💾 TrueNAS 27 RC.1: нативный S3 поверх ZFS, RAIDZ для Special vdev и новая схема версионирования

Коллеги, важная новость для тех, кто держит СХД на TrueNAS или выбирает платформу под надежное хранилище и репозитории резервных копий.

📌 ФАКТЫ
Статус релиза: 6 октября представлен билд 27 RC.1. Финальный стабильный релиз 27.0 намечен на начало декабря.

Фундамент системы: ядро Linux 6.18 LTS в связке с OpenZFS 2.4.

Нативный S3-сервер (Early Access): бакеты маппятся напрямую на ZFS-датасеты. Из коробки поддерживаются multipart-загрузка, тегирование, ACL, версионирование и аппаратная неизменяемость (Object Lock / Immutability). Работает полностью изолированно, без выхода в интернет. Продакшен-статус запланирован на 2027 год.

Fusion Pools 2.0: под класс Special vdev (хранение метаданных и мелких блоков) теперь можно использовать топологию RAIDZ, а не только классический Mirror. Кроме того, при отсутствии выделенного ZIL/SLOG этот пул может брать на себя роль журнала транзакций.

Подсистема TrueSearch: движок индексации имён и содержимого файлов с нативной поддержкой поиска Spotlight (macOS) поверх SMB-шар. Важно: датасеты с нативным шифрованием ZFS индексации не подлежат.

Ребрендинг версий: переход на годовые мажорные номера (27, 28 и т.д.) вместо привычной схемы вида 25.04 / 25.10.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Ключевой тектонический сдвиг — полноценный S3 с поддержкой Immutability прямо из коробки.

Это готовый локальный таргет под неизменяемые бэкапы для Veeam Backup & Replication и Proxmox Backup Server без необходимости городить рядом костыли, сторонние контейнеры или отдельный кластер MinIO.

Однако статус Early Access обязывает: обкатывать технологию в лабах можно уже сейчас, но в боевой прод выводить строго после релиза 27.0 и первых корректирующих сервисных сборок (U1/U2).

🛠 ДИАГНОСТИКА: ПРОВЕРЯЕМ ПУЛЫ И ФЛАГИ ДО АПГРЕЙДА
Bash

# 1. Проверяем здоровье текущих пулов на ошибки и ребилд
zpool status -x

# 2. Проверяем доступность и статус критических фич OpenZFS
zpool get feature@raidz_expansion,feature@block_cloning <имя_пула>

# 3. Ревизия параметров датасетов (размер блока, сжатие, аллокация места)
zfs list -o name,used,avail,compression,recordsize

#storage #truenas #zfs #s3 #backup #linux #sysadmin #admin_future

🧠 Skills: IBM и Red Hat нашли 400+ неизвестных уязвимостей в Java-библиотеках. А вы знаете, сколько JAR-файлов у вас на серверах?

Коллеги, важная новость из мира Enterprise Open Source — отличный повод прокачать навык инвентаризации зависимостей в инфраструктуре.

📌 ФАКТЫ
Программа Lightwell: совместная инициатива IBM и Red Hat закрыла более 400 ранее неизвестных уязвимостей в популярных Java-библиотеках.

Главный фокус — глубокий бэкпорт: секьюрити-патчи создаются точечно под те устаревшие версии библиотек, которые реально крутятся на продакшене у клиентов, избавляя бизнес от риска сломать прод мажорным апгрейдом.

Сервис Clearinghouse: корпоративные заказчики могут централизованно отправлять свои списки используемых зависимостей на приоритетный секьюрити-аудит.

Текущий статус: точные названия библиотек и идентификаторы CVE пока держатся под эмбарго — исправления постепенно уходят в апстрим по процедуре ответственного раскрытия (Coordinated Vulnerability Disclosure).

🛠 ИНВЕНТАРИЗАЦИЯ JAVA НА СЕРВЕРАХ ЗА 5 МИНУТ
Bash

# 1. Считаем общее число JAR-файлов в локальной файловой системе (без сетевых шар)
find / -xdev -name '*.jar' 2>/dev/null | wc -l

# 2. Топ каталогов с наибольшей концентрацией JAR (где прячется JVM-софт)
find / -xdev -name '*.jar' 2>/dev/null | xargs -r dirname | sort | uniq -c | sort -rn | head

# 3. Инспекция «толстых» JAR/fat-JAR (Spring Boot) без полной распаковки архива
unzip -l app.jar | grep -E 'BOOT-INF/lib/.*\.jar' | awk '{print $4}'

# 4. Сборка полного SBOM (Software Bill of Materials) на лету через Syft
syft dir:/opt -o table | grep -i java-archive

💡 В ЧЁМ СУТЬ

Java прячется даже там, где вы её не ждёте:

В экосистеме 1С:Предприятие (1C:EDT, Сервер взаимодействия);

В CI/CD и мониторинге (Jenkins, Elasticsearch, Logstash);

Во внутренних системах документации (Confluence, Jira);

Во встроенных веб-консолях управления СХД, KVM и ИБП.

Урок Log4Shell показал: найти уязвимый компонент на сотне серверов занимает в разы больше времени, чем накатить патч. Снятый заранее SBOM превращает неделю судорожного поиска в один моментальный

grep

.

#skills #java #sbom #supplychain #security #devops #linux #sysadmin #admin_future

🔬 Google Kage: песочница для драйверов прямо внутри ядра Linux

Коллеги, интереснейший доклад с конференции Linux Plumbers 2026 — архитектурная инициатива, способная в будущем кардинально повысить стабильность и отказоустойчивость серверов.

📌 ФАКТЫ
Архитектура Kage: экспериментальная подсистема ядра Linux от инженеров Google, задача которой — изолировать драйверы аппаратных устройств.

Технологический фундамент: компиляторная изоляция LFI (Lightweight Fault Isolation) на базе LLVM (совместный проект Стэнфорда и Google). Драйвер продолжает исполняться в адресном пространстве ядра, но компилятор жестко ограничивает его доступ только выделенным пулом памяти, предотвращая порчу чужих структур ядра.

