В новой версии добавили 67 изменений: 16 функций перешли в Stable, 23 — в Beta, ещё 27 получили статус Alpha.
Среди основных изменений — переход Metrics API в Stable, обновления сетевых компонентов, поддержка Pod Certificates и Cluster Trust Bundles, а также изменения в kube-proxy и cgroup. Релиз также включает обновления и улучшения для безопасности, управления ресурсами и работы кластера.
Подробнее об изменениях Kubernetes рассказали в своем блоге.
git.kernel.org получает около 6 млн запросов в день, и около 98% из них — боты, которые массово запрашивают страницы отдельных коммитов, создавая постоянную нагрузку на серверы.
На пяти серверах 14–16 из 90 CPU-ядер постоянно заняты обработкой этих запросов, в результате администраторы начали отключать ресурсоёмкие операции, ограничивать анонимный доступ и сокращать количество доступных для обхода ссылок.
Детали читайте в статье.
Сделка была закрыта 31 августа. Команда DuckDB присоединяется к AWS, при этом проект продолжит развиваться под руководством своих основателей. AWS планирует использовать технологии DuckDB для развития своего аналитического стека.
Подробнее на OpenNET.
31 августа закончился период LTS для Debian 11 Bullseye. Для части пакетов и архитектур доступна Extended LTS от Freexian — она продлевает поддержку до 2031 года.
Подробнее на OpenNET.
Ранее мы писали о голосовании Debian по правилам использования генеративного AI. Теперь голосование завершено: проект выбрал вариант Responsible Generative AI Use.
Подробности читайте в статье.
#новостной_дайджест #devopsfm #kubernetes #debian
Please open Telegram to view this post
VIEW IN TELEGRAM
1❤5👍5🔥4
NVIDIA объявила о соглашении по покупке Hugging Face — платформы с open-source и open-weight AI-моделями. После сделки Hugging Face должна сохранить открытый и мультиоблачный подход.
Для NVIDIA это возможность усилить позиции не только в GPU, но и в инфраструктуре для разработки и запуска AI-моделей. Закрытие сделки ожидается в первой половине 2027 года.
Детали сделки можно прочитать в блоге NVIDIA.
GitLab Threat Research обнаружила уязвимость с максимальным CVSS 10.0 в популярной Node.js-библиотеке vm2. Она позволяет обойти изоляцию и получить полный доступ к хост-системе.
Проблема затрагивает версии 3.11.6 и ниже при включённом require.external. Исправление доступно в 3.11.7.
Подробности читайте в исследовании GitLab.
1 сентября в зоне us-central1-b произошёл серьёзный сбой, затронувший Compute Engine, GKE, Cloud Run, Cloud SQL и другие сервисы.
Причиной стала ошибка во время планового обслуживания: последовательно были отключены все оптоволоконные пути к части инфраструктуры, из-за чего часть VM в зоне потеряла сетевую связность. Сбой продолжался 4 часа 11 минут.
Подробности инцидента — в отчёте Google Cloud.
Karmada стал первым проектом CNCF для управления несколькими Kubernetes-кластерами, достигшим статуса Graduated.
Платформа позволяет управлять приложениями сразу в нескольких кластерах, облаках и регионах, а в последних версиях развивает механизмы планирования для распределённых AI-нагрузок.
Подробнее — на сайте CNCF.
#новостной_дайджест #devopsfm #karmada #security #cloud
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥6👍5❤3
В эфире DevOps FM – срединедельный дайджест новостей!
⏺ В Forgejo обнаружили критическую уязвимость с RCE и CVSS 9.9.
CVE-2026-89094 позволяет выполнить произвольный код при обработке специально подготовленного шаблонного репозитория. Проблема затрагивает версии Forgejo до 16.0.4.
Если Forgejo используется во внутренней Git-инфраструктуре, стоит проверить версию и обновиться.
Подробнее в статье OpenNET.
⏺ Вышел Cilium 1.20 с новыми возможностями для сетей Kubernetes.
Обновили Gateway API до версии 1.6, добавили ExternalAuth, TCPRoute и UDPRoute, а также поддержку IPv6 в AWS ENI IPAM.
Появилась возможность перейти от общего пула IP-адресов к нескольким пулам без пересоздания кластера и смены IP-адресов.
Больше об изменениях читайте в блоге CNCF.
⏺ Исследователи показали способ подмены идентичности рабочей нагрузки в SPIFFE/SPIRE.
Получив root на узле, атакующий может подменить данные cgroup, которые агент SPIRE использует для определения рабочей нагрузки, и получить криптографический идентификатор другой нагрузки.
Способ атаки пока не наблюдали в реальных атаках, но он показывает проблему модели доверия при компрометации узла.
