Обнаружена 0-day-уязвимость в службе Remote Access Connection Manager (RasMan) Windows, позволяющая вызывать отказ в обслуживании и повышение привилегий; официального патча Microsoft пока нет, но Acros Security выпустила временное исправление на платформе 0patch.
Обнаружена 0-day-уязвимость в RasMan. Пока доступен только неофициальный патчВ Windows обнаружена новая уязвимость нулевого дня в службе Remote Access Connection Manager (RasMan), которую можно использовать для провоцирования отказа в обслуживании и дальнейших атак с повышением привилегий. Пока разработчики Microsoft еще не выпустили официальный патч, но специалисты Acros Security уже подготовили бесплатное временное исправление на своей платформе 0patch.https://xakep.ru/2025/12/15/rasman-flaw/
Читать полностью
Пост рассказывает об истории французского дирижаблестроения, от первых концепций до технологического прорыва в середине XIX века.
История дирижаблей. Часть вторая. Рождение и смерть французского дирижаблестроенияКонцепция управляемого аэростата возникла во Франции эпохи Просвещения почти одновременно с первыми полётами. Однако инженерная мысль быстро упёрлась в технологический потолок: для манёвров не хватало тяги, а компактных двигателей ещё не существовало. Ранние попытки использовать мускульную силу или создать «воздушные бомбардировщики» (даже в 1812 году) неизменно заканчивались провалом.Ситуация изменилась лишь к сер...
Читать полностью
Apple выпустила экстренные патчи для двух уязвимостей нулевого дня в WebKit, которые уже эксплуатировались в целевых атаках.
Apple патчит баги в WebKit, которыми уже пользовались хакерыКомпания Apple выпустила экстренные патчи, которые исправляют две уязвимости нулевого дня. Разработчики предупредили, что эти баги уже использовались в «чрезвычайно изощренной атаке», нацеленной на конкретных людей.https://xakep.ru/2025/12/15/webkit-patches/
Читать полностью
Директор департамента "Норильского никеля" оценил средний
Средний ущерб промышленных компаний от корпоративного мошенничества составляет около 5% от их выручки, заявил директор департамента управления инвестиционными проектами безопасности и планирования «Норильский никель» Алексей МалинскийУчитывая вклад промышленности в ВВП в 50 трлн руб. в год, объемы корпоративного мошенничества в этой сфере могут достигать 1 трлн в годУщерб от атак на промышленные компании складывается как из прямых потерь, так и из последствий для операционной деятельностиTelegra...
Читать полностью
Обзор ретро-ноутбука Compaq Armada M300 с Pentium II и ATi Rage, его архитектуры и производительности в играх.
Мобильный гейминг 90-х: Pentium II и ATi RageВ 1999 году понятие «игровой ноутбук» звучало как фантастика, но Compaq Armada M300 стал исключением. Внутри субноутбука инженеры разместили не только Pentium II, но и дискретный ускоритель ATi Rage LT Pro с поддержкой шины AGP 2x и собственной видеопамятью.Архитектура устройства интересна модульной компоновкой и использованием северного моста Intel i440, общающегося с процессором через шину GTL+. Видеочип поддерживал трилинейную фильтрацию и аппаратн...
Читать полностью
В Kali Linux 2025.4 добавлены три новых инструмента, улучшения десктопа, предварительная версия Wifipumpkin3 в NetHunter и поддержка Wayland.
В Kali Linux 2025.4 добавили три новых инструментаРазработчики Kali Linux представили последний релиз в этом году — 2025.4. В эту версию вошли три новых инструмента, улучшения для десктопных окружений, предварительная версия Wifipumpkin3 в NetHunter, а также расширенная поддержка Wayland.https://xakep.ru/2025/12/15/kali-2025-4/
Читать полностью
Пост критикует круговые диаграммы за искажение восприятия данных, приводя примеры манипуляций с 3D и цветом, и рекомендует гистограммы как более точную альтернативу.