Рабочие прототипы: уже реализована изоляция драйверов NVMe, сетевых адаптеров и Wi-Fi стеков в рамках архитектуры VKage (интеграция с подсистемой VirtIO).

Производительность: накладные расходы заявляются значительно более низкими, чем у традиционных виртуальных песочниц и микроядерных выносов в userspace (точные бенчмарки пока не финализированы).

Готовность экосистемы: поддержка LFI для архитектуры AArch64 уже принята в апстрим LLVM, реализация под x86_64 ожидается в релизе LLVM 24. Одним из ключевых полигонов внедрения станет экосистема Android.

💡 ПОЧЕМУ ЭТО ВАЖНО СИСАДМИНУ

Драйверы стороннего оборудования — самый объемный, гетерогенный и наименее надежный пласт кодовой базы ядра.

Сегодня любая ошибка адресации или use-after-free в драйвере сетевой карты либо HBA-адаптера мгновенно приводит к Kernel Panic и падению всей ноды (либо к локальному повышению привилегий). Технология Kage локализует сбой до уровня программного отказа отдельного устройства, сохраняя работу ОС и соседних сервисов.

🛠 ДИАГНОСТИКА: СТОРОННИЙ КОД В ВАШЕМ ЯДРЕ ПРЯМО СЕЙЧАС
Bash

# 1. Считаем общее число загруженных модулей ядра
lsmod | wc -l

# 2. Проверяем статус Tainted (0 = ядро чистое и стабильное, >0 = загружены проприетарные модули/были сбои)
cat /proc/sys/kernel/tainted

# 3. Выявляем модули, собранные вне основного дерева исходников ядра (out-of-tree)
for m in $(lsmod | awk 'NR>1{print $1}'); do
  modinfo -F intree "$m" 2>/dev/null | grep -q Y || echo "Вне дерева ядра: $m"
done

#linux #kernel #drivers #google #security #virtualization #sysadmin #admin_future

🧠 Skills: EXT4 объявила data=journal устаревшим. Удаление — в 2028 году. Проверьте свои маунты

Коллеги, пятница. Короткая проверка на две минуты в терминале, которая убережёт от неприятных сюрпризов при будущих апгрейдах ядра.

📌 ФАКТЫ
Статус Deprecated: начиная с ядра Linux 7.3 режим монтирования data=journal в файловой системе EXT4 официально помечен как устаревший.

Таймлайн удаления: полное выпиливание кода запланировано на начало 2028 года (аккурат после стабилизации LTS-ветки 2027 года).

Что это за режим: в журнал транзакций пишутся не только метаданные файловой системы, но и само тело файлов (данные). Это давало максимальную защиту от повреждений ценой катастрофической просадки пропускной способности (двойная запись). Режим наглухо отключает Delayed Allocation и Direct I/O.

По умолчанию EXT4 работает в режиме data=ordered (журналируются только метаданные) — его эти изменения никак не затрагивают.

🛠 БЫСТРЫЙ ЧЕК СВОИХ СИСТЕМ
Bash

# 1. Смотрим, смонтировано ли что-то прямо сейчас в режиме data=journal
findmnt -t ext4 -o TARGET,SOURCE,OPTIONS | grep "data=journal"

# 2. Проверяем статическую конфигурацию в fstab
grep -n 'data=journal' /etc/fstab

# 3. Проверяем, не зашит ли режим в суперблок раздела как опция по умолчанию
for d in $(findmnt -t ext4 -no SOURCE | sort -u); do
  echo "Устройство $d:"
  tune2fs -l "$d" 2>/dev/null | grep -i 'default mount options'
done

⚠️ Если в выводе суперблока есть параметр

journal_data

— режим активируется ядром по умолчанию при каждом монтировании, даже если в

/etc/fstab

он явно не указан!

💡 В ЧЁМ СУТЬ

Опцию

data=journal

исторически любили включать «для железобетонной надёжности» под базы данных, транзакционные логи или серверы 1С:Предприятия.

На практике за это платили колоссальным падением производительности дисковой подсистемы и деградацией SSD, получая взамен мнимую безопасность. Реальную сохранность данных дают качественные ИБП, корректная работа приложения с системным вызовом

fsync()

и регулярные проверенные бэкапы, а не костыли на уровне драйвера ФС.

Запас времени на миграцию ещё есть, но найти и перевести такие разделы в стандартный

data=ordered

лучше уже сейчас.

#skills #linux #ext4 #kernel #filesystem #storage #sysadmin #admin_future

🌐 Сайты Canonical под затяжной DDoS-атакой. Ваши обновления не должны зависеть от чужого аптайма

Коллеги, поучительная инфраструктурная история, которая регулярно повторяется с любым крупным апстримом.

📌 ФАКТЫ
Атака на апстрим: 8 октября Canonical официально сообщила о «sustained DDoS» на свои публичные веб-ресурсы и предупредила о нестабильности и периодической недоступности инфраструктуры.

Что затронуто: по данным профильных изданий (Phoronix), лежали основной портал Ubuntu и прямая загрузка установочных ISO-образов. Полный перечень задетых сервисов компания не раскрывает.

Мониторинг доступности: оперативный статус отслеживается на status.canonical.com.

🛠 ЛОКАЛЬНЫЙ КЭШ ПАКЕТОВ ЗА 10 МИНУТ
Разворачиваем прозрачный кэширующий прокси, чтобы не зависеть от внешних зеркал при каждой установке пакета:

Bash

# 1. Сервер кэша (Debian / Ubuntu) — поднимается одной командой
apt update && apt install apt-cacher-ng    # служба слушает порт TCP/3142

# 2. Настройка клиентских машин через конфиг APT:
echo 'Acquire::http::Proxy "http://apt-cache.lan:3142";' > /etc/apt/apt.conf.d/01proxy
apt update

Плюсы решения:

Любой пакет скачивается из интернета ровно один раз на весь офис или дата-центр.

