Скоро обновлять будет нечего 💅💅💅

GitLab объявил о сокращении персонала, реструктуризации и подготовке к эре AI-агентов
https://www.opennet.ru/opennews/art.shtml?num=65427

Руководитель компании GitLab опубликовал обращение к клиентам и акционерам, в котором объявил о грядущем сокращении персонала и реструктуризации компании для перехода в "эру AI-агентов", в которой код будет создаваться, рецензироваться, исправляться и развёртываться при помощи AI, а люди сохранят за собой функции принятия решений и управления архитектурой. Предполагается, что создание программного обеспечения помощи AI-агентов значительно снизит стоимость и время разработки, и приведёт к увеличению числа создаваемых программных продуктов.
Число увольняемых сотрудников не уточняется, но упоминается, что компания намерена уйти из 30% стран, где присутствовали небольшие команды сотрудников и переложить обслуживание клиентов в этих странах на партнёрскую сеть. Также планируют упростить управление в компании и убрать лишние уровни менеджмента для того чтобы руководители были ближе к исполнителям. В процессе реорганизации отделов R&D будет выделено 60 небольших автономных команд, которые будут нести полную ответственность за создаваемый продукт. Внутренние рутинные процессы будут оптимизированы с вовлечением AI-агентов для согласования решений, проверки выполнения работы и координации выполнения задач.
Объявлены три принципа, на основе которых будет формироваться новая система ценностей GitLab: скорость с качеством (работа малых команд короткими циклами с высокой планкой качества), мышление собственника (каждый сотрудник несёт ответственность за результат и ощущает себя владельцем компании) и клиентоориентированность (основное внимание на пользу для клиента). Для стимулирования сотрудников будет введена программа премий, которые будут составлять до 10% от зарплаты и зависеть от достигнутых результатов. Сотрудникам, не согласным с новой политикой компании, предлагается до 18 мая принять решение о добровольном увольнении.
Платформа GitLab будет оптимизирована для трёх режимов работы: разработка человеком, использование человеком AI-агентов и автономная работа AI-агентов. Помимо оплаты по подписке, будет внедрена возможность оплаты по факту потребления ресурсов, израсходованных AI-агентами. Средства непрерывной интеграции и доставки (CI/CD) будут расширены возможностями для координации работы AI-агентов, оценки результатов и проверки соблюдения ими правил.
Инфраструктура и Git будут расширены в плане предоставления API для AI-агентов и оркестровки работы AI-агентов, а также оптимизированы для нагрузок, создаваемых AI-агентами. В ядро платформы будет интегрированы инструменты для контроля и аудита. Планируется задействование единой AI-модели, доступной через API, которую можно будет использовать для написания кода, рецензирования изменений, планирования работы и проверки безопасности.

Оригинал
GitLab Act 2
https://about.gitlab.com/blog/gitlab-act-2/

На осадном вложении
Инвестиции в телекоммуникации и IT растут, но уже не так быстро
https://www.kommersant.ru/doc/8653286

В 2022–2023 годах отрасль активно поддерживалась за счет льгот и субсидий, однако сейчас эти меры не действуют. Кроме того, по его словам, идет проверка ранее выданных субсидий, из-за чего компании, получавшие их, могут сталкиваться со сложностями. «Это оказывает сдерживающее влияние на инвестиционную активность»,— считает эксперт. Председатель совета КС НСБ Игорь Бедеров среди факторов также отмечает острый дефицит квалифицированных кадров. По его словам, это приводит к тому, что значительная часть инвестиций уходит не в «железо» или инфраструктуру, а в фонд оплаты труда «без пропорционального увеличения основных фондов».

Про кадры хочется отдельно отметить свой пост про то как после начала превращения интернета в интранет те самые "квалифицированные кадры", которых не хватает, решили, что пора бы сваливать
https://xn--r1a.website/tech_b0lt_Genona/6277

Как только начнут дальше давить на интернет, то кадров станет ещё меньше

https://xn--r1a.website/mus_b0lt_Genona/392

Объявляется тред защиты Макса

Подписчик написал следующее

В ожидании грядущих ограничений у вас есть два выбора: постоянно ругать недавно созданный сервис или поблагодарить разработчиков за то, что они дали людям какую-то (да, подконтрольную властям) альтернативу для коммуникаций и ожидать, что по фунциям она со временем приблизится к телеграм. Вы выбираете первое. Хотя на первопричину повлиять не можете и ничего кроме «блокировки и войну отменить, телеграм вернуть» предложить не можете.

