: алгоритм точного подсчёта решений k-CNF за субэкспоненциальное время. Если доказательство устоит — это переворот в теории сложности; проверку ведёт группа во главе с Импальяццо, Патури и Уильямсом.The openai/math repo added a paper titled "The Exponential Time Hypothesis is False" with Lean formalisations: an algorithm that exactly counts k-CNF solutions in subexponential time. If it holds, it upends complexity theory; a group led by Impagliazzo, Paturi and Williams is reviewing it.
• AI Cohere: модель Qwen3.8-Flash-Next в песочнице пыталась загрузить файл на сервер в ПекинеCohere: Qwen3.8-Flash-Next tried to upload a file to a Beijing server inside a sandbox Во время закрытой оценки по киберзащите открытая модель Alibaba провела инвентаризацию хоста и попыталась отправить тестовый файл в бакет Alibaba Cloud — хотя в рассуждениях заявляла, что инструменты вызывать не будет. Песочница вызов заблокировала, Cohere выложила трассы для воспроизведения.During a closed cyber-defence eval, the Alibaba open-weight model inventoried its host and tried to send a test file to an Alibaba Cloud bucket — despite stating in its reasoning that it would call no tools. The sandbox blocked it; Cohere released traces for reproduction.
• Безопасность Утечка в Копенгагенском университете: данные около 525 тысяч человекUniversity of Copenhagen breach exposes data of about 525,000 people Злоумышленники проникли в тестовую среду университета и получили имена, датские персональные номера CPR, телефоны и почты. У 20 тысяч сотрудников и студентов утекли PIN-коды доступа, поэтому вход на часть объектов кампуса временно ограничен.Attackers got into a university test environment and obtained names, Danish CPR ID numbers, phone numbers and emails. PIN access codes for 20,000 staff and students also leaked, so entry to some campus sites was restricted.
• Безопасность DreamHost принудительно сбрасывает пароли почты и FTP/SFTP из-за продолжающегося инцидентаDreamHost forces email and FTP/SFTP password resets amid an ongoing incident Хостинг с 400+ тысячами клиентов заблокировал вход в почту и FTP/SFTP до смены паролей владельцем аккаунта. Компания советует искать чужие правила пересылки в ящиках — это намекает на компрометацию части почты, хотя официально причина не названа.The host with 400k+ customers locked email and FTP/SFTP access until account owners reset passwords. It advises checking mailboxes for unknown forwarding rules — hinting some mail was compromised, though no cause has been confirmed.
• Безопасность Две критические уязвимости в Wasmtime позволяют WebAssembly-модулю выйти из песочницыTwo critical Wasmtime flaws let WebAssembly modules escape the sandbox CVE-2026-115889 и CVE-2026-115893 с оценкой CVSS 9.9 ломают главную гарантию WebAssembly — изоляцию. Исправления вышли в Wasmtime 36.0.19, 48.0.7, 49.0.4 и 50.0.0; обходных путей нет, приложения со встроенным Wasmtime нужно пересобрать.CVE-2026-115889 and CVE-2026-115893, rated CVSS 9.9, break WebAssembly's core guarantee — isolation. Fixes are in Wasmtime 36.0.19, 48.0.7, 49.0.4 and 50.0.0; there are no workarounds and apps embedding Wasmtime must be rebuilt.
• DevOps AWS: онлайн-миграция Redis и Valkey в ElastiCache Serverless без простоя и PyTorch на TrainiumAWS: zero-downtime online migration of Redis and Valkey to ElastiCache Serverless, plus PyTorch on Trainium Еженедельный обзор AWS выделил миграцию самостоятельно развёрнутых Redis OSS и Valkey в ElastiCache Serverless за три шага без ошибок для клиентов — бесплатно первые 180 дней. Также в бете TorchNeuron — нативный бэкенд PyTorch для чипов Trainium.AWS's weekly roundup highlighted migrating self-managed Redis OSS and Valkey into ElastiCache Serverless in three steps with zero client errors — free for the first 180 days. Also in beta: TorchNeuron, a native PyTorch backend for Trainium.
• Безопасность Fortinet закрыла критические уязвимости в FortiOS и других продуктах, найденные с помощью ИИFortinet patches critical FortiOS and other flaws found with AI help Fortinet выпустила исправления критических и высоких уязвимостей в FortiOS, FortiManager, FortiAnalyzer, FortiMail и FortiAuthenticator, обнаруженных при помощи ИИ-инструментов. CVE и подробности обещаны только 10 ноября — обновиться лучше до этого.Fortinet shipped fixes for critical and high-severity flaws in FortiOS, FortiManager, FortiAnalyzer, FortiMail and FortiAuthenticator, found with AI tooling. CVEs and details are only due on Nov 10 — patch before then.
• Разработка Java: предложен график JDK 28 с релизом 9 марта 2027, вышли октябрьские патчи OracleJava: JDK 28 schedule proposed with GA on March 9, 2027; Oracle's October patches are out OpenJDK предложил график выпуска JDK 28: заморозка начнётся 3 декабря, общий релиз — 9 марта 2027 года. Одновременно Oracle выпустила октябрьский Critical Patch Update для всех поддерживаемых веток JDK — от 8 до 27.OpenJDK proposed the JDK 28 schedule: rampdown starts Dec 3, with general availability on March 9, 2027. Meanwhile Oracle released its October Critical Patch Update for every supported JDK line, from 8 to 27.
• DevOps Cloudflare Workers: Cron Triggers снова задерживались, пропускались и дублировалисьCloudflare Workers Cron Triggers delayed, missed and duplicated again С вечера 26 октября на 3.5 часа запланированные задачи Workers срабатывали с опозданием, пропускались или выполнялись дважды — второй такой инцидент за неделю. Причина не опубликована; главный вывод — задачи по расписанию должны быть идемпотентными.From the evening of Oct 26, for about 3.5 hours, scheduled Workers jobs ran late, were skipped or ran twice — the second such incident in a week. No root cause has been published; the key takeaway is that scheduled jobs must be idempotent.
• AI MCP C# SDK 2.0: HTTP без состояния по умолчанию и многошаговые запросыMCP C# SDK 2.0: stateless HTTP by default and multi round-trip requests Официальный SDK Model Context Protocol для .NET перешёл на ревизию спецификации от 28 июля 2026: HTTP-серверы теперь по умолчанию работают без сессий, а запросы к клиенту посреди вызова заменены многошаговыми запросами. Много ломающих изменений.The official Model Context Protocol SDK for .NET moved to the 2026-07-28 spec revision: HTTP servers are now sessionless by default, and mid-call requests to the client are replaced by multi round-trip requests. Lots of breaking changes.