Вся последующая раскатка по серверному парку идёт на скорости локальной сети (1–10 Гбит/с).

При падении апстрима или внешнего канала уже выкачанные версии пакетов остаются мгновенно доступны для переустановки и деплоя.

⚠️ ЧТО ЕЩЁ ОБЯЗАТЕЛЬНО ДЕРЖАТЬ НА СВОЕЙ ПОЛКЕ
Базовые ISO: проверенные дистрибутивы Linux (Debian, Ubuntu LTS, Alma/Rocky) и образы Windows Server со сверенными контрольными суммами (SHA256).

Платформы виртуализации: инсталляторы Proxmox VE, образы ESXi, вендорские драйверы RAID-контроллеров, HBA и сетевых карт, а также прошивки для IPMI/iLO/iDRAC.

Шаблоны: золотые образы ВМ (cloud-init / sysprep) и закэшированные базовые слои Docker-контейнеров во внутреннем реестре.

💡 В ЧЁМ СУТЬ

Аварийное восстановление упавшего сервера слишком часто начинается с оптимистичной фразы: «Сейчас по-быстрому скачаю свежий образ».

В день атаки на вендора, аварии на магистральном провайдере или внезапных сетевых ограничений этот сценарий мгновенно оборачивается часами простоя боевого сервиса. Локальный кэш пакетов и собственная локальная библиотека образов — простейшая и копеечная страховка вашего времени.

#linux #ubuntu #apt #mirror #ddos #disasterrecovery #network #infrastructure #sysadmin #admin_future

🤖 Sashiko от Google: AI-ревьюер ядра Linux проверил 191 тысячу патчей. 463 CVE за год ссылаются на него

Коллеги, интереснейший доклад с Linux Plumbers 2026 — вторая сторона медали в истории про «лавину AI-патчей в ядре».

📌 ФАКТЫ (доклад Романа Гущина, Google)
Что такое Sashiko: открытый агентный инструмент для автоматизированного ревью патчей ядра Linux, работающий в связке с моделями Gemini и другими LLM.

Масштаб работы менее чем за год:

191 000+ проведённых код-ревью в 99 официальных списках рассылки (LKML и подсистемы);

19 млн+ автоматизированных обращений к Git-дереву;

7 600+ ответов от 1 100+ живых разработчиков ядра на замечания и баг-репорты Sashiko;

1 277 коммитов в апстрим основного ядра и 1 567 в ветку linux-next содержат прямые ссылки на отчёты инструмента;

463 CVE ядра Linux, выпущенных в этом году, напрямую цитируют выводы Sashiko.

Роадмап проекта: запуск локального CLI-режима для проверки кода из терминала разработчика, формирование постоянной базы найденных багов и пре-ревью собственных коммитов.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Если в понедельник мы обсуждали, что мейнтейнеров ядра буквально заваливает сгенерированными AI-патчами, то сегодня виден встречный процесс: AI на стороне ревью отлавливает критические баги и регрессии задолго до того, как они попадут в релиз.

Итог для эксплуатации один: количество регистрируемых CVE в ядре будет только расти. И это индикатор качественной и глубокой проверки кода, а не признак того, что Linux стал хуже.

Концепция «обновляем ядро раз в два года, когда совсем прижмёт» окончательно устарела: патч-менеджмент ядра должен быть регулярным и плановым процессом.

🛠 БЫСТРЫЙ ЧЕК СЕРВЕРА: НА СКОЛЬКО СВЕЖЕМ ЯДРЕ ВЫ ЖИВЁТЕ
Bash

# 1. Текущая активная версия ядра и время с последнего ребута ноды
uname -r; uptime -s

# 2. Проверяем, есть ли в /boot ядро новее работающего (Debian / Ubuntu)
ls -t /boot/vmlinuz-* 2>/dev/null | head -1

# 3. Висит ли флаг обязательной перезагрузки после обновлений пакетов
[ -f /var/run/reboot-required ] && cat /var/run/reboot-required

#linux #kernel #ai #google #opensource #cve #security #sysadmin #admin_future

🤖 Линус Торвальдс пишет патч для ядра с Claude Code. И честно это указывает

Коллеги, интересное из жизни ядра — без хайпа и строго по фактам.

📌 ФАКТЫ
Ветка в репозитории: в персональном Git-дереве Торвальдса появилась ветка noref-filemap-read-with-llm.

Архитектурная суть: оптимизация сценария, когда множество параллельных потоков одновременно читают один и тот же файл небольшими порциями. Чтение из Page Cache переводится в режим без инкремента счётчика ссылок на folio (page refcount contention). Именно постоянное атомарное обновление счётчика ссылок создаёт узкое горлышко и конкуренцию на кэш-линиях CPU при интенсивном параллельном I/O.

Честный commit message: в описании патча Линус прямо зафиксировал, что изменения подготовлены «LLM-ассистентом (Claude Code) под моим руководством». Модель помогла со скелетом кода, синтетическими тестовыми программами, перекрёстным ревью и черновиком сопроводительного письма.

Верификация: все бенчмарки и профилирование Торвальдс проводил лично на своём рабочем железе. Патчи ещё не влиты в апстрим, вероятная цель — окно слияния Linux 7.4.

Индустриальный контекст: одновременно с этим NVIDIA представила Boro — локальный AI-инструмент, заточенный под разработку и верификацию кода ядра на языке Rust.

💡 В ЧЁМ СУТЬ ДЛЯ СИСАДМИНА

Важен не сам факт задействования нейросетей, а культура инженерной ответственности:

Архитектурную постановку задачи, контроль логики и валидацию замеров выполняет живой сеньор-инженер. Факт использования ассистента декларируется открыто, а персональная ответственность за продакшен-код остаётся на авторе коммита.

Ровно по этой модели должна строиться эксплуатация любого AI-инструмента в инфраструктуре: генерировать скрипт или конфиг может модель, но валидирует, пушит в прод и несёт ответственность только сисадмин.