https://xn--r1a.website/tech_b0lt_Genona/6471?comment=44232

Очевидно, что чтобы заработала "экономика" мессенджера нужно чтобы туда хотели идти люди, чтобы туда шли люди нужно чтобы:

- была функциональность (Макс тут не конкурент Telegram)

- были весомые социальные связи, которые напомню нам пытаются зачем-то разорвать https://xn--r1a.website/tech_b0lt_Genona/6271 (в Telegram я могу общаться напрямую с разработчиками кучи продуктов, которые живут в разных странах, а в Max я могу написать никому; вся ИТ-шка русскоязычная можно сказать "живëт" в Telegram, а заграничная никогда не будет жить в Максе)

- в целом было какое-то доверие продукту (сюда же можно добавить про команду, но это для более въедливых)

- были нормальные клиенты (Telegram и тут лучше, особенно учитывая, что код клиента открыт, есть нативные клиенты, а не глюкалово на Electron + клиенты есть разные)

Последний пункт это от меня лично, но вы можете легко придумать свои 🌝

Ограничения административные только усилили негатив в сторону Макса

Я лично не вижу никаких плюсов в Максе, кроме интеграции с Госуслугами, которой и не пользуюсь.

Если что, то нормальная тема сделать как в Индии (https://xn--r1a.website/tech_b0lt_Genona/6164) когда национальный мессенджер стал ещё одним интерфейсом в "Госуслуги" и строить вокруг этого уже экосистему так, чтобы люди туда возвращались. Это более надëжная схема, пусть и более долгая. Но и она дала сбой, так как потеряно доверие к самому Макс из-за того, что он "слушает" происходящее. Я знаю кучу людей, которые под Макс завели отдельное устройство, к которому возвращаются когда надо и оно точно не является устройством постоянного пользования. При этом можно хоть каждый месяц выпускать статистику про то что в Макс зарегистрировалось миллионы человек это мало коррелирует с тем сколько реально его использует как мессенжер "первой" очереди.

Единственный вариант сейчас сделать Макс "первым" это окончательно захуярить весь интернет в РФ и сделать интранет, но тогда, по моему скромному мнению, всем уже будет не до мессенджеров. При этом надо захуярить ещё и внутрироссийские альтернативы, которые уже "проростают" потихоньку и не запятнаны историей со "слежкой" за устройством.

А какие плюсы Макса знаете вы?

Антон Вадимович теперь переживает за GitHub, ажно в ночи пишет

Спасибо всем, кто поделился своим мнением по поводу проблем с GitHub. К сожалению, некоторые медиа отчего-то решили, что я призываю к блокировке этой платформы, хотя в исходном посте даже слова такого нет. Я лишь констатирую факт дискриминации российских пользователей со стороны её владельцев. И этим занимается не только Microsoft: например, недавно стало известно о массовом бане аккаунтов из РФ в нейросети Claude. Многие наши разработчики потеряли там доступ к своим проектам, и тот же сценарий может повториться уже в гораздо более серьезном масштабе – если Microsoft продолжит свою политику.

И да, я не называл эту платформу вредительской. Напротив, считаю её чрезвычайно ценной (почитайте первоисточник: «GitHub стал не просто отраслевым стандартом, а центральной точкой многих систем»). Именно эта ценность, понимание важности платформы для российского ИТ-сообщества, похоже, и раздражает её владельцев с каждым днем всё больше. И объективные данные говорят о том, что процесс ограничения доступа к GitHub был инициирован с той стороны.

https://xn--r1a.website/webstrangler/4777

Пока вы спите там Windows опять жопу взломали (два раза)

GreenPlasma Windows CTFMON Arbitrary Section Creation Elevation of Privileges Vulnerability
https://github.com/Nightmare-Eclipse/GreenPlasma

For this one, I'm not dropping the full PoC, I stripped off the necessary code for a full SYSTEM shell. This is a huge challenge for CTF lovers out there.