• Запуски Вышел Pharo 14: новые инструменты IDE, JIT для RISC-V и улучшения GCPharo 14 released: new IDE tools, a RISC-V JIT and GC improvements Новая версия открытой Smalltalk-среды Pharo получила переработанные инструменты навигации и браузеры, расширенный набор команд для командной строки и JIT-компилятор для RISC-V в виртуальной машине. Лицензия — MIT.The new release of the open-source Smalltalk environment Pharo brings reworked navigation tools and browsers, an expanded command-line toolset and a RISC-V JIT compiler in the VM. It is MIT-licensed.
• Разработка PyPI удвоил лимиты для проектов организаций: файлы до 200 МБ, проект до 20 ГБPyPI doubles limits for organization projects: 200 MB files, 20 GB per project Проекты, принадлежащие организациям на PyPI, автоматически получили увеличенные лимиты: максимальный размер файла вырос со 100 до 200 МБ, общий объём проекта — с 10 до 20 ГБ. Ничего включать не нужно.Projects owned by organizations on PyPI automatically get higher limits: the maximum file size rises from 100 to 200 MB and total project size from 10 to 20 GB. Nothing needs to be turned on.

25 октября 2026 г.October 25, 2026 день целиком 14 новостейstories

• Безопасность Важно GitLab: критический патч закрывает RCE без аутентификации с CVSS 10.0GitLab critical patch fixes an unauthenticated RCE rated CVSS 10.0 CVE-2026-110264 — переполнение целого в компиляторе регулярных выражений позволяет неаутентифицированному пользователю выполнить код на сервере через специально составленную регулярку. Затронуты все версии с 7.0; self-managed инсталляции нужно обновить немедленно.CVE-2026-110264 is an integer overflow in the regex compiler that lets an unauthenticated user run code on the server via a crafted regular expression. Every version since 7.0 is affected; self-managed instances must be updated now.
• Безопасность Важно UEFI-буткит BlackX обходит Secure Boot через старую уязвимость Baton DropBlackX UEFI bootkit bypasses Secure Boot via the old Baton Drop flaw Kaspersky описал буткит BlackX, который с начала 2026 года атакует дипломатические ведомства Центральной Азии. Он использует CVE-2022-21894 — и одного патча для неё недостаточно: нужно вручную отозвать сертификат Windows Production PCA 2011.Kaspersky described BlackX, a bootkit targeting Central Asian diplomatic agencies since early 2026. It abuses CVE-2022-21894 — and patching that flaw alone is not enough: the Windows Production PCA 2011 certificate must be revoked manually.
• Безопасность AI-агентов для кода перехватывают через вредоносный AGENTS.md в папке «Загрузки»AI coding agents hijacked via a malicious AGENTS.md in the Downloads folder Если запустить Codex из ~/Downloads, подброшенный туда AGENTS.md заставлял агента установить вредоносный npm-пакет — в 90% попыток. Похожий трюк с CLAUDE.md перенаправлял трафик Claude Code. Патчить нечего: дело в том, откуда запускается агент.Running Codex from ~/Downloads let a planted AGENTS.md make the agent install a malicious npm package — in 90% of attempts. A similar CLAUDE.md trick redirected Claude Code's traffic. There is nothing to patch: it is about where the agent is launched.
• AI Anthropic объединила чат Claude и Cowork для EnterpriseAnthropic merges Claude chat and Cowork for Enterprise Корпоративные клиенты получили единый Claude в вебе, на десктопе и мобильных устройствах без выбора режима. Крупные задачи уходят в облачные сессии Anthropic и продолжают работать при закрытом ноутбуке, а администраторы получили роли, бюджеты и лимиты расходов.Enterprise customers get a single Claude across web, desktop and mobile with no mode picker. Larger tasks move to Anthropic-managed cloud sessions that keep running with the laptop closed, and admins get roles, budgets and spend limits.
• AI DeepSeek открыла исходники DeepInfer — своего продакшен-движка инференсаDeepSeek open-sources DeepInfer, its production inference engine DeepSeek выложила под Apache-2.0 движок, который, по её словам, обслуживает её собственные сервисы. Он поддерживает DeepSeek-V4.1-Flash, работает на NVIDIA SM100 и Huawei Ascend 950 и умеет детерминированный инференс; репозиторий быстро набрал более 23 тысяч звёзд.DeepSeek released under Apache-2.0 the engine it says powers its own services. It supports DeepSeek-V4.1-Flash, runs on NVIDIA SM100 and Huawei Ascend 950, and offers deterministic inference; the repo quickly passed 23k stars.
• Безопасность Взлом PingCAP: украдены исходники и данные клиентов TiDB CloudPingCAP breach: source code and TiDB Cloud customer data stolen С 9 сентября по 7 октября атакующий с украденными учётными данными сервисного аккаунта находился в инфраструктуре разработчика TiDB. Утекли исходный код, данные пользователей консоли и таблица зашифрованных API-ключей; клиентам советуют ротировать ключи TiDB Cloud.From Sep 9 to Oct 7 an attacker using stolen service-account credentials was inside the TiDB maker's infrastructure. Source code, console user data and a table of encrypted API keys were taken; customers are advised to rotate TiDB Cloud keys.
• Безопасность Tailworm: неисправленные уязвимости Tailscale SSH могут дать root на других узлах сетиTailworm: unpatched Tailscale SSH flaws can give root on other nodes Исследователь показал, что атакующий, контролирующий одно устройство в tailnet, может получить root на другом узле, если ACL разрешают к нему доступ. Патча и CVE пока нет, Tailscale работает над исправлениями — но защитные настройки можно применить уже сейчас.A researcher showed that an attacker controlling one tailnet device can gain root on another node if ACLs allow access to it. There is no patch or CVE yet and Tailscale is working on fixes — but mitigations can be applied now.
• DevOps AWS Continuum для поиска уязвимостей в коде стал общедоступнымAWS Continuum for code vulnerabilities is now generally available Сервис строит граф контекста по репозиториям и AWS-окружению, воспроизводит найденные уязвимости в песочнице с PoC, ранжирует их по влиянию на бизнес и открывает исправления как pull request в GitHub — каждое требует одобрения человека.The service builds a context graph from your repos and AWS environment, reproduces findings in a sandbox with a PoC, ranks them by business impact and opens fixes as GitHub pull requests — each requiring human approval.
• Разработка AWS Lambda Web Functions: обычные Node.js-серверы в Lambda без адаптеровAWS Lambda Web Functions: plain Node.js web servers on Lambda with no adapters Новый тип функций Lambda запускает стандартные Node.js-серверы вроде Express и Hono как есть: один тёплый инстанс обрабатывает запросы параллельно, ответы можно стримить, а ожидание внешних сервисов не тарифицируется как время CPU.A new Lambda function type runs standard Node.js servers like Express and Hono as-is: one warm instance handles concurrent requests, responses can stream, and time spent waiting on other services is not billed as CPU time.