Подробнее — в исследовании Unit 42.
⏺ AWS не смог восстановить часть инфраструктуры после масштабного повреждения.
Масштаб повреждений оказался больше расчётного сценария отказа, поэтому часть ресурсов в Бахрейне и ОАЭ восстановить не удалось.
Часть клиентов перенесла нагрузки в другие регионы. Ещё один пример того, что резервирование между зонами доступности не защищает от сценариев, затрагивающих физическую инфраструктуру региона.
Детали читайте в Reuters.
#новостной_дайджест #devopsfm #kubernetes #security #cilium #aws
CVE-2026-89094 позволяет выполнить произвольный код при обработке специально подготовленного шаблонного репозитория. Проблема затрагивает версии Forgejo до 16.0.4.
Если Forgejo используется во внутренней Git-инфраструктуре, стоит проверить версию и обновиться.
Подробнее в статье OpenNET.
Обновили Gateway API до версии 1.6, добавили ExternalAuth, TCPRoute и UDPRoute, а также поддержку IPv6 в AWS ENI IPAM.
Появилась возможность перейти от общего пула IP-адресов к нескольким пулам без пересоздания кластера и смены IP-адресов.
Больше об изменениях читайте в блоге CNCF.
Получив root на узле, атакующий может подменить данные cgroup, которые агент SPIRE использует для определения рабочей нагрузки, и получить криптографический идентификатор другой нагрузки.
Способ атаки пока не наблюдали в реальных атаках, но он показывает проблему модели доверия при компрометации узла.
Подробнее — в исследовании Unit 42.
Масштаб повреждений оказался больше расчётного сценария отказа, поэтому часть ресурсов в Бахрейне и ОАЭ восстановить не удалось.
Часть клиентов перенесла нагрузки в другие регионы. Ещё один пример того, что резервирование между зонами доступности не защищает от сценариев, затрагивающих физическую инфраструктуру региона.
Детали читайте в Reuters.
#новостной_дайджест #devopsfm #kubernetes #security #cilium #aws
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥5❤4👍2
Nxs-anomaly — инструмент для алертинга и дежурств
Когда алертов становится много, сама отправка уведомления - только часть задачи. Важно управлять маршрутизацией, дежурствами и эскалациями, а ещё понимать, что произошло с каждым уведомлением после отправки.
nxs-anomaly — open-source инструмент, который собирает этот процесс в отдельный сервис. Он группирует повторяющиеся алерты, определяет текущего дежурного и по заданным правилам запускает цепочки эскалации.
Гарантия доставки осуществляется через повторные попытки отправки при ошибках и контроль зависших задач. Система сохраняет историю отправок и сигнализирует пользователю о неудачных попытках, поэтому можно разобраться, дошло ли уведомление, кому оно было отправлено и что произошло дальше.
Кому пригодится: DevOps/SRE-командам, которые самостоятельно управляют мониторингом и дежурствами и хотят вынести маршрутизацию алертов, подтверждения и эскалации в отдельный сервис.
Инструмент можно развернуть самостоятельно — есть Docker Compose (включая демо инсталяцию) и Helm чарт. Для управления настройками предусмотрен Terraform провайдер, чтобы управлять дежурствами через IaC, а для наблюдения за самим сервисом - метрики Prometheus и трейсы OpenTelemetry.
В статье на Хабре Пётр Рукин подробно разобрал как устроен nxs-anomaly, из каких компонентов состоит и как его можно развернуть в своей инфраструктуре.
Также читайте подробности в статье на GıtHub.
#devopsfm #алертинг #дежурства #opensourse
Когда алертов становится много, сама отправка уведомления - только часть задачи. Важно управлять маршрутизацией, дежурствами и эскалациями, а ещё понимать, что произошло с каждым уведомлением после отправки.
nxs-anomaly — open-source инструмент, который собирает этот процесс в отдельный сервис. Он группирует повторяющиеся алерты, определяет текущего дежурного и по заданным правилам запускает цепочки эскалации.
Гарантия доставки осуществляется через повторные попытки отправки при ошибках и контроль зависших задач. Система сохраняет историю отправок и сигнализирует пользователю о неудачных попытках, поэтому можно разобраться, дошло ли уведомление, кому оно было отправлено и что произошло дальше.
Кому пригодится: DevOps/SRE-командам, которые самостоятельно управляют мониторингом и дежурствами и хотят вынести маршрутизацию алертов, подтверждения и эскалации в отдельный сервис.
Инструмент можно развернуть самостоятельно — есть Docker Compose (включая демо инсталяцию) и Helm чарт. Для управления настройками предусмотрен Terraform провайдер, чтобы управлять дежурствами через IaC, а для наблюдения за самим сервисом - метрики Prometheus и трейсы OpenTelemetry.