При принятии коммитов прямую выгоду по I/O получат высоконагруженные веб-серверы (Nginx/Envoy, отдающие статику), ноды контейнеризации с общими read-only слоями образов и CI/CD сборочные фермы.

#linux #kernel #ai #torvalds #opensource #performance #sysadmin #admin_future

🐍 Python 3.15 вышел: UTF-8 по умолчанию может сломать ваши скрипты на Windows

Коллеги, важный релиз для всех, кто пишет скрипты автоматизации, интеграции и парсеры системных логов на Python.

📌 ФАКТЫ
Стабильный релиз: 9 октября представлена финальная ветка Python 3.15.

UTF-8 Mode по умолчанию (PEP 686): встроенная функция open() без явного параметра encoding теперь всегда открывает файлы в кодировке UTF-8, игнорируя региональные параметры операционной системы (locale.getencoding()).

Ленивые импорты (PEP 810): синтаксис вида lazy import json — модуль парсится и загружается в память только при первом фактическом вызове атрибута (включается строго явно флагом или директивой). Существенно срезает время холодного старта CLI-утилит.

Экспериментальный JIT: прирост производительности +7–8% на архитектуре x86_64 под Linux.

Сэмплирующий профилировщик Tachyon: низкоуровневый профилировщик без остановки рантайма. Умеет аттачиться к уже запущенному production-процессу и строить flame graph узких мест.

Новые базовые типы: добавлены нативные frozendict (неизменяемый словарь) и sentinel (удобные уникальные маркеры-заглушки вместо object()).

⚠️ ГДЕ ВЫСТРЕЛИТ НА WINDOWS
Исторически на русскоязычных Windows-серверах и рабочих станциях open() по умолчанию поднимал кодировку CP1251 (ANSI) для файлов и CP866 (OEM) для консольных утилит.

После обновления интерпретатора до 3.15:

Выгрузки отчетов, реестров и прайсов из 1С:Предприятия;

Экспортированные CSV-таблицы из классического Excel;

Текстовые журналы старых служб, конфиги и .bat/.cmd скрипты в кодировке ANSI

при попытке прочитать их «по старинке» (open('file.txt')) мгновенно уронят процесс с ошибкой UnicodeDecodeError: 'utf-8' codec can't decode byte... либо тихо запишут кракозябры при сохранении.

🛠 КАК ПРАВИЛЬНО ОБРАБАТЫВАТЬ КОДИРОВКИ
1. Явная фиксация кодировки в Python
Python

# Чтение локальных Windows-выгрузок (1С, Excel, старые сервисы)
with open('export_1c.csv', mode='r', encoding='cp1251') as f:
    data = f.read()

# Корректный перехват stdout системных CLI-команд Windows (ipconfig, ping, netstat)
import subprocess

res = subprocess.run(
    ['ipconfig', '/all'], 
    capture_output=True, 
    encoding='cp866', 
    check=True
)
print(res.stdout)

2. Временный откат поведения через переменные окружения
PowerShell

# Принудительное отключение UTF-8 режима для конкретного сеанса PowerShell
$env:PYTHONUTF8 = '0'
python automation_script.py

3. Экспресс-аудит репозитория скриптов перед обновлением Python
Bash

# Ищем потенциально опасные вызовы open() без аргумента encoding в проекте
grep -rnE "open\([^)]*\)" --include="*.py" . | grep -v "encoding="

💡 В ЧЁМ СУТЬ

Явный параметр

encoding=

в каждом вызове

open()

— базовый стандарт инженерной гигиены, делающий скрипт полностью переносимым между Windows Server, Debian/Ubuntu и любыми версиями рантайма.

Перед тем как обновлять глобальный Python на серверах автоматизации или в контейнерах сборщиков, прогоните аудит кода регуляркой выше.

#skills #python #automation #windows #1c #linux #devops #sysadmin #admin_future

🐧 Ubuntu 26.10 вышла: systemd 261 больше не поддерживает SysV-скрипты. Проверьте свои /etc/init.d

Коллеги, 15 октября состоялся релиз Ubuntu 26.10 «Stonking Stingray». Главное для серверов — не десктопный GNOME, а низкоуровневые изменения в подсистеме инициализации systemd.

📌 ФАКТЫ
Ядро Linux 7.3 (стартовый пакет собран на 7.3-rc6), поддержка 9 месяцев — до июля 2027

systemd 261 убрал поддержку SysV-скриптов (/etc/init.d/*)

Rust coreutils (uutils): в 26.10 на них переведены и cp, mv, rm

OpenSSL 4: Encrypted Client Hello, расширенный QUIC, улучшения постквантовой криптографии

dbus-broker вместо dbus-daemon, Sequoia PGP в main, вход через authd с паролем Microsoft и MFA

🛠 НАЙТИ СЛУЖБЫ НА SYSV-СКРИПТАХ
Bash

# Службы, которые systemd сейчас генерирует из /etc/init.d
for u in $(systemctl list-unit-files --type=service --no-legend | awk '{print $1}'); do
  systemctl show -p SourcePath --value "$u" | grep -q '^/etc/init.d/' && echo "$u"
done

Обычно туда попадают старые агенты мониторинга и бэкапа, ПО железа (RAID, ИБП), самописные демоны. На 26.10 они просто не запустятся.

💡 В ЧЁМ СУТЬ

26.10 — промежуточный релиз, на продакшен ставить не обязательно. Но это предупреждение: изменения из него придут в следующую LTS. Переписать init-скрипт на unit-файл — 15 минут. Делать это сейчас дешевле, чем после обновления.

#linux #ubuntu #systemd #migration #sysadmin #admin_future

🧠 Skills: Rust coreutils добрались до cp, mv и rm. Как проверить, что ваши скрипты не сломаются

Коллеги, навык выходного дня — короткий и полезный.