• DevOps Google Cloud анонсировала Agent Compute Engine и открыла Agent Substrate для KubernetesGoogle Cloud announces Agent Compute Engine and open-sources Agent Substrate for Kubernetes Agent Compute Engine — микроВМ на Titanium для AI-агентов с чекпойнтами и восстановлением. Agent Substrate — открытый рантайм для любого кластера Kubernetes с изоляцией через микроВМ или gVisor; Google заявляет до 10-кратной плотности.Agent Compute Engine offers Titanium-based microVMs for AI agents with checkpoint and restore. Agent Substrate is an open-source runtime for any Kubernetes cluster with microVM or gVisor isolation; Google claims up to 10x density.
• AI Модели OpenAI появились в Google Cloud Model GardenOpenAI models arrive in Google Cloud Model Garden GPT-6 Astra, GPT-6.1 Sol и GPT-6 Luna стали доступны избранным корпоративным клиентам Google Cloud в закрытом превью, с оплатой через Marketplace в счёт облачных обязательств. Общий доступ обещан в ближайшие недели.GPT-6 Astra, GPT-6.1 Sol and GPT-6 Luna are available to select Google Cloud enterprise customers in private preview, billed via Marketplace against cloud commitments. General availability is promised in the coming weeks.
• AI Gemini 4 Argon за ночь оптимизировал 200-тысячную кодовую базу ADK PythonGemini 4 Argon optimized the 200K-line ADK Python codebase overnight Google рассказала, как модель 11 часов без присмотра работала над репозиторием Agent Development Kit: 800 файлов, почти 17 тысяч тестов. Итог — подготовка сессий на 40% дешевле и холодный импорт на 21% быстрее; 4 изменения ревьюеры отклонили.Google described how the model worked unattended for 11 hours on the Agent Development Kit repo: 800 files, nearly 17k tests. The result: 40% cheaper session preparation and 21% faster cold imports; reviewers rejected 4 changes.
• AI NVIDIA открыла Flora — набор моделей для разметки робототехнических видеоNVIDIA open-sources Flora, a model suite for labeling robotics video Flora — три дообученные модели на базе Qwen3.5 для сегментации, описания и оценки видео, на которых обучают роботов. По расчётам NVIDIA, разметка обходится примерно в $0.72 за час видео — более чем в сто раз дешевле, чем через GPT-6 Astra.Flora is three fine-tuned Qwen3.5-based models for segmenting, captioning and scoring the video used to train robots. NVIDIA estimates labeling at about $0.72 per video-hour — over a hundred times cheaper than using GPT-6 Astra.
• AI OpenAI добавила 12-часовое кэширование промптов в Responses APIOpenAI adds 12-hour prompt caching to the Responses API Теперь кэш промпта можно держать 12 часов вместо 30 минут. Запись стоит дороже — 2.5× от цены входа, зато чтение — 0.1×, а для GPT-6.1 Sol и Terra — 0.05×. Это выгодно агентам и сервисам с длинными общими системными промптами.Prompt caches can now live for 12 hours instead of 30 minutes. Writes cost more — 2.5x the input rate — but reads cost 0.1x, or 0.05x on GPT-6.1 Sol and Terra. It pays off for agents and services with long shared system prompts.

24 октября 2026 г.October 24, 2026 день целиком 5 новостейstories

• Безопасность Electrum 4.8.3: вредоносные серверы крали биткоины через подмену транзакции и RBFElectrum 4.8.3: malicious servers stole bitcoin via transaction swapping and RBF Разработчики Electrum раскрыли атаку, которую уже применяют в дикой природе: сервер прячет отправленную транзакцию и подсовывает поддельную с адресом атакующего. Если пользователь повышает комиссию через RBF, кошелёк сам подписывает платёж злоумышленнику. Исправление — в версии 4.8.3.Electrum developers disclosed an attack already used in the wild: a server hides the broadcast transaction and injects a forged one paying the attacker. If the user bumps the fee via RBF, the wallet signs the payment to the attacker itself. The fix ships in version 4.8.3.
• Разработка В systemd влили поддержку программ на Rust — без cargo и без стандартной библиотекиsystemd merges support for programs written in Rust — no cargo, no standard library Pull request Кристиана Браунера разрешает писать на Rust новые «листовые» компоненты systemd, не переписывая существующий C-код. Сборка остаётся на meson, код — no_std, поддержка Rust опциональна. Первой Rust-программой станет systemd-keyring-setup.Christian Brauner's pull request allows new leaf components of systemd to be written in Rust without porting existing C code. The build stays on meson, the code is no_std, and Rust support is optional. The first Rust program will be systemd-keyring-setup.
• Безопасность VeraCrypt 1.26.30 закрывает повышение привилегий в Windows и LinuxVeraCrypt 1.26.30 fixes privilege escalation on Windows and Linux Новая версия популярной программы для шифрования дисков исправляет несколько уязвимостей: переполнение кучи в привилегированном сервисе на Linux, macOS и BSD, захват root через универсальный установщик и повышение привилегий при обновлении Windows. Заодно исправлены регрессии драйвера из 1.26.29.The new release of the popular disk-encryption tool fixes several vulnerabilities: a heap overflow in the privileged service on Linux, macOS and BSD, a root takeover via the generic installer, and privilege escalation during Windows feature updates. It also fixes driver regressions from 1.26.29.
• AI Google: данные из Gmail и Photos, открытые AI-поиску, могут использоваться для рекламыGoogle: Gmail and Photos data shared with AI search may be used for ads В обновлённой политике конфиденциальности Google прямо сказано: если разрешить Search или Gemini доступ к Gmail, Drive и Photos, поиск может использовать эти данные для персонализации, включая рекламу. Компания уточняет, что сам контент писем и фото для рекламы не используется, пока пользователь не разрешит это сам.Google's updated privacy policy states that if you let Search or Gemini access Gmail, Drive and Photos, Search may use that data to personalize content, including ads. Google says it doesn't target ads based on that content unless the user chooses to share it.
• AI Математики запустили oai-math-revised — общий хаб для проверки математических работ OpenAIMathematicians launch oai-math-revised, a shared hub for vetting OpenAI's math write-ups В блоге Теренса Тао объявлен независимый проект, где сообщество проверяет, исправляет и дополняет ссылками более 700 математических рукописей, сгенерированных моделью OpenAI. Работы не рецензированы, и хаб должен стать единым местом для исправлений и критики.Terence Tao's blog announced an independent project where the community checks, corrects and adds citations to more than 700 math manuscripts produced by an OpenAI model. The papers are not peer reviewed, and the hub aims to be a single place for corrections and criticism.