В статье на Хабре Пётр Рукин подробно разобрал как устроен nxs-anomaly, из каких компонентов состоит и как его можно развернуть в своей инфраструктуре.
Также читайте подробности в статье на GıtHub.
#devopsfm #алертинг #дежурства #opensourse
1🔥13❤7👍7
Новостной дайджест от DevOps FM!
Делимся свежими новостями и важными изменениями в мире DevOps и инфраструктуры за прошедшую неделю.⌨️
⏺ В KVM нашли уязвимость, позволяющую гостевой системе получить доступ к памяти хоста.
CVE-2026-89775 затрагивает ARM64-системы с включённой вложенной виртуализацией. При определённых условиях гостевая система может читать и записывать память ядра хоста.
Проблема появилась в Linux 6.16 и исправлена в версиях 6.18.51 и 7.2.5. Для дистрибутивов стоит проверить доступность исправлений.
Подробнее — в материале OpenNET.
⏺ GitHub усилил защиту GitHub Actions.
GitHub сделал доступным новый механизм контроля запуска workflow. Теперь можно задавать правила, определяющие, кто и какие события может использовать для запуска workflow на уровне организации и репозитория.
Отдельные ограничения появились для pull_request_target: при неправильной настройке он может привести к выполнению недоверенного кода с доступом к секретам репозитория.
Читайте подробности в блоге GitHub.
⏺ GitHub переводит ubuntu-latest на Ubuntu 26.04.
С 19 октября по 19 ноября GitHub начнёт поэтапно переводить ubuntu-latest с Ubuntu 24.04 на 26.04.
Для CI это означает изменение окружения без изменений в самих workflow: обновятся версии системных пакетов и предустановленных инструментов.
Если используется ubuntu-latest, GitHub рекомендует заранее проверить сборки на Ubuntu 26.04 или зафиксировать ubuntu-24.04.
Детали узнавайте в статье на GitHub.
⏺ В Kubernetes 1.37 добавили отслеживание неиспользуемых PVC.
PersistentVolumeClaimUnusedSinceTime перешла в статус Beta и включена по умолчанию.
Теперь Kubernetes может помечать PVC как Unused, если его не использует ни один работающий Pod, и фиксировать время перехода в это состояние.
Это позволит находить давно неиспользуемые PVC и использовать эту информацию для последующей очистки.
Подробности — в блоге Kubernetes.
#новостной_дайджест #devopsfm #kubernetes #github #linux
Делимся свежими новостями и важными изменениями в мире DevOps и инфраструктуры за прошедшую неделю.
CVE-2026-89775 затрагивает ARM64-системы с включённой вложенной виртуализацией. При определённых условиях гостевая система может читать и записывать память ядра хоста.
Проблема появилась в Linux 6.16 и исправлена в версиях 6.18.51 и 7.2.5. Для дистрибутивов стоит проверить доступность исправлений.
Подробнее — в материале OpenNET.
GitHub сделал доступным новый механизм контроля запуска workflow. Теперь можно задавать правила, определяющие, кто и какие события может использовать для запуска workflow на уровне организации и репозитория.
Отдельные ограничения появились для pull_request_target: при неправильной настройке он может привести к выполнению недоверенного кода с доступом к секретам репозитория.
Читайте подробности в блоге GitHub.
С 19 октября по 19 ноября GitHub начнёт поэтапно переводить ubuntu-latest с Ubuntu 24.04 на 26.04.
Для CI это означает изменение окружения без изменений в самих workflow: обновятся версии системных пакетов и предустановленных инструментов.
Если используется ubuntu-latest, GitHub рекомендует заранее проверить сборки на Ubuntu 26.04 или зафиксировать ubuntu-24.04.
Детали узнавайте в статье на GitHub.
PersistentVolumeClaimUnusedSinceTime перешла в статус Beta и включена по умолчанию.
Теперь Kubernetes может помечать PVC как Unused, если его не использует ни один работающий Pod, и фиксировать время перехода в это состояние.
Это позволит находить давно неиспользуемые PVC и использовать эту информацию для последующей очистки.
Подробности — в блоге Kubernetes.
#новостной_дайджест #devopsfm #kubernetes #github #linux
Please open Telegram to view this post
VIEW IN TELEGRAM
1🔥8👍6❤4
После потери части узлов 1000 Pod перестали равномерно распределяться между тремя зонами. Даже после восстановления ёмкости перекос сохранялся более 16 часов.
topologySpreadConstraints не перераспределяют уже запущенные Pod. Для исправления AWS предлагает Kubernetes Descheduler.
Подробнее — в блоге AWS.