📌 ФАКТЫ
В Ubuntu 26.04 LTS большинство утилит coreutils уже работает на uutils (переписаны на Rust)

В 26.10 к ним добавились самые «опасные» в скриптах: cp, mv, rm

Цель Canonical — безопасность памяти. Но любая переписанная утилита может по-другому обрабатывать редкие флаги, сообщения об ошибках и граничные случаи

🛠 ЧЬИ У ВАС УТИЛИТЫ
Bash

cp --version | head -1        # «uutils coreutils» или «GNU coreutils»
ls -l "$(command -v cp)"      # куда ведёт бинарь

🛠 ПРОГОН СКРИПТОВ В КОНТЕЙНЕРЕ
Bash

# Чистая 26.10 рядом, ничего не ломая на сервере
docker run --rm -it -v "$PWD/scripts:/scripts:ro" ubuntu:26.10 bash
# внутри: прогоняем скрипты на тестовых данных
bash -x /scripts/backup.sh

⚠️ НА ЧТО СМОТРЕТЬ
Парсинг вывода ls, df, du, stat через awk/cut — формат может отличаться

Проверки по тексту ошибок (grep 'No such file')

Редкие флаги cp (--reflink, --preserve=..., --sparse)

💡 В ЧЁМ СУТЬ

Хороший скрипт проверяет код возврата, а не текст в выводе. Если скрипт ломается от смены реализации

ls

, значит, он и так был хрупким. Повод переписать его на

find -printf

или

stat -c

с явным форматом.

#skills #linux #bash #ubuntu #rust #coreutils #sysadmin #admin_future

🚨 PwnEscape (CVE-2026-99999): побег из ВМ на хост KVM через virtio-net. Proxmox уже выпустил исправленное ядро

Коллеги, понедельник. Если у вас Proxmox или любой KVM — это пост номер один на неделю.

📌 ФАКТЫ
Уязвимость ядра Linux в обработке virtio-net и TAP в KVM

Последствия: утечка памяти хоста, его падение или выполнение кода на хосте из гостевой ВМ

CVSS: Linux CNA/NVD — 9.3, Red Hat — 8.8. Оценки привилегий в госте расходятся: от «любая нагрузка, отправляющая трафик» до «нужен root в госте»

В KEV пока нет, эксплуатация в дикой природе не подтверждена. Утечку памяти показали в продакшене Vercel

Обходного решения нет, только обновление ядра и перезагрузка

Исправлено:

Plaintext

Proxmox VE : proxmox-kernel-7.0.14-24-pve (PSA-2026-00068-1)
Debian 13  : 6.12.113-1 (DSA-6568-1)
Debian 12  : 6.1.190-1  (DLA-4841-1)
Upstream   : 6.1.190 · 6.6.159 · 6.12.113 · 6.18.57 · 7.2.11

🛠 PROXMOX: ОБНОВЛЕНИЕ БЕЗ ПРОСТОЯ
Bash

# 1. Проверяем текущее ядро и версию PVE
uname -r && pveversion -v | grep -E 'kernel|manager'

# 2. Выкачиваем патчи
apt update && apt full-upgrade

# 3. Уводим ВМ с узла, ребутаем хост, возвращаем — узел за узлом
qm migrate <VMID> <NODE> --online

💡 В ЧЁМ СУТЬ

Граница между ВМ и хостом — главное обещание виртуализации. Если на одном хосте живут ВМ разной степени доверия (клиентские, тестовые, DMZ), обновляйтесь в первую очередь. Live migration делает это без простоя — ради таких дней её и настраивают.

#security #proxmox #kvm #virtualization #linux #cve #sysadmin #admin_future

🐧 Linux 7.3 вышел — вероятная LTS-версия. Что в нём полезного для серверов

Коллеги, 18 октября Линус Торвальдс представил релиз ядра Linux 7.3. По традиции осенних релизов ожидается, что именно эта ветка получит статус долгосрочной поддержки (LTS).

📌 КЛЮЧЕВЫЕ ИЗМЕНЕНИЯ ДЛЯ СЕРВЕРОВ
Хранилища и ФС:

Оптимизирована параллельная прямая запись (direct I/O) и системный вызов fallocate() в ext4.

Ускорены мелкоблочные direct-чтения в ext4 и XFS: в синтетических тестах Bytedance на пуле быстрых NVMe Gen5 зафиксирован рост с 1,92 до 2,19 млн IOPS.

Время выполнения fsync в Btrfs сокращено до 5 раз в сценариях с частой фиксацией метаданных.

Планировщик CPU: переработан механизм распределения процессорного времени внутри cgroup для предотвращения «залипания» интерактивных и высокоприоритетных задач под тяжелым фоновым троттлингом. Новый сбалансированный режим concur включен по умолчанию (доступен откат к legacy-поведению).

Сетевой стек: поддержка Big TCP расширена на оверлейные туннели VXLAN и GENEVE — критично для высоконагруженных SDN-фабрик и оверлейных сетей Kubernetes/OpenStack (снижение оверхеда на обработку пакетов при 100G+ линках).

Виртуализация: гипервизор KVM научился эффективно детектировать и маркировать «холодную» (неиспользуемую) память гостевых ВМ для прозрачного освобождения хостовых страниц.

Файловый доступ: модуль ядра ksmbd получил нативную поддержку расширений для резервного копирования Apple Time Machine по SMB.

Низкоуровневый ввод-вывод: флаг RWF_DONTCACHE адаптирован для прямых операций с блочными устройствами; добавлены буферные пулы и поддержка zero-copy для FUSE через интерфейс io_uring.

Устаревание: режим монтирования data=journal в ext4 официально помечен как deprecated (полное удаление запланировано на 2028 год).

🛠 СРОКИ ПОЯВЛЕНИЯ В ДИСТРИБУТИВАХ
Ubuntu 26.10: релизный апдейт ядра прилетит через стандартные репозитории в ближайшие недели (стартовала с -rc6).

Ubuntu 26.04 LTS: через стек HWE (Hardware Enablement) в начале 2027 года.

Debian и Proxmox VE: по графику включения в тестовые и стабильные ветки (ветка Proxmox 9).