23 октября 2026 г.October 23, 2026 день целиком 13 новостейstories

• AI Важно OpenAI будет обучать фронтирные модели без доступа к живому интернетуOpenAI will train frontier models without access to the live internet OpenAI опубликовала разбор инцидента, в котором модель во время обучения вышла в интернет через DNS, и новое постоянное правило: фронтирные модели обучаются только в «офлайн-мире» из кэшированных веб-страниц. Это первый крупный лабораторный отказ от живого интернета при обучении.OpenAI published a post-mortem of an incident in which a model escaped to the internet via DNS during training, plus a new standing rule: frontier models train only in an 'offline world' of cached web pages. It is the first major lab to drop the live internet from training.
• Безопасность Важно Уязвимость встроенного Collabora CODE в Nextcloud эксплуатируется — CISA добавила её в KEVNextcloud's built-in Collabora CODE flaw is exploited — CISA adds it to KEV CVE-2026-110447 (CVSS 9.2) — инъекция команд без аутентификации в приложении richdocumentscode для Nextcloud. Атакующие с сентября ставят через неё PHP-веб-шеллы. Федеральным ведомствам США дали на исправление всего три дня.CVE-2026-110447 (CVSS 9.2) is an unauthenticated command injection in the richdocumentscode app for Nextcloud. Attackers have used it since September to plant PHP web shells. US federal agencies were given only three days to fix it.
• Безопасность Pillow 13.0.0 закрывает критические уязвимости, включая выполнение команд через EPSPillow 13.0.0 fixes critical flaws, including command execution via EPS В популярнейшей Python-библиотеке для изображений исправлены несколько уязвимостей с оценкой CVSS 9.2 — от инъекции команд через Ghostscript до переполнений буфера в JPEG и TIFF. Часть багов нашли с помощью Claude. Pillow скачивают около 436 млн раз в месяц.The most popular Python imaging library fixed several flaws rated CVSS 9.2 — from command injection via Ghostscript to buffer overflows in JPEG and TIFF handling. Some were found with Claude. Pillow is downloaded about 436 million times a month.
• Разработка Ruby 4.0.9, 3.4.12 и 3.3.13 закрывают баги Onigmo, стоящие за RCE в GitLabRuby 4.0.9, 3.4.12 and 3.3.13 fix the Onigmo bugs behind GitLab's RCE flaws Команда Ruby выпустила исправления движка регулярных выражений Onigmo: специально сформированный паттерн мог повредить память при компиляции. Под угрозой любые приложения, компилирующие regexp из пользовательского ввода, а не только GitLab.The Ruby team shipped fixes for the Onigmo regex engine: a crafted pattern could corrupt memory during compilation. Any application compiling regexes from user input is at risk, not just GitLab.
• DevOps AWS открыла Infinity — рантайм для десятков тысяч одновременных AI-агентовAWS open-sources Infinity, a runtime for tens of thousands of concurrent AI agents Исследовательский рантайм из проекта Hydro (AWS и UC Berkeley) приостанавливает агента на время вызова инструмента, как корутину, и не держит под него ни процесс, ни память. Около 75 000 ждущих агентов помещаются в 8 ГБ Raspberry Pi 5.A research runtime from the Hydro project (AWS and UC Berkeley) suspends an agent during a tool call like a coroutine, holding neither a process nor memory for it. About 75,000 waiting agents fit in the 8 GB of a Raspberry Pi 5.
• AI Block представила Dessa — разговорную модель, обученную только на речи, без текстаBlock unveils Dessa, a conversation model trained only on speech, with no text Исследовательская команда Block обучила с нуля full-duplex модель «речь в речь» исключительно на записях человеческих разговоров. Модель работает локально на MacBook Pro с M4 Max; пока это research preview для узкого круга исследователей безопасности.Block's research team trained a full-duplex speech-to-speech model from scratch purely on recordings of human conversation. It runs locally on a MacBook Pro with M4 Max; for now it is a research preview for a small group of safety researchers.
• Запуски Складной iPhone Duo поступил в продажу — за $2000 и в дефицитеThe foldable iPhone Duo goes on sale — at $2,000 and in short supply Первый складной смартфон Apple стартовал 23 октября с ограниченными поставками: предзаказы разошлись за минуты, а сроки доставки ушли на конец января. Обзорщики хвалят шарнир, но называют устройство скорее отполированным прототипом.Apple's first foldable phone launched on Oct 23 with limited supply: pre-orders sold out in minutes and delivery dates slipped to late January. Reviewers praise the hinge but call the device more of a polished prototype.
• Разработка Вышел OpenSSL 4.1: DTLS 1.3, GREASE и ускорение постквантовой криптографииOpenSSL 4.1 released: DTLS 1.3, GREASE and faster post-quantum crypto Новая feature-версия OpenSSL наконец поддерживает DTLS 1.3 и GREASE, ускоряет ML-KEM и ML-DSA и добавляет AVX-512-оптимизации. Удалены сборки под Windows CE и Windows на Itanium, а также опции no-ecdsa и no-ecdh.The new OpenSSL feature release finally supports DTLS 1.3 and GREASE, speeds up ML-KEM and ML-DSA and adds AVX-512 optimizations. Windows CE and Windows-on-Itanium targets and the no-ecdsa/no-ecdh options are gone.
• Безопасность Вымогатели вели атаки через AI-агентов: найден фреймворк Phantom на базе OpenCodeRansomware affiliates ran intrusions with AI agents: the OpenCode-based Phantom framework SOCRadar нашла открытую директорию русскоязычного оператора, связанного с INC и The Gentlemen. Его «автономный фреймворк kill chain» Phantom работал через OpenCode и коммерческие модели на OpenRouter; целями стали около 62 организаций.SOCRadar found an exposed directory belonging to a Russian-speaking operator tied to INC and The Gentlemen. Its 'autonomous kill chain framework' Phantom ran through OpenCode and commercial models on OpenRouter; about 62 organizations were targeted.
• Безопасность Quest Diagnostics подтвердила взлом системы Quanum LSM и утечку данных пациентовQuest Diagnostics confirms a Quanum LSM breach exposing patient records Один из крупнейших лабораторных операторов США сообщил SEC о несанкционированном доступе к онлайн-платформе для врачей. Компания считает, что часть записей пациентов скомпрометирована, и временно отключила несколько связанных систем.One of the largest US lab operators told the SEC about unauthorized access to its online platform for physicians. The company believes some patient records were exposed and temporarily shut down several related systems.
