Телеграм канал «Представляешь,»

для части пользователей AWS срок замены сертификатов — до 28 октября

AWS требует заменить TLS-сертификат провайдера идентификации (IdP), если Application Load Balancer (ALB) использует OIDC/JWT, а цепочка сертификата ведёт к одному из затронутых корней доверия. Этот сертификат подтверждает подлинность HTTPS-сервера провайдера входа.

Хранилища доверенных сертификатов ALB планируют обновить 29–31 октября. Замена сертификата IdP нужна до этого перехода. Изменения связаны с инцидентом в удостоверяющем центре eMudhra.

В CloudFront затронутые корни планируют удалить к 28 октября. Если сертификат исходного сервера, откуда CloudFront забирает контент, ведёт к одному из этих корней, после удаления возможна ошибка проверки TLS.

для .NET 10 вышло внеплановое обновление безопасности

25 октября Microsoft выпустила .NET 10.0.14. Релиз исправляет ошибку в декодере Brotli и две уязвимости, которые обновление от 13 октября устранило не полностью. Установить новую версию нужно и после того обновления.

Ошибка в Brotli допускает запись за границы буфера. По данным Microsoft, специально подготовленные сжатые данные могут вызвать отказ в обслуживании, утечку информации или повышение привилегий. Риск возникает при обработке таких данных уязвимыми средствами распаковки. Автоматическая распаковка HTTP-запросов и ответов по умолчанию выключена, .NET Framework не затронут.

Для Blazor WebAssembly одного обновления среды выполнения недостаточно. В затронутых проектах нужно отдельно обновить пакеты Microsoft.AspNetCore.Components.WebAssembly.Server и Microsoft.AspNetCore.Components.WebAssembly.DevServer до 10.0.14.

в CPython приняли защиту от скомпрометированных ключей eMudhra

24 октября в основную ветку CPython приняли исправление модуля ssl. Его уже перенесли в код веток 3.11–3.15. При включённой проверке TLS-сертификатов оно отклоняет цепочки с любым из восьми скомпрометированных ключей промежуточных центров сертификации eMudhra.

Проверка сверяет SHA-256-отпечатки публичных ключей в цепочке сертификатов. Поэтому под блокировку попадает и сертификат с другой подписью, если ключ в нём тот же. Это дополнительная защита на случай, когда хранилище доверенных сертификатов ОС, контейнера или пакета ещё не обновилось.

Обновлять само хранилище по-прежнему нужно. Исправление уже есть в коде, а его наличие в готовой сборке Python или пакете дистрибутива нужно проверять отдельно.

у Cloudflare появилась бета GeoKey Manager с постквантовой защитой

Cloudflare анонсировала закрытую бету PQ GeoKey Manager для Data Localization Suite — сервисов для работы с региональными ограничениями на данные. Система ограничивает регионы, где серверы могут использовать ключи клиентов.

Закрытые ключи клиентов распространяются зашифрованными. Расшифровать их можно только с корневым секретом, который получают серверы разрешённого региона. В описанной схеме Cloudflare One для их защиты сочетают классический X25519 и постквантовый ML-KEM-768. Без нужного корневого секрета сервис ключей не запустится. Запрос на расшифровку ключа вне разрешённого региона отклоняют.

Маршрутизация, завершение туннелей и обработка открытого трафика зависят от отдельных механизмов. Интеграцию новой схемы с CDN ещё разрабатывают. Общую доступность планируют на I квартал 2027 года.

в Oracle JDK убрали четыре корневых сертификата

Oracle 24 октября выпустила отдельные обновления JDK и бюллетень CVE-2026-114820 по компоненту JSSE. Из встроенного хранилища доверия cacerts удалены три корневых сертификата emSign и Comodo AAA.

Патч от 21 октября уже блокировал скомпрометированные промежуточные сертификаты eMudhra и связанные сертификаты Sectigo. В тех сборках Oracle JDK четыре корня доверия ещё оставались. Обновление ОС или браузера само по себе не означает, что обновлён cacerts установленного Oracle JDK.

Для веток 17 и 21 новые версии — 17.0.21.0.3 и 21.0.13.0.3. Если установить патч пока нельзя, Oracle описывает ручное удаление четырёх сертификатов через keytool с последующим перезапуском. При нескольких отдельно установленных Java runtime процедуру нужно повторить для каждой.

у GPT-Live появилась нативная интеграция с Decisions API

OpenAI вывела Decisions API из беты и добавила нативную интеграцию с GPT-Live. Разработчик задаёт вопрос и допустимые ответы, а GPT-6 Luna возвращает выбранный вариант, вероятность или оценку по заданной шкале. Так можно решить, уточнить ли запрос пользователя, перенаправить его или передать оператору. Само действие выполняет приложение.

В GPT-Live такую проверку можно запускать по обновлениям расшифровки речи. Результат приходит отдельным событием, которое обрабатывает код приложения. Для повторяющегося контекста добавили кеширование, а лимит одного запроса подняли с 200 до 400 вопросов.

у KDE Craft меняется модель сборки — свои рецепты придётся обновить

KDE выпустила Craft 26.10 — открытую систему сборки и менеджер пакетов, который собирает приложения и их зависимости из исходников. В CraftCompiler теперь явно разделены архитектура, платформа и компилятор машины сборки и целевой системы. Это основа для полноценной кросс-компиляции. В анонсе Windows ARM и iOS упоминаются лишь как задел на будущее.

Из-за переработки появились несовместимые изменения в blueprints — рецептах сборки. Собственные репозитории blueprints придётся адаптировать. Предложенный скрипт update.ps1 помогает начать миграцию, но завершить перенос придётся вручную.

В релизе уже есть начальная поддержка MSVC 2026 и кеш для него. При этом Craft 26.10 станет последней версией с поддержкой MSVC 2022. Если вы собираете через Craft с MSVC 2022, перед следующим обновлением Craft нужно запланировать переход на другой компилятор.