Анализ событий файловой системы позволяет отслеживать действия других пользователей без доступа к содержимому файлов. Исследователи показали возможность отслеживать SSH-сессии и восстанавливать ввод с клавиатуры.
Для атаки достаточно доступа к событиям файловой системы.
Подробности читайте в статье OpenNET.
Несколько уязвимостей позволяют непривилегированному пользователю работать с произвольными файлами и выполнять код с правами root. Проблемы связаны с миграцией, резервным копированием и загрузкой образов.
Уязвимости исправлены — стоит проверить версии LXD и Incus.
Детали в статье OpenNET.
GKE Agentic Migration анализирует Terraform и Kubernetes-манифесты, переводит настройки AWS в конфигурацию GKE и формирует Pull Request.
Изменения проходят проверки и обычный процесс ревью, без прямого применения к кластеру.
Подробнее — в блоге Google Cloud.
Canonical переходит на двухнедельный цикл доставки обновлений ядра Linux. Подготовка нового обновления будет запускаться каждую неделю.
Для инфраструктуры это означает более частые обновления и необходимость учитывать их в тестировании, выкатке и планировании перезагрузок.
Читайте больше в статье OpenNET.
#новостной_дайджест #devopsfm #linux #aws #gke #devops
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍3🔥3❤2
Новостной дайджест от DevOps FM! 📶
🗣 GhostAction: вредоносные GitHub Actions похищали секреты из 345 репозиториев.
8 октября злоумышленники использовали скомпрометированные аккаунты сопровождающих проектов, чтобы внедрить вредоносные рабочие процессы. Они собирали не только секреты CI/CD, но и облачные ключи и другие учётные данные из истории Git — в том числе давно удалённые.
Поэтому простой ротации текущих секретов недостаточно: скомпрометированными могут оказаться и ключи из прошлых коммитов.
Подробнее — в разборе StepSecurity.
🗣 GitLab исправила критическую уязвимость, позволяющую выполнять код на сервере без авторизации.
Уязвимость CVE-2026-97229 получила максимальную оценку CVSS 10.0. При определённых условиях специально сформированное регулярное выражение в конфигурации CI/CD могло позволить удалённому злоумышленнику выполнить произвольный код на сервере GitLab.
Исправления доступны в версиях 19.4.2, 19.3.5 и 19.2.8.
Больше деталей читайте в объявлении GitLab.
🗣 Let's Encrypt сократит срок действия сертификатов до 64 дней.
С 10 февраля 2027 года новые сертификаты будут действовать 64 дня вместо 90. Тестовая среда переходит на новый срок уже 14 октября 2026 года.
Это делает надёжное автоматическое продление ещё важнее: если процесс обновления сломается, запас времени до истечения сертификата станет меньше.
Подробности в объявлении Let's Encrypt.
🗣 Yandex Cloud продолжает восстановление после атак на дата-центры.
Специалисты ведут восстановительные работы и занимаются стабилизацией инфраструктуры. Актуальную информацию о состоянии сервисов и ходе работ компания публикует на странице статуса.
Следить за новостями можно в статусе Yandex Cloud.
#новостной_дайджест #devopsfm #безопасность #yandexcloud
8 октября злоумышленники использовали скомпрометированные аккаунты сопровождающих проектов, чтобы внедрить вредоносные рабочие процессы. Они собирали не только секреты CI/CD, но и облачные ключи и другие учётные данные из истории Git — в том числе давно удалённые.
Поэтому простой ротации текущих секретов недостаточно: скомпрометированными могут оказаться и ключи из прошлых коммитов.
Подробнее — в разборе StepSecurity.
Уязвимость CVE-2026-97229 получила максимальную оценку CVSS 10.0. При определённых условиях специально сформированное регулярное выражение в конфигурации CI/CD могло позволить удалённому злоумышленнику выполнить произвольный код на сервере GitLab.
Исправления доступны в версиях 19.4.2, 19.3.5 и 19.2.8.
Больше деталей читайте в объявлении GitLab.
С 10 февраля 2027 года новые сертификаты будут действовать 64 дня вместо 90. Тестовая среда переходит на новый срок уже 14 октября 2026 года.
Это делает надёжное автоматическое продление ещё важнее: если процесс обновления сломается, запас времени до истечения сертификата станет меньше.
Подробности в объявлении Let's Encrypt.
Специалисты ведут восстановительные работы и занимаются стабилизацией инфраструктуры. Актуальную информацию о состоянии сервисов и ходе работ компания публикует на странице статуса.
Следить за новостями можно в статусе Yandex Cloud.
#новостной_дайджест #devopsfm #безопасность #yandexcloud
Please open Telegram to view this post
VIEW IN TELEGRAM
1👍5🔥5❤1