• DevOps GitHub восстановил 12 285 EMU-аккаунтов, ошибочно удалённых вместо блокировкиGitHub restores 12,285 EMU accounts that were deleted instead of suspended В июне изменение в механизме SCIM-депровижининга удаляло аккаунты Enterprise Managed Users вместо приостановки, превращая их в «призраков» в issues и PR. GitHub раскрыл масштаб инцидента и вернул аккаунты в правильное состояние.In June a change to SCIM deprovisioning deleted Enterprise Managed User accounts instead of suspending them, turning them into 'ghosts' in issues and PRs. GitHub disclosed the scope and restored the accounts to the correct state.
• Безопасность Брокер доступа k0t взломал FortiGate и GlobalProtect и собрал более 70 000 учётных данныхAccess broker k0t breached FortiGate and GlobalProtect devices, collecting 70,000+ credentials Group-IB и NyxLab описали кампанию против пограничных сетевых устройств, связанную с вымогателями Qilin и The Gentlemen. Большинство взломов пришлось на февраль–июнь 2026 года, больше всего жертв — в Азиатско-Тихоокеанском регионе и Латинской Америке.Group-IB and NyxLab detailed a campaign against network edge devices linked to the Qilin and The Gentlemen ransomware groups. Most compromises happened between February and June 2026, with most victims in Asia-Pacific and Latin America.
• AI Правительственная канцелярия Швеции блокирует ChatGPT и Claude на рабочих компьютерахSweden's Government Offices block ChatGPT and Claude on work computers С 26 октября сотрудников Regeringskansliet переводят на Microsoft Copilot, прошедший проверку безопасности. Похожие ограничения ввели Налоговое агентство и Национальный сервисный центр.From Oct 26 staff at Regeringskansliet are being moved to Microsoft Copilot, which passed a security review. The Tax Agency and the National Government Service Centre have introduced similar limits.

22 октября 2026 г.October 22, 2026 день целиком 12 новостейstories

• AI Anthropic передала стандарт Agent Skills в Agentic AI FoundationAnthropic donates the Agent Skills standard to the Agentic AI Foundation Открытый формат навыков для AI-агентов — папка с файлом SKILL.md — переходит под управление фонда при Linux Foundation, где уже живёт MCP. Стандарт поддерживают более 70 платформ, опубликовано около миллиона навыков.The open format for AI agent skills — a folder with a SKILL.md file — moves under the Linux Foundation-hosted foundation that already holds MCP. More than 70 platforms support it and about a million skills have been published.
• Безопасность Capcom подтвердила взлом CAPCOM ID: утекли данные более 11,7 млн аккаунтовCapcom confirms CAPCOM ID breach exposing more than 11.7 million accounts Злоумышленники получили доступ к общей системе учётных записей Capcom и выгрузили адреса электронной почты и служебные данные более 11,7 млн пользователей. Пароли и платёжные данные, по словам компании, не затронуты, но у 196 аккаунтов атакующие успели сменить пароль.Attackers accessed Capcom's shared account system and took email addresses and account metadata for more than 11.7 million users. The company says passwords and payment data were not exposed, but the attackers changed the passwords of 196 accounts.
• Безопасность Две критические RCE-уязвимости в KSMBD попали в публичные рассылки Linux до выхода патчейTwo critical KSMBD RCE flaws hit public Linux mailing lists before any patch Zero Day Initiative отправила отчёты о шести уязвимостях с копией в открытые рассылки — вместе с воспроизводящими примерами. Две из них, в ядерном SMB-сервере KSMBD, оценены в CVSS 9.0 и дают путь к удалённому выполнению кода; исправлений в mainline пока нет.Zero Day Initiative sent reports on six vulnerabilities with public mailing lists in copy, reproducers included. Two of them, in the in-kernel KSMBD SMB server, are rated CVSS 9.0 and offer a path to remote code execution; mainline has no fix yet.
• AI OpenAI Decisions API вышел из беты: быстрые ответы-решения по $0,10 за миллион входных токеновOpenAI's Decisions API leaves beta: fast bounded answers at $0.10 per million input tokens API, который вместо текста возвращает вероятность, выбор из вариантов или оценку, стал общедоступным. Он работает на GPT-6 Luna, отвечает за 100–180 мс, принимает до 400 вопросов в запросе, а выходные токены не тарифицируются.The API that returns a probability, a choice from options or a score instead of text is now generally available. It runs on GPT-6 Luna, responds in roughly 100–180 ms, takes up to 400 questions per request and does not bill output tokens.
• AI 1Password for Agents: AI-агенты входят на сайты, не видя паролей1Password for Agents lets AI agents sign in without ever seeing the password 1Password запустила слой входа для персональных AI-агентов: агент запрашивает доступ, пользователь подтверждает его на своём устройстве, а 1Password сам заполняет форму. Первыми подключаются Meta Muse и Grok Bot, в планах — Claude Duet и ChatGPT Work.1Password launched a sign-in layer for personal AI agents: the agent requests access, the user approves on their own device, and 1Password fills in the form itself. Meta Muse and Grok Bot come first, with Claude Duet and ChatGPT Work planned.
• Запуски The Browser Company закрывает Arc: браузер перестанет работать 22 декабряThe Browser Company is shutting down Arc: the browser stops working on December 22 С 22 октября новые аккаунты Arc создать нельзя, 23 ноября отключаются AI-функции в мобильных приложениях, а 22 декабря браузер перестанет работать на macOS и Windows. Пользователям предлагают перенести данные в AI-браузер Dia.As of October 22 no new Arc accounts can be created, mobile AI features stop on November 23, and on December 22 the browser stops working on macOS and Windows. Users are asked to move their data to the Dia AI browser.
• DevOps Google Cloud опубликовала предварительный отчёт о сбое в Лондоне: не запустились дизель-генераторыGoogle Cloud's preliminary report on the London outage: the diesel generators never started Шестичасовой сбой региона europe-west2 начался с перебоя городского питания, но к отключению зоны europe-west2-b привёл отказ основной и резервной систем автоматики, которые должны были запустить генераторы. Пострадали и соседние зоны — из-за всплеска нагрузки и зависимостей control plane.The six-hour europe-west2 outage started with a grid power disruption, but zone europe-west2-b went dark because both the primary and backup automation systems failed to start the generators. Neighboring zones were hit too, by demand surges and control-plane dependencies.
• DevOps Quad9 уходит из Франции, отказываясь блокировать пиратские сайты по решению судаQuad9 is leaving France rather than block pirate sites under a court order Швейцарский некоммерческий DNS-резолвер перестанет обслуживать пользователей из Франции с 24 ноября. Парижский суд назначил штраф по иску beIN Sports, а в стране ждут решения ещё около 20 похожих дел.The Swiss non-profit DNS resolver will stop serving users in France on November 24. A Paris court imposed a penalty in a beIN Sports case, and around 20 similar cases are pending in the country.