Геометрия лжи: почему круговые диаграммы стоит запретитьКруговые диаграммы остаются стандартом для презентаций, хотя специалисты по визуализации данных считают их «токсичным» активом. Проблема кроется в особенностях восприятия: мозг с трудом сравнивает углы и площади, особенно если сектора близки по размеру.Ситуация усугубляется модой на 3D и изометрию. Наклон плоскости — классический трюк манипуляторов: ближний сектор всегда кажется значительнее дальнего, даже если цифры говорят об обратном (им...
Читать полностью
Анонс дайджеста лучших публикаций недели на Habr, охватывающего темы перехода на IPv6, замены службы безопасности нейросетями, качества кода программистов, программирования на Си и исторических багов.
На прошедшей неделе мы расследовали, почему человечество уже 30 лет безуспешно пытается переехать на IPv6, заменяли службу безопасности нейросетями ради экономии миллионов, выясняли, почему отличные программисты пишут ужасный код, практиковали тёмную магию языка Си и с ностальгией вспоминали баги, которые уничтожали целые состояния.📝 Лучшие публикации недели (8-14 декабря 2025)#weeklydigest
Читать полностью
Пост описывает нестандартный подход к передаче видео в терминале с использованием кастомного движка BABE-T, UDP-транспорта и сжатия zstd, что позволяет достичь 30 FPS при низком битрейте.
Видео в терминале: свой кодек, UDP и 90 Кб/сПередача видеопотока в текстовом интерфейсе — задача, требующая нестандартной архитектуры. Классическая схема «JPEG/H.264 → сеть → распаковка → ASCII-преобразование» избыточна по ресурсам. Эффективнее исключить промежуточные этапы сжатия и формировать глифы сразу на стороне отправителя.Утилита say реализует именно такой подход. Под капотом — кастомный движок BABE-T, работающий с YCbCr-массивами и динамической палитрой на 256 цветов. Транспорт — UDP пов...
Читать полностью
Разбор причин перегрева мощных автомобильных зарядок на примере Essager: проблема в дешёвой стальной пружине, а не в транзисторах, что приводит к снижению реальной мощности.
Маркетинговые 80 Вт против законов физики: анатомия перегреваПроблема мощных автомобильных зарядок — в охлаждении. Смартфон может показывать индикацию Fast Charge, но реальный ток падает в разы по мере нагрева адаптера. Пользователь этого часто не замечает, списывая медленный заряд на случайность.Тестирование популярной модели Essager выявило неожиданное «узкое место»: корпус расплавился не из-за нагрузки на транзисторы, а из-за детали стоимостью в копейку. Стальная пружина сечением 0,6 мм на це...
Читать полностью
В статье анализируется запуск x86_64 бинарников на ARM (AArch64) через эму
x64 на ARM: миссия выполнима, но бессмысленна?Попытка запустить бинарники x86_64 на железе AArch64 — это всегда компромисс между скоростью и стабильностью. Существующие слои совместимости и эмуляторы предлагают разные подходы к трансляции инструкций, но накладные расходы часто делают результат непригодным для реальной работы.Рассмотрим технические способы скрещивания архитектур в среде Linux. Протестируем инструменты эмуляции, оценим потерю производительности и разберёмся, имеет ли этот процесс ...
Читать полностью
Ботнет AISURU достиг мощности 30 Tbps, атакуя Microsoft и Cloudflare, что сигнализирует о новой эре киберугроз, основанных на эксплуатации уязвимостей
30 Tbps в секунду: закат эпохи защищённого интернета?Конец 2025 года ознаменовался появлением угрозы нового класса. Ботнет AISURU последовательно пробил планку в 15, а затем и в 30 Tbps, атакуя инфраструктуру Microsoft и Cloudflare. Текущая динамика роста мощностей опережает возможности ввода нового защитного оборудования, превращая кибербезопасность в гонку на выживание.В основе «супероружия» — не столько количество заражённых IoT-устройств, сколько качественная эксплуатация уязвимостей нулевог...
Читать полностью
Пост объясняет вечернюю усталость сеньоров через механизм decision fatigue и предлагает снижать количество микро-выборов, перенося принципы кэширования и хардкода в жизнь.