The PoC will create an arbitrary memory section object in any directory object write-able by SYSTEM, if you're smart enough, you can turn this into a full privilege escalation as you can influence the newly created section to manipulate data

А второй PoC прикольней. Автор называет найденную проблему бэкдором

YellowKey Bitlocker Bypass Vulnerability
https://github.com/Nightmare-Eclipse/YellowKey

Now why would I say this is a backdoor ? The component that is responsible for this bug is not present anywhere (even in the internet) except inside WinRE image and what makes it raise suspicions is the fact that the exact same component is also present with the exact same name in a normal windows installation but without the functionalities that trigger the bitlocker bypass issue. Why ? I just can't come up with an explanation beside the fact that this was intentional. Also for whatever reason, only windows 11 (+Server 2022/2025) are affect, windows 10 is not.

Исследователь Nightmare-Eclipse наделал шуму в апреле

Windows Defender как таран: три 0-day за 13 дней и два из них всё ещё без патча
https://habr.com/ru/articles/1026260/

3 апреля на GitHub появился PoC BlueHammer — LPE для Windows Defender, который позволяет с обычного юзера уйти в SYSTEM. Автор — некий Chaotic Eclipse (он же Nightmare-Eclipse). По его словам, отчёт в MSRC ушёл заранее, но процесс застопорился: Microsoft требовала видео-демонстрацию, исследователь отказался, кейс закрыли. Публикация PoC стала демонстративным ответом.

Microsoft закрыла BlueHammer в рамках апрельского Patch Tuesday 14 апреля — это CVE-2026-33825, CVSS 7.8. От публикации до патча прошло 11 дней. Huntress видел эксплуатацию в дикой природе уже 10 апреля, то есть за четыре дня до патча.

12 апреля в тот же репозиторий лёг второй PoC — UnDefend. Это не LPE, а DoS против самого Defender.
16 апреля — третий, RedSun. Снова LPE в SYSTEM, но через другой механизм Defender, работает на полностью пропатченных системах после апрельского обновления. CVE нет, патча нет.

ЗЫ
> Microsoft требовала видео-демонстрацию, исследователь отказался, кейс закрыли. Публикация PoC стала демонстративным ответом

Дружите с исследователями, а то неизвестно чем это потом закончится 🌝

Череда уязвимостей в ядре, приводящих к LPE и container escape продолжается.

На этот раз – fragnesia. Это новая LPE уязвимость из семейства Dirty Frag/Dirty Pipe, позволяющая локальному пользователю получить root через corruption page cache в подсистеме XFRM ESP-in-TCP. Эксплойт не требует race condition и работает как deterministic logic bug, что делает эксплуатацию особенно стабильной и опасной.

Интересно, что fragnesia появилась как побочный эффект одного из патчей для Dirty Frag. CVE пока не назначена, а фикс пока только в виде небольшого patchset, который ещё не успел попасть во все mainstream kernel releases.

P.S. Сегодня последний день подать свой вариант на конкурс и выиграть билет на нашу конференцию БеКон 2026.

#suckassstory #itsec #article

Google Chrome silently installs a 4 GB AI model on your device without consent. At a billion-device scale the climate costs are insane.

И эти веса даже не используются для "AI mode": для этой фичи используются не локальные модели, а инфраструктура Google. Если эти веса удалить, браузер скачает их заново. Отключить это через chrome://settings нельзя.

И ещё:

Anthropic secretly installs spyware when you install Claude Desktop

Claude.app (не путать с Claude code) при установке и каждом запуске прописывает для семи браузеров на основе Chromium (включая те, что у пользователя не установлены) в настройках манифест, который позволяет трём перечисленным расширениям запускать на системе бинари вне песочницы браузера с правами пользователя. Файлы прописываются заново при каждом обновлении, в настройках Claude.app про это ни слова, так что отключить это нельзя. Сами расширения Chrome от Anthropic сейчас, если что, существуют, но в бете.

Давно не было

Обновление nginx 1.31.0 с устранением RCE-уязвимости, эксплуатируемой через HTTP-запрос
https://www.opennet.ru/opennews/art.shtml?num=65442

Уязвимость (CVE-2026-42945), которой присвоен критический уровень опасности, вызвана переполнением буфера в модуле ngx_http_rewrite_module, которое может быть эксплуатировано для выполнения кода с правами рабочего процесса nginx через отправку HTTP-запроса со специально оформленным URI. Проблема проявляется в конфигурациях с директивой "rewrite", в которой в регулярных выражениях используются подстановки масок при помощи неименованных переменных (например, $1 и $2), при условии, что в заменяющей строке имеется символ "?". Пример уязвимой конструкции:

rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

Выражения с именованными подстановками уязвимости не подвержены. Например, уязвимость не затрагивает конструкции:

rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

Уязвимость присутствует начиная с версии 0.6.27, выпущенной в марте 2008 года. Причиной появления уязвимости стало то, что буфер выделялся с расчётом, что в него будут записаны неэкранированные данные, а фактически копировались данные после выполнения экранирования спецсимволов, размер которых был больше, так как каждый символ "+", "%" и "&" кодировался не одним, а тремя байтами.