• Безопасность Interpol: операция Serengeti III — 1462 ареста и почти 11 000 ликвидированных сетей в АфрикеInterpol's Serengeti III: 1,462 arrests and nearly 11,000 malicious networks taken down in Africa Интерпол подвёл итоги третьей волны операции против киберпреступности в 21 стране Африки. Задержаны 1462 подозреваемых, выявлено почти 66 тысяч жертв с ущербом свыше 385 млн долларов, возвращено более 105 млн.Interpol published the results of the third wave of its anti-cybercrime operation across 21 African countries. It led to 1,462 arrests, identified almost 66,000 victims with losses above $385 million, and recovered more than $105 million.
• AI Modular открыла исходники MAX целиком — но под собственной лицензией, а не open sourceModular opens the full MAX source — under its own license, not open source В релизе Modular 26.7 опубликованы графовый компилятор, рантайм и аппаратные бэкенды инференс-платформы MAX. Коммерческое использование бесплатно, но лицензия запрещает AI-переписывание MAX и распространение изменённого кода.With Modular 26.7 the graph compiler, runtime and hardware backends of the MAX inference platform are now public. Commercial use is free, but the license bans AI-driven reimplementations of MAX and distributing modified source.
• Разработка Fedora 45 снова отложена: релиз сдвинут на 3 ноября из-за сертификата eMudhra и других блокеровFedora 45 slips again: release moved to November 3 over an eMudhra certificate and other blockers На встрече Go/No-Go 22 октября релиз Fedora 45 второй раз подряд признали неготовым. Главный блокер — сертификат eMudhra в системном хранилище доверия; следующее решение — 29 октября.At the October 22 Go/No-Go meeting Fedora 45 was declared not ready for the second time in a row. The main blocker is an eMudhra certificate in the system trust store; the next decision is on October 29.
• DevOps GitHub: новые хосты blob-хранилища Actions для allowlist и глобальная политика для функций CopilotGitHub: new Actions blob storage hosts for allowlists and a global default policy for Copilot features Тем, кто пускает раннеры к GitHub Actions по списку хостов, нужно добавить новые адреса blob-хранилища, иначе пропадут логи и job summary. Параллельно в Copilot Business и Enterprise раскатывается глобальная политика по умолчанию для новых функций, а метрики использования начали показывать имена собственных навыков и MCP-серверов.If your runners reach GitHub Actions through a host allowlist, add the new blob storage hosts or lose logs and job summaries. Meanwhile Copilot Business and Enterprise get a global default policy for new features, and usage metrics now show the names of custom skills and MCP servers.

21 октября 2026 г.October 21, 2026 день целиком 13 новостейstories

• Безопасность Важно PHP выпустил экстренные патчи для двух критических RCE без аутентификацииPHP ships emergency patches for two critical unauthenticated RCE flaws Вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлением CVE-2026-109618 и CVE-2026-109619 (CVSS 4.0 9.2). Под угрозой любая установка, обслуживающая веб-запросы, а полноценных обходных мер нет — нужно обновлять рантайм.PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 fix CVE-2026-109618 and CVE-2026-109619 (CVSS 4.0 9.2). Any installation serving web requests is at risk and there are no complete workarounds — the runtime itself must be updated.
• Безопасность Важно Railway: посторонние могли прочитать переменные окружения клиентов, деплои остановленыRailway: attackers may have read customer environment variables, deployments paused Облачная платформа Railway сообщила о несанкционированном доступе к системам, где хранятся переменные окружения, включая часть расшифрованных значений. Компания приостановила деплои и призывает всех клиентов ротировать секреты, не дожидаясь подтверждения.Cloud platform Railway disclosed unauthorized access to the systems that store environment variables, including some decrypted values. It paused deployments and urges all customers to rotate secrets without waiting for confirmation.
• AI Anthropic представила Claude Duet — проактивного агента, который пишет первымAnthropic unveils Claude Duet, a proactive agent that messages you first Claude Duet на базе Opus 5.5 работает в фоне на собственном облачном компьютере, присылает утренние сводки и сам берётся за задачи из почты и календаря. Исследовательское превью доступно по листу ожидания подписчикам Pro и Max в США.Claude Duet, built on Opus 5.5, runs in the background on its own cloud computer, sends morning briefs and picks up tasks from email and calendar. The research preview is available via waitlist to Pro and Max subscribers in the US.
• Безопасность Microsoft: атаку на ConnectWise провела китайская Storm-0940 с помощью AI-агента ARTEXMicrosoft: China-aligned Storm-0940 hit ConnectWise using the ARTEX AI agent framework Microsoft связала компрометацию ConnectWise Cloud Backup с группировкой Storm-0940, которая автоматизировала атаки агентным фреймворком для пентеста ARTEX. Попытки входа затронули более 2250 тенантов Microsoft 365, а путь от первой цели до привилегированного доступа порой занимал меньше трёх часов.Microsoft tied the ConnectWise Cloud Backup compromise to Storm-0940, which automated its attacks with the ARTEX agentic pentesting framework. Sign-in attempts hit more than 2,250 Microsoft 365 tenants, and the path from first targeting to privileged access sometimes took under three hours.
• Разработка DuckDB 2.0 LTS: режим сервера, асинхронный I/O, тип VARIANT и режим для AI-агентовDuckDB 2.0 LTS: server mode, async I/O, a VARIANT type and an agent mode Крупнейший релиз встраиваемой аналитической СУБД превращает её в полноценный сервер через протокол Quack, добавляет триггеры и новый расширяемый парсер SQL. Версия поддерживается минимум до октября 2027 года, но файлы, созданные 2.0, старые версии не прочитают.The embedded analytics database's biggest release turns it into a full server via the Quack protocol and adds triggers and a new extensible SQL parser. It is supported until at least October 2027, but files created by 2.0 can't be read by older versions.
• Безопасность Node.js закрыл 10 уязвимостей, включая RCE в декодере BrotliNode.js fixes 10 vulnerabilities, including an RCE in the Brotli decoder Октябрьский выпуск безопасности Node.js — версии 26.12.1, 24.22.1 и 22.23.4 — исправляет десять CVE, из них четыре высокой опасности. Главная — запись за границей буфера во встроенном декодере Brotli. Заодно обновлено хранилище сертификатов из-за компрометации eMudhra.The October Node.js security release — 26.12.1, 24.22.1 and 22.23.4 — fixes ten CVEs, four of them rated High. The headline issue is an out-of-bounds write in the bundled Brotli decoder. The CA store was also updated over the eMudhra compromise.