Почему сеньоры «виснут» у холодильника: баг архитектуры мозгаК вечеру даже опытный инженер порой не способен выбрать ужин. Это не деградация, а срабатывание механизма Decision Fatigue. Префронтальная кора расходует ресурс на каждую операцию выбора одинаково — будь то пересборка микросервисов или поиск носков. Когда лимит транзакций исчерпан, включается ментальный троттлинг.Решение кроется в переносе принципов кэширования и хардкода в реальную жизнь. Снижение количества микро-выборов освобождает ...
Читать полностью
Аудит корпоративной SSO-системы выявил 4 уязвимости нулевого дня, включая логическую ошибку, позволяющую захватить аккаунт по ссылке.
Коробочное SSO: иллюзия безопасности и 4 уязвимости нулевого дняИнтеграция готовых Enterprise-решений для аутентификации часто воспринимается как закрытие вопроса безопасности. Однако аудит крупной инфраструктуры показал, что доверенный вендорский софт может стать главной точкой входа для атакующего. В ходе пентеста была выявлена цепочка критических багов в механизме распределения прав.Наиболее опасный сценарий — логическая ошибка, позволяющая осуществить полный захват корпоративного аккаунта че...
Читать полностью
Пост предупреждает, что поверхностное знание Git может привести к серьёзным проблемам в командной разработке (потеря данных, часы простоя), и призывает к пониманию логики системы вместо механического заучивания команд.
Git: цена ошибки и как её избежатьКажется, что базы Git достаточно каждому джуниору по умолчанию. Иллюзия рассеивается после первого случайного push --force в чужую ветку, когда на восстановление истории уходит весь рабочий день. Цена поверхностных знаний в командной разработке — часы простоя и риск потери данных.Вместо механического заучивания команд эффективнее разобраться в логике системы контроля версий. Это позволит не только отправлять код, но и исправлять последствия неудачных слияний без...
Читать полностью
Пост объясняет, когда и зачем в Go прибегают к ассемблеру — в задачах тяжёлой математики и криптографии, где компилятор неэффективен; ключевой вызов — архитектура AMD64 с
Go-ассемблер: когда компилятор бессиленВ подавляющем большинстве кейсов оптимизация на Go сводится к устранению лишних аллокаций. Но в задачах с тяжёлой математикой или криптографией иногда встречаются узкие места, где высокоуровневого кода недостаточно и приходится спускаться к «железу».Главный вызов здесь — архитектура AMD64. Из-за малого количества регистров любой промах мимо кэша или лишнее обращение к памяти нивелирует весь профит. Ручная оптимизация эффективна лишь тогда, когда вычисления ...
Читать полностью
Пост описывает техническое устройство банкоматов, включая устаревшее ПО (OS/2), криптографию (3DES) и нестандартные проблемы обслуживания (грызуны, замерзание).
[ХАБРААРХИВ]Банкомат изнутри: OS/2, ключи 3DES и мыши в диспенсереДля пользователя АТМ — это интерфейс выдачи наличных. Для инженера — сложный электромеханический комплекс, где лимит в 40 купюр продиктован физикой тракта, а замена пин-пада требует ввода криптографических ключей для синхронизации с хостом.За привычным экраном скрывается специфическая экосистема: от сервисных «белых карт» с правами супервизора до легаси-железа, которое приходилось отогревать феном зимой. Иногда причиной отказа ста...
Читать полностью
История трансформации бывшей лаборатории НИИ полимеров в производителя гелей для УЗИ: от выживания в 90-е на
Как выживали лаборатории: от советского наследия к современному заводуВ 90-е годы, когда рушились индустриальные связи, потребность в медицинских расходниках никуда не делась. На базе бывшей лаборатории НИИ полимеров команда энтузиастов запустила производство гелей для УЗИ. Работать приходилось на старых чешских реакторах, но продукт выигрывал у импорта за счёт качества и цены.Этот кейс — наглядный пример того, как «чистая наука» училась коммерции: от первых стихийных продаж до выстраивания сист...