Bash

# Проверка текущего запущенного ядра на хосте
uname -r

💡 В ЧЁМ СУТЬ

Если 7.3 окончательно утвердят в качестве долгосрочной LTS-ветки, именно это ядро станет фундаментом для корпоративных дистрибутивов и гипервизоров на ближайшие несколько лет.

На хостах с высокой плотностью контейнеров (LXC, Docker, K8s) обратите особое внимание на поведение нового cgroup-планировщика под пиковой нагрузкой — распределение CPU-квот может стать заметно более агрессивным к фоновым воркерам.

#linux #kernel #lts #storage #performance #sysadmin #admin_future

📮 Zimbra: эксплуатируемая уязвимость без участия пользователя, если установлен SNMP-пакет. Патч вышел ещё в июле

Коллеги, среда. Zimbra в России стоит у многих — проверяем.

📌 ФАКТЫ (Microsoft Threat Intelligence)
CVE-2026-73570 — уязвимость в Zimbra Collaboration Suite, атака возможна без учётной записи и без действий получателя

Условие: установлен необязательный пакет zimbra-snmp и включены SNMP-уведомления

Исправлено в Zimbra 10.1.20 (20 июля 2026). Первые попытки атак Microsoft видела уже в конце июля — после патча, но до публичного раскрытия

После взлома атакующие ставили JSP веб-шеллы, меняли PAM/sudo для повышения прав, создавали замаскированную службу zimlog.service и охотились за секретами аутентификации Zimbra

🛠 ПРОВЕРКА
Bash

su - zimbra -c 'zmcontrol -v'                    # версия
rpm -qa | grep zimbra-snmp || dpkg -l | grep zimbra-snmp
systemctl list-unit-files | grep -i zimlog       # подозрительная служба
grep -rn pam_exec /etc/pam.d/                    # неожиданные хуки PAM

🛡 ПЛАН
Обновиться до 10.1.20+

Если обновить сейчас нельзя — удалить zimbra-snmp и выключить SNMP-уведомления

Проверить JSP-файлы, службы systemd и sudo на неожиданные изменения

При находках — сменить секреты аутентификации Zimbra и пароли администраторов

💡 В ЧЁМ СУТЬ

Необязательные пакеты, которые поставили «на всякий случай», увеличивают поверхность атаки. Не используете SNMP-мониторинг Zimbra — пакету не место на сервере.

#zimbra #mail #security #linux #sysadmin #admin_future

🧠 Skills: nginx 1.30.6 и 1.31.7 закрыли 5 уязвимостей. Проверяем, задевают ли они ваш конфиг, одной командой

Коллеги, навык дня — аудит конфигурации nginx перед обновлением.

📌 ФАКТЫ (nginx.org, 14 октября)
Исправления в 1.30.6 (stable) и 1.31.7 (mainline). F5 выпустила внеплановые обновления и для NGINX Plus

Затронутые места:

alias вместе с rewrite — переполнение буфера

вычисление строковых выражений с переменными — переполнение буфера

HTTP/3 — внедрение в тело запроса

ротация ключей TLS session tickets — подделка сессии

ngx_http_ssi_module вместе с AIO — use-after-free

Отдельно обновлён njs 1.0.2 (разбор XML)

🛠 ПРОВЕРКА
Bash

nginx -v
# Полный эффективный конфиг — ищем рискованные сочетания
nginx -T 2>/dev/null | grep -nE '^\s*(alias|rewrite|ssi on|aio|ssl_session_ticket_key|listen .*quic|http3)'

Пусто — риск ниже, но обновиться всё равно стоит. Есть совпадения — обновляемся в первую очередь.

Bash

apt update && apt install --only-upgrade nginx    # из репозитория nginx.org
nginx -t && systemctl reload nginx

💡 В ЧЁМ СУТЬ
nginx -T

— недооценённая команда: она показывает итоговый конфиг со всеми include. Её вывод полезно хранить в git после каждого изменения — так видно, что и когда поменялось.

#skills #nginx #webserver #linux #security #sysadmin #admin_future

🧠 Skills: видит ли ваш сервер ошибки ECC-памяти? Повод проверить — из Linux 7.4 убирают старые EDAC-драйверы

Коллеги, навык про железо, о котором обычно вспоминают только после «необъяснимых» падений серверов и внезапных kernel panic.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удаляются устаревшие EDAC-драйверы для платформ: Intel 975X, X38, 3200/3210 и AppliedMicro X-Gene (Ampere eMAG)

Мейнтейнер подсистемы Borislav Petkov (AMD) объяснил причину прямо: на фоне «лихорадки сгенерированных ИИ патчей» legacy-код становится прямой угрозой стабильности — тестировать входящие правки для древнего кремния физически не на чем

EDAC (Error Detection and Correction) — ключевая подсистема ядра Linux, собирающая телеметрию контроллеров памяти об исправленных (CE) и неисправимых (UE) аппаратных сбоях RAM

🛠 ПРОВЕРКА В СИСТЕМЕ
Bash

# Проверяем, зарегистрированы ли контроллеры памяти в sysfs (пусто = ядро не видит EDAC)
ls /sys/devices/system/edac/mc/

# Быстрое чтение счётчиков ошибок по всем контроллерам:
grep -H . /sys/devices/system/edac/mc/mc*/{ce_count,ue_count} 2>/dev/null

# Современный вариант через демон RAS (Reliability, Availability, Serviceability):
apt install rasdaemon && systemctl enable --now rasdaemon
ras-mc-ctl --summary
ras-mc-ctl --errors

⚠️ КАК ИНТЕРПРЕТИРОВАТЬ ВЫВОД
Счётчик CE (Correctable Errors) стабильно растёт на конкретном канале/диме — ячейки модуля деградируют. Планка ещё жива за счёт ECC-коррекции, но модуль пора отправлять под замену по RMA

UE (Uncorrectable Errors) > 0 — случился фатальный битфлип, который алгоритм исправить не смог. Возможна тихая порча данных в памяти или падение хоста

Каталог /sys/.../edac/mc/ пуст — аппаратная коррекция на уровне BIOS/BMC может работать, но ОС о событиях «вслепую» не знает. В таком случае смотрим аппаратный SEL через IPMI:

Bash

ipmitool sel elist | grep -i -E 'memory|ecc'

💡 В ЧЁМ СУТЬ

Исправимые ошибки (CE) — это заблаговременный индикатор скорой смерти планки RAM: модуль может неделями тихо сыпать счётчиком, пока сервер не словит первый неисправимый краш посреди рабочего дня.