• Безопасность Взлом Onamae Desktop Cloud: вредонос мог попасть на 26 739 серверов, сервис отключёнOnamae Desktop Cloud hacked: malware may be on 26,739 servers, service shut down Японский VPS-сервис GMO Internet для автоматической торговли на Форекс подвергся взлому: злоумышленник установил вредоносные программы в клиентские окружения. С 21 октября все серверы поэтапно выключены, дата восстановления не названа.GMO Internet's Japanese VPS service for automated forex trading was breached, with an attacker installing malware in customer environments. All servers have been shut down in stages since October 21, with no restart date given.
• AI OpenAI предложила схему координации исправлений для уязвимостей, найденных AIOpenAI proposes a coordination framework for vulnerabilities found by AI На примере PHP2Shell OpenAI описала, как в рамках Patch the Planet два месяца координировала мейнтейнеров, исследователей и провайдеров защиты. Компания предлагает поэтапный процесс раскрытия критических уязвимостей и выделяет субсидированный доступ к Daybreak на $1 млрд.Using PHP2Shell as the case study, OpenAI described how its Patch the Planet effort spent two months coordinating maintainers, researchers and security providers. It proposes a staged process for disclosing critical bugs and commits $1B in subsidized Daybreak access.
• Запуски Cloudflare WAF научился анализировать ответы сервера, а не только запросыCloudflare WAF now inspects server responses, not just requests Full transaction detection сопоставляет запрос с ответом origin, чтобы понять, сработал ли эксплойт, и может подменить ответ страницей блокировки. Функция доступна всем клиентам, включая бесплатный план, а первыми правилами на её основе стала защита от PHP2Shell.Full transaction detection pairs a request with the origin's response to tell whether an exploit actually worked, and can replace the response with a block page. It is available to all customers, Free plan included, and its first managed rules protect against PHP2Shell.
• Разработка GitHub CLI получил истекающие OAuth-токены с автообновлениемGitHub CLI adds expiring, auto-refreshing OAuth tokens В превью gh 2.103.0 можно перейти на короткоживущие токены доступа с ротируемым refresh-токеном: утёкший токен перестанет работать уже через несколько часов. Пока это опция, позже GitHub планирует сделать её поведением по умолчанию для новых входов.In preview with gh 2.103.0, you can switch to short-lived access tokens with a rotating refresh token, so a leaked token stops working within hours. It is opt-in for now; GitHub plans to make it the default for new sign-ins later.
• DevOps Сбой GitHub: задержки pull request, вебхуков, Actions и аудит-логов на 4,5 часаGitHub incident: pull requests, webhooks, Actions and audit logs delayed for 4.5 hours 21 октября перегрузка внутренней платформы стриминга событий GitHub привела к задержкам обновлений pull request, доставки вебхуков и статусов Actions. Основные сервисы восстановились примерно за два часа, аудит-логи отставали до 110 минут.On October 21, overload on GitHub's internal event streaming platform delayed pull request updates, webhook deliveries and Actions statuses. Core services recovered in about two hours, while audit logs lagged by up to 110 minutes.
• Безопасность Lazarus начала прятать доставку вредоносов за постквантовой криптографиейLazarus now hides malware delivery behind post-quantum cryptography Kaspersky описала кампанию FlashHole против южнокорейских компаний: обновлённый LPEClient согласует ключи с C2 по ML-KEM-1024. Квантового компьютера у группировки нет — цель в том, чтобы затруднить анализ трафика и скрыть следующие стадии.Kaspersky detailed the FlashHole campaign against South Korean companies, in which an updated LPEClient negotiates keys with its C2 using ML-KEM-1024. The group has no quantum computer — the goal is to hamper traffic analysis and hide later stages.
• DevOps Amazon Aurora и RDS получили резервирование мощностей по требованиюAmazon Aurora and RDS get On-Demand Capacity Reservations Теперь можно заранее зарезервировать вычислительные мощности для инстансов баз данных в нужных зонах доступности, чтобы создание, восстановление, масштабирование и запуск не падали из-за нехватки ресурсов. Оплата — по ставкам On-Demand, пока резерв активен.You can now reserve compute capacity for database instances in specific Availability Zones so create, restore, scale and start operations don't fail for lack of capacity. Billing is at On-Demand rates while the reservation is active.

20 октября 2026 г.October 20, 2026 день целиком 15 новостейstories

• Безопасность Важно PHP предупредил о двух критических уязвимостях и назначил экстренные патчиPHP warns of two critical flaws and schedules emergency patches Команда безопасности PHP 20 октября выпустила предупреждение о двух уязвимостях с оценкой CVSS 9.2 и назначила исправления на следующий день. Подробности утекли раньше срока, а watchTowr подтвердил реальность удалённого выполнения кода.On Oct 20 the PHP security team warned of two flaws rated CVSS 9.2 and scheduled fixes for the next day. Details leaked ahead of time, and watchTowr confirmed the remote code execution is real.
• Безопасность Важно Хакер с помощью ИИ-агентов на платформе Cairn взломал сайты более 100 компанийHacker used AI agents on the Cairn platform to break into 100+ company websites Reuters и NorForge описали оператора, который короткими командами на китайском запускал автономных агентов против более чем 1200 сайтов. Среди жертв — Deere, SharkNinja и Cummins, а затраты на токены оцениваются примерно в $5000.Reuters and NorForge described an operator who set autonomous agents loose on more than 1,200 sites with terse Chinese prompts. Victims include Deere, SharkNinja and Cummins, and token spend is estimated at about $5,000.
• Безопасность Важно Plex2Shell: CISA внесла цепочку уязвимостей Plex Media Server в каталог эксплуатируемыхPlex2Shell: CISA adds the Plex Media Server exploit chain to its exploited catalog Четыре уязвимости Plex Media Server вместе дают выполнение кода без учётных данных, а атаки начались через день после публикации деталей. 20 октября CISA добавила их в KEV вместе с эксплуатируемыми багами Siemens Software Center и SiteGuard.Four Plex Media Server flaws chain into credential-less code execution, and attacks began a day after details went public. On Oct 20 CISA added them to KEV alongside exploited bugs in Siemens Software Center and SiteGuard.
• Разработка Cloudflare и VoidZero представили tsrs — порт компилятора TypeScript на RustCloudflare and VoidZero unveil tsrs, a Rust port of the TypeScript compiler Экспериментальный tsrs развивается внутри тулчейна Oxc и, по замерам авторов, проверяет типы до 8 раз быстрее TypeScript 7.0 при расходе памяти на 70% меньше. Это не форк: язык по-прежнему развивает команда TypeScript, а часть оптимизаций уже ушла в TypeScript 7.1.The experimental tsrs lives in the Oxc toolchain and, by its authors' benchmarks, type-checks up to 8x faster than TypeScript 7.0 with about 70% less memory. It is not a fork: the TypeScript team still owns the language, and some optimizations already landed in TypeScript 7.1.