Читать полностью
Пост рассказывает о преимуществах декларативного подхода к обработке массивов в JavaScript, предлагая заменить императивные циклы на более лаконичные и предсказуемые методы.
Массивы в JavaScript: уходим от императивных цикловЛенты новостей, списки товаров и чаты — всё это, по сути, наборы данных. Работать с ними через классические циклы зачастую неэффективно: код разрастается и становится сложным для восприятия. Декларативный подход, напротив, позволяет сфокусироваться на логике обработки, а не на механике перебора.Рассмотрим базовый инструментарий для манипуляции списками, который делает кодовую базу чище и предсказуемее. Разберём, как заменить громоздкие конструкц...
Читать полностью
ИТ-разработчик «Базис» завершил IPO по верхней границе ценового диапазона, став первым IPO в российской ИТ-отрасли за последний год. Президент «Ростелекома» отметил, что это первое IPO компании из периметра группы.
ИТ-разработчик «Базис» завершил IPO по верхней границе ценового диапазонаЦена размещения составила 109 руб. за акцию, рыночная капитализация — 18 млрд руб. Объем предложения — около 3 млрд руб.Торги под тикером BAZA начались с 10 декабря на Московской бирже, это первое IPO в российской ИТ-отрасли за последний годПрезидент «Ростелекома» Михаил Осеевский отметил, что это первое IPO компании из периметра группы и что публичный статус «Базиса» будет способствовать раскрытию справедливой стоимости «Р...
Читать полностью
Сравнение веб-серверов Nginx, Caddy и Apache для домашнего сервера с акцентом на прагматичный выбор по сценариям, а не на хайп.
Nginx, Caddy или Apache: прагматичный выбор для домашнего сервераТезис «Apache умер» звучит в профильных чатах регулярно, но для архитектуры домашней лаборатории хайп — плохой советчик. Выбор между автоматизацией Caddy, производительностью Nginx и модульностью Apache должен опираться на конкретные сценарии: от раздачи статики до Reverse Proxy для Docker-контейнеров.Вместо участия в «священных войнах» стоит проанализировать поддержку HTTP/3, нюансы настройки SSL и потребление ресурсов. То, что из...
Читать полностью
Уязвимость нулевого дня в Gogs позволяет удаленно выполнять код, что привело к взлому около 700 серверов.
Неисправленная уязвимость в Gogs привела к компрометации 700 серверовУязвимость нулевого дня в популярном сервисе для самостоятельного хостинга Git-репозиториев Gogs позволяет злоумышленникам удаленно выполнять произвольный код, что привело к взлому сотен серверов по всему миру.https://xakep.ru/2025/12/12/gogs-attacks/
Читать полностью
Пост сравнивает критику поколения зумеров в IT с аналогичными претензиями десятилетней давности к нынешним сеньорам, выявляя циклический характер социального механизма.
Зумеры и кризис кадров: история одного дежавюКритика молодого поколения в IT стала отдельным жанром: зумеров обвиняют в лени, отсутствии лояльности и завышенных запросах. Кажется, что рынок труда действительно трансформировался не в лучшую сторону.Однако обращение к архивам публикаций десятилетней давности вскрывает неудобный факт: ровно те же аргументы использовались против нынешних сеньоров и лидов. Это не новый паттерн поведения, а циклический социальный механизм, где меняются только ярлыки п...
Читать полностью
Пост анализирует проблему фальсификации опыта в IT, статистику обмана и методы борьбы с ним, отмечая парадокс терпимости к обману при наличии навыков.
Инфляция сеньорности: 99% работодателей знают о накрутке опытаТочечное приукрашивание резюме трансформировалось в полноценную гонку вооружений. Исследование подтверждает: 64% компаний регулярно сталкиваются с фальсификацией, где лидируют мидлы (43%) и джуны (37%). Арсенал кандидатов эволюционировал от приписывания несуществующих проектов до использования нейросетей и суфлёров на интервью в реальном времени.Ответная реакция индустрии — ужесточение фильтров: возврат к очным встречам, обязательный ...
Читать полностью
Пост критикует слепое следование устаревшим инструментам фронтенда, предлагая тир-лист технологий 2025 года с оценкой их актуальности.