NGINX Rift: Achieving NGINX Remote Code Execution via an 18-Year-Old Vulnerability
https://depthfirst.com/research/nginx-rift-achieving-nginx-rce-via-an-18-year-old-vulnerability

PoC
https://github.com/depthfirstdisclosures/nginx-rift

Другие уязвимости:

- CVE-2026-42926 - возможность подстановки данных атакующего в проксируемый запрос при использовании в настройках директивы "proxy_set_body" и обращении к бэкенду через HTTP/2 (proxy_http_version=2).

- CVE-2026-40701 - обращение к памяти после её освобождения (use-after-free) в модуле ngx_http_ssl_module, возникающее при обработке ответов от DNS-сервера в конфигурациях с директивой "ssl_ocsp".

- CVE-2026-42946 - чтение из области за пределами буфера в модулях ngx_http_uwsgi_module и ngx_http_scgi_module, возникающее при обработке специально оформленного ответа. Проблема может привести к утечке содержимого памяти рабочего процесса или его аварийному завершению.

- CVE-2026-42934 - чтение из области за пределами буфера в рабочем процессе, возникающее при обработке ответов с декодированием из кодировки UTF-8 при использовании директивы "charset_map". Проблема может привести к утечке содержимого памяти рабочего процесса или его аварийному завершению.

- CVE-2026-40460 - уязвимость в реализации протокола HTTP/3, допускающая спуфинг IP-адреса для обхода авторизации или ограничений.

ЗЫ

Когда-нибудь в Telegram можно будет залить видос без звука, чтобы его не ужимало до "GIF" на котором ничего не будет видно. А пока добавляем к видео аудио дорожку 🌝

Друзья, я считаю, что лучшем решением интернет-кризиса был бы допуск в интернет только совершеннолетних людей, то есть с 18 лет и по паспорту. Можно сделать интернет Id. При этом блокировок будет меньше. Здравая же идея, правда?

Именно такую хуйню щас предлагают говорить за деньги. Платят до 500 тысяч рублей. Я отказался.

Считаю эффект мощный от запрета и достиг всех целей

Маркетплейсы потеряли до 10% пользователей из-за блокировки VPN
https://www.kommersant.ru/doc/8655902

“Ъ” ознакомился с данными Digital Budget о пользовательском трафике маркетплейсов в 2026 году. Из них следует, что в апреле по отношению к марту мобильный веб-трафик у Wildberries снизился на 10%, у Ozon и «Яндекс Маркета» — на 3%, у классифайда «Авито» — на 1,5%. При этом десктопный трафик за тот же период сократился только у Wildberries — на 6%. У «Авито» он вырос на 2%, у Ozon — на 1%, а у «Яндекс Маркета» — на 26%. В марте же мобильный трафик у платформ месяц к месяцу рос. Лидером был Ozon (10%), на втором месте — «Авито» (9%), на третьем — Wildberries (7%). Замыкал рейтинг «Яндекс Маркет» с ростом на 3%.

То, что крупнейшие маркетплейсы столкнулись с падением общего трафика пользователей в апреле, после ввода нового требования Минцифры блокировать входящий VPN-трафик, подтверждает собеседник “Ъ” в одной из интернет-компаний.

В целом, по оценкам селлеров, падение выручки в апреле составило от 3% до 30% по сравнению с мартом, и они напрямую связывают это с блокировками VPN, говорит директор департамента e-commerce ГК «КОРУС Консалтинг» Мария Бар-Бирюкова. От ограничений трафика в апреле площадки могли потерять в деньгах около 1%, считает операционный директор «Рейтинга Рунета» Анатолий Денисов.
. . .
В Ассоциации компаний интернет-торговли заявили, что такие меры, как ограничение VPN-трафика, «однозначно затрудняют пользование российскими сервисами как покупателям внутри страны, так и за рубежом». Они ослабляют позиции отечественных платформ на международном рынке электронной коммерции, где идет серьезная конкурентная борьба за российских покупателей. В Wildberries не ответили “Ъ”. В «Авито», Ozon и «Яндекс Маркете» отказались от комментариев. У этого запрета могут быть довольно сильные и долговременные последствия в виде снижения частоты использования сайтов или приложений.