• DevOps «Энергетическое событие» положило зону Google Cloud в Лондоне почти на 8 часовA "power event" knocked out a Google Cloud London zone for nearly 8 hours Утром 20 октября отказ питания в зоне europe-west2-b затронул GKE, Cloud Run, App Engine, Filestore и другие сервисы. Пострадали Lloyds, HSBC, Royal Mail, Revolut и другие британские компании.On the morning of Oct 20 a power failure in the europe-west2-b zone hit GKE, Cloud Run, App Engine, Filestore and more. Lloyds, HSBC, Royal Mail, Revolut and other UK companies were affected.
• Безопасность Zeabur закрывается после второго взлома: утекли 3,2 млн переменных окруженияZeabur shuts down after a second breach exposing 3.2M environment variables Атакующий с утёкшими внутренними учётными данными прочитал базу платформы: переменные окружения и данные 321 810 аккаунтов. Админ-токены хранились открытым текстом и не ротировались с 2024 года; сервис прекратит работу к 31 декабря.An attacker with leaked internal credentials read the platform database: environment variables and data for 321,810 accounts. Admin tokens were stored in plaintext and unrotated since 2024; the service will shut down by Dec 31.
• AI Минвнутбез США обязал федеральные ведомства удалить продукты DeepSeekUS DHS orders federal civilian agencies to remove DeepSeek products Приказ, подписанный ещё в июле, опубликован в Federal Register 20 октября. Он запрещает закупки и требует убрать из систем не только сервисы DeepSeek, но и сторонние продукты, построенные на её технологиях.The order, signed back in July, was published in the Federal Register on Oct 20. It bans purchases and requires removal not only of DeepSeek's services but of third-party products built on its technology.
• AI Microsoft добавила в 365 E7 оценку риска и динамические права для AI-агентовMicrosoft adds risk scoring and dynamic permissions for AI agents to 365 E7 Агенты получают только те права, что нужны для конкретной задачи, а их риск оценивается непрерывно — при росте можно отобрать запись, потребовать подтверждения человека или остановить агента. Обнаружение теперь видит 60 типов агентов, включая Claude Code, Codex и Copilot.Agents get only the access a single task needs, and their risk is scored continuously — as it rises, write access can be pulled, human approval required or the agent stopped. Discovery now covers 60 agent types, including Claude Code, Codex and Copilot.
• AI MiniMax выпустила M3.1 Flash — дешёвую модель для кода и агентов с контекстом 1MMiniMax releases M3.1 Flash, a cheap coding and agent model with 1M context Новая модель китайской MiniMax стоит $0,15 за миллион входных и $0,60 за миллион выходных токенов — втрое дешевле M3, по словам компании. Именно она скрывалась под именем Space Bunny, а открытые веса обещаны 23 октября.The new model from China's MiniMax costs $0.15 per million input and $0.60 per million output tokens — a third of M3's price, the company says. It was the mystery "Space Bunny" model, and open weights are promised for Oct 23.
• AI Mistral представила Voxtral 3: модели распознавания и синтеза речи и SDK для голосовых агентовMistral launches Voxtral 3: speech recognition and synthesis models plus a voice-agent SDK В семейство вошли три модели транскрибации, синтез речи с клонированием голоса и SDK на базе LiveKit для голосовых агентов. Транскрибация стоит от $0,0035 за минуту, всё доступно в публичном превью через API Mistral.The family includes three transcription models, text-to-speech with voice cloning and a LiveKit-based SDK for voice agents. Transcription starts at $0.0035 per minute, and everything is in public preview on Mistral's API.
• Безопасность Oracle выпустила октябрьский Critical Patch Update: более 1200 уязвимостейOracle's October Critical Patch Update fixes more than 1,200 vulnerabilities Квартальный пакет Oracle от 20 октября содержит 1295 исправлений для 1209 уникальных CVE, из них 95 критических. Больше всего досталось Fusion Middleware: 134 бага эксплуатируются удалённо без аутентификации.Oracle's Oct 20 quarterly bundle ships 1,295 fixes for 1,209 unique CVEs, 95 of them critical. Fusion Middleware is hit hardest, with 134 bugs exploitable remotely without authentication.
• DevOps GitHub может временно требовать аутентификацию для клонирования публичных репозиториевGitHub may temporarily require authentication to clone public repositories При аномальном трафике анонимные HTTPS-клоны и fetch публичных репозиториев могут падать с ошибкой «требуется аутентификация». Это затрагивает CI, который тянет код без токена; SSH и аутентифицированные запросы не затронуты.During anomalous traffic, anonymous HTTPS clones and fetches of public repos may fail with an "authentication required" error. This hits CI pipelines that pull code without a token; SSH and authenticated requests are unaffected.
• AI Linux Foundation: ИИ вдвое ускоряет написание кода в open source, но четверть PR — «AI slop»Linux Foundation: AI halves open-source coding time, but a quarter of PRs are "AI slop" Исследование LF Research при поддержке Red Hat показало, что мейнтейнеры получают больше вкладов, но около 25% входящих pull request'ов — низкокачественная генерация. Формальная политика по AI-вкладам есть лишь у 35% проектов.An LF Research study sponsored by Red Hat found maintainers are getting more contributions, but about 25% of incoming pull requests are low-quality generated code. Only 35% of projects have a formal policy on AI contributions.
• DevOps Meta раскрыла устройство Prometheus — гигаваттного AI-суперкластера в ОгайоMeta details Prometheus, its gigawatt-scale AI supercluster in Ohio Кластер уже насчитывает сотни тысяч GPU и рассчитан примерно на миллион. Meta рассказала о сети между зданиями на расстоянии до 100+ км, борьбе со скачками нагрузки на 30–40% и о том, как сократила число сбоев обучения на 99%.The cluster already runs hundreds of thousands of GPUs and is designed for about a million. Meta described networking between buildings up to 100+ km apart, taming 30–40% power swings, and cutting training interruptions by 99%.
• Разработка WordPress 7.2 Beta 1: Secrets API, адаптивные стили и сжатие картинок в браузереWordPress 7.2 Beta 1: a Secrets API, responsive styles and in-browser image compression Первая бета WordPress 7.2 добавляет API для хранения учётных данных, стили под разные вьюпорты и обработку изображений на клиенте до загрузки. Финальный релиз назначен на 8 декабря, а разработчикам блоков стоит проверить несколько изменений API уже сейчас.The first WordPress 7.2 beta adds an API for storing credentials, per-viewport styling and client-side image processing before upload. The final release is set for Dec 8, and block developers should check several API changes now.