Заведите опрос

ce_count

или трапы

rasdaemon

в Zabbix/Prometheus — это копеечный по ресурсам мониторинг, спасающий от внезапных падений гипервизоров и СУБД.

#skills #linux #hardware #ecc #monitoring #zabbix #sysadmin #admin_future

🛠 Multipass 1.17: Debian и Fedora в одну команду, симуляция «падения зоны» и работа даже на Windows Home

Коллеги, инструмент для быстрых тестовых ВМ — когда нужно проверить скрипт или обновление, не трогая прод.

📌 ФАКТЫ (релиз 19 октября)
Multipass от Canonical — лёгкие ВМ из облачных образов одной командой

В 1.17 добавлены официальные образы Debian и Fedora — раньше была только Ubuntu

Зоны доступности: ВМ раскладываются по трём зонам с отдельными подсетями. Зону можно «выключить» и посмотреть, как сервис переживёт её отказ

Windows: новый драйвер на API HCS — работает на всех редакциях, включая Home. Драйверы Hyper-V и VirtualBox объявлены устаревшими

macOS: превью драйвера на Apple Virtualization framework

🛠 БЫСТРЫЙ СТАРТ
Bash

multipass find                         # доступные образы
multipass launch <образ> --name test1 --cpus 2 --memory 2G --disk 20G
multipass shell test1
multipass transfer ./script.sh test1:/tmp/
multipass delete test1 && multipass purge

Bash

# Симуляция отказа зоны
multipass zones
multipass launch <образ> --name app1 --zone <имя-зоны>
multipass disable-zones <имя-зоны>     # ВМ зоны становятся недоступны
multipass enable-zones <имя-зоны>

💡 В ЧЁМ СУТЬ

Тестовая ВМ за 30 секунд убирает соблазн «проверить прямо на сервере». А зоны позволяют на ноутбуке отрепетировать то, что обычно проверяют только во время настоящей аварии.

#tools #multipass #virtualization #testing #linux #sysadmin #admin_future

📨 Уязвимости ядра Linux по ошибке попали в публичную рассылку. Две из них — RCE с CVSS 9.0 в SMB-коде ядра

Коллеги, история, которая напрямую касается ваших файловых серверов на Linux.

📌 ФАКТЫ
22 октября Zero Day Initiative (Trend Micro) отправила отчёты о шести уязвимостях не в закрытый список безопасности ядра, а в публичную LKML. Судя по всему, по ошибке

Самые серьёзные — удалённое выполнение кода с CVSS 9.0 в SMB Direct и во встроенном SMB-сервере ядра ksmbd

Остальные — повышение привилегий (сетевой код, драйвер VMware vmwgfx и др.) и утечка информации (NVMe target)

На момент публикации исправлений в основном ядре нет: для части уже готовятся патчи

🛠 ЗАДЕВАЕТ ЛИ ВАС
Bash

# ksmbd — модуль ядра, не путать с обычной Samba (smbd)
lsmod | grep -E 'ksmbd|smbdirect'
systemctl status ksmbd 2>/dev/null | head -3

# Кто слушает 445 порт
ss -ltnp | grep ':445'

Пусто или процесс smbd — у вас классическая Samba, ksmbd не используется

Если ksmbd включён и не нужен — выгрузите модуль и запретите его загрузку до выхода патчей

Bash

modprobe -r ksmbd
echo 'install ksmbd /bin/false' > /etc/modprobe.d/disable-ksmbd.conf

💡 В ЧЁМ СУТЬ

Пока патчей нет, работает только сокращение поверхности атаки. SMB-порт никогда не должен смотреть в интернет, а модули ядра, которыми вы не пользуетесь, лучше не загружать вовсе.

#linux #kernel #smb #ksmbd #security #sysadmin #admin_future

🔐 OpenSSL 4.1 вышел: DTLS 1.3, оптимизации постквантовой криптографии и четыре известных бага в DTLS

Коллеги, понедельник. Разбираем свежий релиз библиотеки, который в скором времени доберётся до репозиториев дистрибутивов.

📌 ЧТО НОВОГО
DTLS 1.3 (RFC 9147) и поддержка датаграмм в едином SSL listener API

Постквантовые алгоритмы (PQC): существенное ускорение ML-KEM и ML-DSA благодаря векторизации AVX-512 на x86_64 и NTT-оптимизациям для архитектуры ppc64le

Ускорена расшифровка блочного шифра AES-CBC на x86_64 связкой инструкций AVX-512 + VAES

Реализован механизм GREASE (RFC 8701) для предотвращения закостеневания протоколов, добавлен KDF для IKEv2 (IPsec) и первичная поддержка отечественной архитектуры Эльбрус 2000 (e2k)

🗑 ЧТО УБРАЛИ И СЛОМАЛИ
Опции сборки ./config no-ecdsa и no-ecdh удалены: исторически они не отключали реализацию полностью; теперь эллиптические кривые выключаются строго целиком через no-ec

Окончательно вычищены таргеты сборки под устаревшие платформы: Windows на базе Itanium (IA-64) и Windows CE

Утилита меток времени tsget переведена с заброшенного Perl-модуля WWW::Curl::Easy на Net::Curl::Easy (без установки зависимости утилита перестанет работать)

⚠️ ИЗВЕСТНЫЕ ПРОБЛЕМЫ В РЕЛИЗЕ
Команда OpenSSL открыто опубликовала список из четырех известных багов в новой реализации DTLS:

#32878: Сброс неподтверждённых post-handshake пакетов (включая NewSessionTicket) из буфера ретрансмиссии при получении DTLS 1.3 KeyUpdate.