Тир-лист фронтенда 2025: когда «классику» пора на свалкуСлепая верность привычным инструментам — прямой путь к архитектурному тупику. Если туториалы всё ещё советуют стартовать с Express.js, стоит задуматься: актуален ли этот стек сегодня? Индустрия меняется слишком быстро, чтобы держаться за «легенды» прошлого только из уважения к их былым заслугам.Популярные опенсорс-решения прошли проверку на совместимость с реалиями 2025 года. Технологии жёстко отсортированы по уровням: от Fail (устаревшие п...
Читать полностью
Исследователи Varonis обнаружили PhaaS-платформу Spiderman, нацеленную на европейские банки и криптосервисы для кражи учетных данных и финансовой информации.
Фишинговый сервис Spiderman нацелен на европейские банки и криптосервисыИсследователи из компании Varonis обнаружили новую PhaaS-платформу Spiderman, которая нацелена на пользователей банков и криптосервисов в Европе. Злоумышленники используют сервис для создания копий легитимных сайтов, чтобы воровать учетные данные, 2ФА-коды и информацию о банковских картах.https://xakep.ru/2025/12/12/spiderman/
Читать полностью
Правительство ужесточило требования
Правительство ужесточило правила подтверждения российского происхождения запоминающих устройств (SSD) и модулей памяти (DDR)Поправки внесены 8 декабря 2025 г. в приложение к Постановлению № 719 «О подтверждении производства российской промышленной продукции»Теперь производители таких устройств смогут получать баллы за определенные технологические операцииНапример, за корпусирование интегральной схемыф энергонезависимой флеш-памяти производитель получит 20 баллов, как и за корпусирование интеграл...
Читать полностью
Пост описывает эксперимент по воссозданию культового сайта Space Jam 1996 года с помощью AI-агента на основе Claude Code, используя только скриншот и сырые ассеты, что является нетривиальной задачей из-за архаичного дизайна.
Ретро-челлендж для AI: возвращаем 1996-й с помощью ClaudeВоссоздание культового сайта Space Jam по скриншоту — задача, на которой обычно сыпятся стандартные промпты. Модели либо галлюцинируют с CSS, либо пытаются «исправить» архаичный дизайн. Однако если переквалифицировать задачу из творческой генерации в точный поиск соответствий, результат меняется.Эксперимент строится на связке Claude Code (Opus 4.1) и специфической конфигурации nori. Имея на входе только картинку-референс и сырые ассеты, аг...
Читать полностью
Детальный разбор техрепорта Яндекса о полном цикле обучения генеративных моделей Alice AI, включая LLM, VLM и ART, с фокусом на инженерные решения.
Техрепорт Alice AI: технолонгрид на 46 минут чтенияДетальный разбор полного цикла обучения новых генеративных моделей Яндекса: от языковых моделей Alice AI LLM и Alice AI LLM Search до мультимодальной Alice AI VLM и картиночной Alice AI ART. В том числе — решений на уровне инфраструктуры.Например, в части про alignment базовой LLM описан переход к единому RLHF-пайплайну с мультиаспектным ревордом вместо одного «суперсигнала». Для VLM увеличили объём данных претрейна с 400 до 600 млрд токенов и р...
Читать полностью
«Гравитон» выпустил интеллектуальную сетевую карту на ПЛИС с поддержкой до 32 ГБ оперативной памяти и скоростью до 100 Гбит/с, ориентированную на госсектор.
«Гравитон» выпустил интеллектуальную сетевую карту для серверов и ЦОДовОна подключается по стандартному разъему PCI-E, как и многие дискретные сетевые карты для настольных ПКЕе особенность – в слоте SODIMM для ноутбучной опеативной памяти объемом до 32 ГБКарта создавалась с прицелом на госсектор и госзакупки – ее могут внести в реестр российский реестр электроники в 2026 г.Основу новой карты составляет ПЛИС с более чем 1 млн логических ячеек и с объемом встроенной блочной памяти свыше 50 МбитПо ...
Читать полностью