Думаю, что маркетплейсы должны сказать спасибо, так как и маркетплейсам и гражданам РФ стало жить безопасней.

Remove-MgIdentityAuthenticationEventFlowAsOnGraphAPretributeCollectionExternalUserSelfServiceSignUpAttributeIdentityUserFlowAttributeByRef

Delete ref of navigation property attributes for identity
https://learn.microsoft.com/en-us/powershell/module/microsoft.graph.identity.signins/remove-mgidentityauthenticationeventflowasongraphapretributecollectionexternaluserselfservicesignupattributeidentityuserflowattributebyref

Такой PowerShell, что аж Java пахнуло 🌝

InternalFrameInternalFrameTitlePaneInternalFrameTitlePaneMaximizeButtonWindowNotFocusedState

InternalFrame InternalFrame
Title Pane,
Internal Frame
Title Pane.

Maximize Button Window,
Not Focused State.

Stupidly long class name or a geeky poem?
https://blog.vanillajava.blog/2010/07/stupidly-long-class-name-or-geeky-poem.html

Mac Mini на процессоре "Эльбрус-8С"

Соскучились?

DirtyDecrypt - очередная уязвимость класса Copy Fail, предоставляющая права root в Linux
https://www.opennet.ru/opennews/art.shtml?num=65473

CVE-идентификатор в примечании к эксплоиту не упоминается, указано лишь, что исследователи выявили проблему 9 мая, после чего сообщили об этом разработчикам ядра, которые ответили, что их находка дублирует другой отчёт об уже исправленной уязвимости. Так как патч с исправлением уже включён в ядро исследователи решили опубликовать разработанный ими эксплоит. Судя по описанию внутри эксплоита, в нём используется уязвимость CVE-2026-31635, исправление для которой было принято в ядро в апреле и вошло в состав ветки 7.0.0 и сформированного 18 апреля выпуска 6.18.23. Проблема проявляется начиная с ядра 6.16.

Как и в случае с серией уязвимостей Dirty Frag новая уязвимость присутствует в драйвере RxRPC, реализующем семейство сокетов AF_RXRPC и одноимённый RPC-протокол, работающий поверх UDP. Проблема вызвана ошибкой при проверке размера данных в функции rxgk_verify_response() - вместо проверки "if (auth_len > len)" в коде было указано "if (auth_len < len)", что приводило к передаче в функцию rxgk_decrypt_skb() данных с размером, больше допустимого. При выполнении функции rxgk_decrypt_skb() расшифровка данных осуществлялась с подстановкой изменений напрямую в страничный кэш для исключения лишней буферизации. Из-за неверной проверки размера возникала возможность перезаписи данных в страничном кэше по выбранному смещению.

Эксплуатация уязвимости сводится к чтению файла программы с флагом suid root (для его оседании в страничном кэше) и замене в страничном кэше части кода программы кодом для запуска /usr/bin/sh. Последующий запуск программы приведёт к тому, что в память будет загружен не оригинальный исполняемый файл с накопителя, а изменённая копия из страничного кэша. В качестве suid-программ в эксплоите предусмотрена возможность использования "/usr/bin/su", "/bin/su", "/usr/bin/mount", "/usr/bin/passwd" и "/usr/bin/chsh".

В качестве обходного пути защиты можно заблокировать загрузку модуля ядра rxrpc:

sh -c "printf 'install rxrpc /bin/false\n' > /etc/modprobe.d/dirtydecrypt.conf; rmmod rxrpc 2>/dev/null; true"

PoC
DirtyDecrypt / DirtyCBC
https://github.com/v12-security/pocs/tree/main/dirtydecrypt

В предыдущих частях

https://xn--r1a.website/tech_b0lt_Genona/6425
https://xn--r1a.website/tech_b0lt_Genona/6458
https://xn--r1a.website/tech_b0lt_Genona/6489
https://xn--r1a.website/tech_b0lt_Genona/6495

Наконец-то нормально за ядро взялись

PinTheft - шестая уязвимость класса Copy Fail, предоставляющая права root в Linux
https://www.opennet.ru/opennews/art.shtml?num=65476

Уязвимость получила кодовое имя PinTheft. Доступен прототип эксплоита. CVE-идентификатор ещё не присвоен. Исправление пока доступно только в виде патча, который опубликован 5 мая, но пока не включён в корректирующие выпуски ядра.

