В telnet нашли уязвимость с root-доступом в одну строку — она скрывалась в коде 11 лет

В telnetd (GNU InetUtils) нашли опасную уязвимость CVE-2026-24061 (CVSS 9.8). С мая 2015 года переменная USER='-f root' пропускает пароль и даёт root-доступ.

В чём опасность

Баг живёт 11 лет с релиза 1.9.3. Атака до аутентификации, без брутфорса. GreyNoise видит сканирование с 21+ IP. Telnet-сервера до сих пор в проде и доступны из интернета.

Что делать

🔘 Отключить telnetd
🔘 Обновить GNU InetUtils
🔘 Заменить на SSH
🔘 Закрыть 23/TCP для всех, кроме доверенных IP

Telnet мёртв и пора его хоронить?

🔄 Артефакт №1. Категория: «Город» 🔄

От кого только не прилетает самокатчикам. Иногда за дело, иногда нет. Не нам судить, но мы обсудим, что делать, например, с явными нарушителями? Как их контролировать, если операторы кикшеринга не пускают в свои данные? Закрывать глаза на хаос на тротуарах или тотально запрещать?

Мы получили кейс, где за 4 месяца команда из 7 человек создала платформу мониторинга, которая фиксирует самокатовские нарушения. Их задачей было сделать инструмент для структурирования данных, чтобы чиновники и операторы нашли общий язык.

🤩 Что скрывает этот артефакт? 🤩
🤩 Смекалистый метод охоты за данными, когда реальные видео с камер недоступны.
🤩 Принципы, которые помогли сделать мониторинг более объективным.
🤩 Гибридный R&D: тактика, которая помогла запустить MVP за четыре месяца, вместо шести.

Планируем поделиться с вами целой пачкой интересных артефактов. Ставьте 👀, если любопытно узнать их все.

NanoLang — язык программирования, созданный для ИИ

Сооснователь FreeBSD Jordan Hubbard выпустил язык, специально заточенный под генерацию кода нейросетями.

Зачем новый язык?

LLM часто ошибаются из-за неоднозначностей синтаксиса. NanoLang решает это радикально:

🔘 Префиксная нотация — никакого приоритета операторов. (+ a (* b c)) всегда читается однозначно
🔘 Обязательные тесты — каждая функция требует shadow-блок с проверками. Код без тестов не компилируется
🔘 Транспиляция в C — нативная производительность на выходе
🔘 18 ключевых слов против 32 в C — минимум синтаксиса для LLM

Simon Willison уже протестировал: Claude Opus с первого раза не скомпилировал код, но с Claude Code и доступом к примерам — справился.

Компилятор уже компилирует сам себя и готов к использованию. Версия 2.0.14.

⚪️ Артефакт №2. Категория «Дизайн» ⚪️

Дашборд — это скучно до того момента, пока к его визуализации не подключат гигантский экран.

Сегодняшняя история о команде, которая превратила обычную статистику посещения фестиваля в генеративное шоу. Их задача звучала как вызов: сделать так, чтобы было невозможно оторвать глаз от дашбордов.

Так они создали интерактивную инсталляцию, где посетители, сами того не зная, становились частью цифрового арт-объекта.

🤩 Что скрывает этот артефакт? 🤩
🤩 Способ связки 40 потоков с YOLO v8, PostgreSQL и движок визуализации без лагов в один конвейер.
🤩 Задачу дедубликации тысяч JSON-записей от нейросетей.
🤩 Борьбу с «сырыми» данными от камер и их преобразование в чистую структуру для базы и красивого рендера.

Следующий артефакт представит категорию «Виртуализация». Не пропустите.

Git Shitstorm: как устроить кошмар наяву любому разработчику

Знаете это ощущение, когда баги появляются из ниоткуда и никто не может объяснить, откуда они взялись?

Разработчик Einenlum создал инструмент Git Shitstorm — он незаметно портит git-историю коллеги.

Как это работает

Пока сосед по офису отошёл, скачиваете бинарник и добавляете alias:
alias git="git-shitstorm && git"

В 90% случаев ничего не происходит. Но в оставшиеся 10%:
1. Берёт случайные строки из случайной ветки
2. Вставляет их в файл другой ветки
3. Коммитит от имени автора

А вот настоящий кошмар: каждый раз, когда разработчик пытается разобраться через git, он рискует усугубить хаос. Ужастик написан на Go, работает за 15–80 мс — никакой заметной задержки.

📎 github.com/einenlum/git-shitstorm

Трюк выполнен профессионалами, не повторяйте дома. Или в офисе. Ну или как минимум без разрешения.

Когда OpenAI выпускает продукт как у тебя, остаётся только открыть код

Представьте, что вы месяцами пилите проприетарный продукт: ИИ для работы с научными статьями. Трекшена нет, деньги заканчиваются. И тут OpenAI объявляет свой бесплатный Prism. А ваш проект не просто решает похожие задачи, а ещё и называется... Prismer.

Что делать?

Команда Prismer выбрала неочевидный путь: выложила весь код на GitHub и перешла к модульной архитектуре. И теперь в опенсорсе есть платформа для исследователей, которая закрывает весь цикл академической работы: от чтения статей до публикации своих.