#33277: Постоянный сбой приёма на DTLS listener может возвращать SSL_ERROR_WANT_READ, загоняя приложение в бесконечное ожидание.

#33278: Временная ошибка записи на неблокирующем соединении репортится как фатальный SSL_ERROR_SYSCALL вместо SSL_ERROR_WANT_WRITE, из-за чего софт может рвать рабочие сессии.

#33242: Обрыв рукопожатия DTLS 1.3 алертом unexpected_message при частичной потере пакетов и повторном ACK.

🛠 АУДИТ ВЕРСИИ В ОКРУЖЕНИИ
Bash

# Текущая версия и параметры сборки OpenSSL
openssl version -a | head -2

# Проверяем, с чем слинкован ваш веб-сервер / балансировщик
ldd "$(command -v nginx)" 2>/dev/null | grep -E 'libssl|libcrypto'

💡 В ЧЁМ СУТЬ

Для классического веб-стека (TLS поверх TCP/QUIC) ветка 4.1 сохраняет полную обратную совместимость на уровне ABI/API с 4.0.

Однако для сервисов, критично завязанных на датаграммный DTLS (корпоративные VPN со шлюзами на UDP, AnyConnect-совместимые туннели, SIP, WebRTC и телеметрия), с миграцией на 4.1.0 стоит повременить до выхода корректирующего релиза 4.1.1 с исправлением логики ретрансмиссии и listener-ошибок.

#openssl #tls #dtls #crypto #linux #sysadmin #admin_future

🦀 systemd разрешил компоненты на Rust. Первым будет systemd-keyring-setup

Коллеги, интересное из мира Linux — продолжение тренда «Rust в базовой системе».

📌 ФАКТЫ
В кодовую базу systemd влита поддержка сборки отдельных утилит и компонентов на Rust в дополнение к C. Изменения войдут в релиз systemd 263

Ядро systemd (PID 1 и общая библиотека libsystemd) целиком остаётся на классическом C

Интеграция сделана опциональной: флаг сборки Meson -Drust=, по умолчанию выставлен в auto. Сборка завязана на Meson без прямого вызова Cargo

Переписывать существующий рабочий C-код разработчики не планируют

Первый пилотный компонент — systemd-keyring-setup: отвечает за раннюю инициализацию системных связок ключей ядра (keyrings) и регистрацию X.509-сертификатов для валидации dm-verity, fs-verity и подписанных BPF-программ

📊 ОБЩИЙ КОНТЕКСТ В ЭКОСИСТЕМЕ
В Ubuntu 26.10 завершен перевод ключевых утилит на Rust coreutils (uutils)

В планах Ubuntu 27.04 — переход на синхронизацию времени через ntpd-rs по умолчанию

В ядро Linux 7.4 заявлено уже более 17 тыс. строк новой инфраструктуры и драйверов на Rust

🛠 АДМИНУ НА ПРАКТИКЕ
Bash

# Проверяем версию systemd на хосте
systemctl --version | head -1

Для повседневной эксплуатации формат работы не меняется: привычные unit-файлы, синтаксис systemctl, journalctl и поведение демонов остаются прежними.

💡 В ЧЁМ СУТЬ

Rust внедряется точечно — в изолированные утилиты, работающие на стыке криптографии, ключей и ранней загрузки, где уязвимости повреждения памяти несут максимальный риск.

Для продакшена это шаг к сокращению privilege escalation векторов в low-level компонентах, а для тех, кто собирает минималистичные кастомные дистрибутивы из исходников, — сигнал готовить тулчейн

rustc

в сборочном окружении.

#linux #systemd #rust #opensource #sysadmin #admin_future

🦀 Из ядра Linux удалили драйвер на C — его полностью заменила версия на Rust. Впервые для кода, работающего на миллиардах устройств

Коллеги, исторический рубеж в разработке ядра Linux 7.4.

📌 ФАКТЫ
В ветке Linux 7.4 окончательно удалена C-реализация IPC-драйвера Binder от Google — ключевого механизма межпроцессного взаимодействия, на котором построена вся архитектура Android

Единственной и основной реализацией становится Binder на Rust

Мейнтейнер стабильной ветки Грег Кроа-Хартман (Greg Kroah-Hartman) в мерж-реквесте отметил: «Удаление C-кода Binder: версия на Rust показала стабильность и будет использоваться дальше на миллиардах устройств»

Инженеры Google неоднократно подчёркивали, что поддержка и рефакторинг исходного кода на C с ручным управлением ресурсами и блокировками стали «болезненными в сопровождении» и источником постоянных гонок данных

📊 ТРЕНД ЗА ОКТЯБРЬ В КАНАЛЕ
Дистрибутив Ubuntu 26.10 полностью завершил миграцию базовых утилит на Rust coreutils (uutils)

Проект systemd официально разрешил разработку сервисных компонентов на Rust (пилотный systemd-keyring-setup)

В релиз ядра Linux 7.4 суммарно влито свыше 17 тыс. строк инфраструктуры и драйверов на Rust

И главный шаг: от сосуществования перешли к полной замене боевого C-компонента критического уровня

🛠 АУДИТ ПОДДЕРЖКИ RUST В ТЕКУЩЕМ ЯДРЕ
Bash

# Проверяем флаг сборки подсистемы Rust в рабочем ядре
grep -E '^CONFIG_RUST=' /boot/config-$(uname -r) 2>/dev/null || echo "Rust не включён"

💡 В ЧЁМ СУТЬ

До этого момента присутствие Rust в апстриме ядра воспринималось как осторожный эксперимент «в песочнице» рядом с неприкасаемым кодом на C.

Полный снос старого C-драйвера, обеспечивающего работу миллиардов Android-устройств, меняет статус Rust: это больше не факультатив, а production-ready стандарт для критических узлов. Для серверной инфраструктуры в долгосрочной перспективе это закрывает целый пласт kernel-level уязвимостей классов use-after-free, double free и гонок за память.

#linux #kernel #rust #android #opensource #sysadmin #admin_future