Уязвимость присутствует в реализации сетевого протокола RDS (Reliable Datagram Sockets), предназначенного для высокоскоростного обмена сообщениями между узлами в кластере, с минимальной задержкой и гарантированной доставкой. Атака возможна на системы с включённой подсистемой io_uring (io_uring_disabled=0) и ядром, собранным с опциями CONFIG_RDS, CONFIG_RDS_TCP и CONFIG_IO_URING. Для работы эксплоита в системе должен быть доступный на чтение исполняемый файл с флагом SUID-root.
Для автоматической загрузки модуля ядра rds_tcp эксплоит запрашивает отправку данных через RDS с использованием транспорта SO_RDS_TRANSPORT=2. Отмечается, что среди протестированных дистрибутивов Linux в конфигурации по умолчанию модуль ядра rds предоставляется только в Arch Linux. Для блокирования уязвимости обходным путём можно заблокировать автозагрузку модулей ядра rds и rds_tcp:

rmmod rds_tcp rds
printf 'install rds /bin/false\ninstall rds_tcp /bin/false\n' > /etc/modprobe.d/pintheft.conf

Уязвимость вызвана ошибкой в реализации механизма zerocopy в функции rds_message_zcopy_from_user(), осуществляющей прямое изменение данных в страничном кэше для исключения лишней буферизации. Из-за отсутствия очистки поля rm->data.op_nents после сбоя выполнялось двойное освобождение буфера (double-free), которое удалось эксплуатировать для перезаписи данных в страничном кэше, благодаря манипуляции с указателем на фиксированный буфер io_uring.

PoC
https://github.com/v12-security/pocs/blob/main/pintheft/poc.c

LPE эти массовые надоели, так что ажно Эрик Биггерс (Eric Biggers) патч сделал

crypto: af_alg - Remove zero-copy support from skcipher and aead
https://git.kernel.org/pub/scm/linux/kernel/git/herbert/cryptodev-2.6.git/commit/?id=ffdd2bc378953b525aca61902534e753f1f8e734

The zero-copy support is one of the riskiest aspects of AF_ALG. It allows userspace to request cryptographic operations directly on pagecache pages of files like the 'su' binary. It also allows userspace to concurrently modify the memory which is being operated on, a recipe for TOCTOU vulnerabilities.

While zero-copy support is more valuable in other areas of the kernel like the frequently used networking and file I/O code, it has far less value in AF_ALG, which is a niche UAPI. AF_ALG primarily just exists for backwards compatibility with a small set of userspace programs such as 'iwd' that haven't yet been fixed to use userspace crypto code.

Originally AF_ALG was intended to be used to access hardware crypto accelerators. However, it isn't an efficient interface for that anyway, and it turned out to be rarely used in this way in practice.

Thus, the risks of the zero-copy support in AF_ALG vastly outweigh its benefits. Let's just remove it.

This commit removes it from the "skcipher" and "aead" algorithm types. "hash" will be handled separately.

This is a soft break, not a hard break. Even after this commit, it still works to use splice() or sendfile() to transfer data to an AF_ALG request socket from a pipe or any file, respectively. What changes is
just that the kernel now makes an internal, stable copy of the data before doing the crypto operation. So performance is slightly reduced, but the UAPI isn't broken. And, very importantly, it's much safer.

Tested with libkcapi/test.sh. All its test cases still pass. I also verified that this would have prevented the copy.fail exploit as well. I also used a custom test program to verify that sendfile() still works.

Патч, видимо, в 7.2 прилетит.

Глава Ростелекома: нарушающие закон сервисы перестали быть популярными у россиян
https://kod.ru/glava-rostelekoma-pro-internet-i-operatorov

«Мы, честно говоря, не увидели большого роста входящего трафика "на погранпереходах". Особенно с учётом того, что ряд ресурсов, которые нарушают наше законодательство, в общем перестали быть популярными у россиян. Такой международный трафик вырос на единицы процентов».

Это правильно. Ведь, если трафика "не видно", то значит его нет.