📎 github.com/Prismer-AI/Prismer

Там такие компоненты (все под MIT и работают независимо):

— Paper Reader. AI-читалка PDF с графами цитирования и синхронным просмотром нескольких документов

— Context Cloud. Облачное хранилище контекста с SDK, чтобы подключать к своим проектам

— LaTeX-редактор. С live preview и шаблонами IEEE, ACM, Nature, arXiv

— Data Analysis. Jupyter-ноутбуки с выполнением Python/R прямо в браузере

— Multi-Agent System. Оркестрация специализированных AI-агентов для исследований

Киллер-фича: верификация цитат

LLM-ки галлюцинируют ссылки, это известная проблема. Prismer решает её через Reviewer Agent, который проверяет каждую ссылку по академическим базам (arXiv, Semantic Scholar, CrossRef) до того, как она попадёт в статью.

А что OpenAI Prism?

По сравнению с Prismer — только LaTeX-редактор. Ни чтения статей, ни выполнения кода, ни верификации цитат, ни self-hosted, ни open source.

Непонятно, есть ли шанс у специализированных инструментов рядом с монстрами вроде OpenAI, но хочется верить.

💎 Артефакт №3. Категория: «Виртуализация» 💎

Что такое импортозамещение на практике? Это сборка инфраструктурного пазла из кусочков разных вендоров, которые с трудом мэтчатся друг с другом. Другими словами — головная боль.

На помощь российским компаниям пришел ПАК виртуализации, где и аппаратная, и программная части созданы, производятся и сопровождаются одной компанией. И о нем наш пятничный кейс.

У команды получилось решение, где архитектура изначально спроектирована так, что добавление нового сервера автоматически увеличивает и вычислительную мощность, и объём хранилища, и отказоустойчивость.

🤩 Что скрывает этот артефакт? 🤩
🤩 Принцип «единой ответственности»: как свести в одну точку разработку железа, софта и поддержки, чтобы не приходилось искать крайнего.
🤩 Экономику гиперконвергенции, при которой стоимость инфраструктуры сокращается на 35-40%.
🤩 Среду для миграции виртуальных машин без остановки бизнеса.

А мы уже ушли серчить следующий кейс 👀

Проект студентов, который дошел до продакшена: как ИИ внедрили в «Петергоф»

Студенты совместного факультета НИУ ВШЭ и Яндекса создали ИИ-инструменты для самого посещаемого музея в стране. Причём не в формате эксперимента — решения уже используют сотрудники комплекса.

Зачем музею ИИ?

«Петергофу» нужно работать не только с экспозицией, но и с большими объемами данных: научные тексты, архивные материалы, отзывы посетителей с разных онлайн площадок. Раньше поиск информации в архивах и разбор обратной связи требовали много ручной работы и времени. Под эти задачи студенты разработали ИИ-инструменты, которые сняли рутинную нагрузку с сотрудников и уже помогают музею развиваться.

Что сделали студенты:

🔘 Научный ИИ-помощник
Он осуществляет поиск по корпусу исследовательских материалов музея в формате чат-бота. Сотрудник задает вопрос и за считанные минуты получает ответ со ссылками на источники — вплоть до конкретных страниц.

🔘 Платформа для анализа отзывов
Собирает обратную связь посетителей с онлайн-площадок, группирует ее и показывает сводную аналитику: по датам, оценкам, тональности, источникам и другим параметрам. Это позволяет быстрее реагировать на отзывы и учитывать их в развитии музея.

Пора хвастаться!

Расчехляем проекты 🐈

Успеваете вообще что-то делать, так сказать, для души?

🌍 Артефакт №4. Категория: «Сообщества» 🌍

Когда конференции превращаются в дорогие маркетинговые шоу, где найти место для чистого обмена опытом?

В комьюнити, которое создается профессионалами для профессионалов. В этой истории команда из 10 человек за 3 месяца создала то, чего не хватало сообществу — бесплатную, независимую техническую конференцию для K8s-сообщества.

Так возник Kuber Community Day, в котором сообщество продолжило жить после финального доклада.

🤩 Что скрывает этот артефакт? 🤩
🤩Способы привлечь первых спикеров из топовых компаний.
🤩Тактику создания резервного пула и оперативной замены спикеров без потери качества программы.
🤩Формулу бесплатного ивента.

Продолжаем отыскивать любопытные артефакты. Вечером будут уже знакомые ребята, но с новым кейсом. Узнаете в 19 часов!

Артефакт №5. Категория: «Мониторинг»

Мониторинг сотен серверов и рабочих станций обычно означает агентов на каждом устройстве, лаги в данных и десяток разных консолей. А если обойтись без этого, получать данные в реальном времени и управлять всем из одного интерфейса?

Нужна система, которая дает полную observability через стандартные интерфейсы управления, и она есть у нас. Она подключается к оборудованию по протоколам — Redfish, IPMI, SNMP, Prometheus — и не требует установки софта на целевые хосты.

🤩Техническая сторона артефакта 🤩
🤩Отказ от агентов.
🤩Данные в реальном времени.
🤩Гибкие алерты на PromQL вместо примитивных пороговых значений.
🤩KVM через браузер с обходом ограничений CORS для прямого доступа к консоли сервера на аппаратном уровне.

Что скрывает этот артефакт?
Лучше читайте сами.

Ваши предположения, какой будет тематика следующего артефакта?