2 уязвимости в PHP, старт продаж iPhone Duo, Tesla и SpaceX обсуждают слияние. Главное за неделю

Расскажем о главных новостях из мира технологий за прошедшую неделю в совместном подкасте itzine.ru и Telegram-канала Forgeeks. Слушайте новый выпуск, читайте и подписывайтесь на ForGeeks в Telegram.

По теме: iPhone 18 Pro, Pro Max и Duo: цены в России, характеристики и что не работает

Подкаст ForGeeks

PHP закрыла 2 критические уязвимости, позволяющие запускать код на сервере

Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — обе уязвимости (общее название PHP2Shell) получили 9,2 балла по шкале CVSS 4.0. Затронуты установки с PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed, если они обслуживают веб-запросы; наибольший риск у Apache с mod_php, где неавторизованный запрос может атаковать ещё до выполнения кода приложения.

Команда PHP настоятельно рекомендует обновиться немедленно — временные настройки снижают риск только для отдельных путей атаки. PHP 8.1 и более ранние версии обновлений от проекта уже не получают, для 7.4-8.1 подготовлены минимальные исправления исходного кода для тех, кто собирает PHP самостоятельно. Поддержка ветки 8.2 закончится 31 декабря 2026 года.

Первые покупатели получили складной iPhone Duo за $1999

Выдача предзаказов на первое складное устройство Apple началась 23 октября в Австралии и Новой Зеландии — у телефона внешний экран диагональю 5,4 дюйма и внутренний на 7,6 дюйма, цена стартует от $1999 (около 162 000 рублей). После высокого спроса на предзаказы Apple повысила целевой объём поставок на 44% — план вырос с 9,7 до 14 миллионов устройств.

Купить телефон без брони в день запуска можно в магазинах США, Австралии, Канады, Германии, Великобритании и ряда других стран, тогда как во Франции, Китае, Японии и ещё нескольких странах для самовывоза нужна бронь. В Макао очереди выстроились ещё 21 октября — магазины заранее раздали 250 браслетов с лимитом в два устройства на человека. Срок доставки онлайн-заказов сдвинулся на 25 января и с тех пор не менялся.

Телевизоры Samsung следят за пользователями даже после отключения функции — итоги исследования

Исследователи Северо-Восточного университета США провели 5943 эксперимента на 12 телевизорах от 10 производителей и обнаружили, что технология распознавания контента (ACR) продолжает обращаться к серверам отслеживания после отключения в настройках. Хуже всего дела у Samsung Tizen — соединения фиксировались во всех 30 тестах со встроенным стримингом, в 41 из 60 при просмотре эфирных каналов и в 18 из 30 при HDMI-подключении.

У Vizio трафик с сервером Amazon Kinesis шёл во всех сценариях, включая простой устройства, хотя при использовании сторонних приложений активность прекращалась. У Roku подозрительные соединения нашли только в фирменном The Roku Channel, что компания прямо прописывает в предупреждениях. Весь трафик был зашифрован, поэтому учёные не смогли установить, что именно передаётся — в качестве защиты они советуют отключать телевизор от интернета и смотреть онлайн-контент через внешнюю приставку без ACR.

OpenAI обвинила Apple в краже секретов — теперь обе компании обвиняют друг друга в шпионаже

По утверждению OpenAI, её бывший сотрудник перед уходом переслал на личный аккаунт более 100 файлов о ещё не выпущенном продукте — изображения устройства, сведения о поставщиках, инженерные данные и отчёты о покрытиях и герметизации — а затем провёл презентацию с этими материалами руководству Apple. Компания связывает эту презентацию с недавним анонсом умного дисплея HomeView и других устройств умного дома.

«OpenAI крайне обеспокоена тем, что её коммерческие тайны теперь циркулируют внутри Apple», — заявили в компании.

Apple в ответ обвиняет OpenAI в краже конфиденциальных документов и шпионаже за прототипами оборудования для создания собственных продуктов — обвинения прозвучали в рамках уже идущего судебного спора между компаниями.

Tesla и SpaceX обсуждают слияние, о котором могут объявить до 3 декабря

Илон Маск рассказал о переговорах во время звонка по итогам третьего квартала SpaceX — он называет объединение «хорошей идеей», но подчеркнул, что решение зависит от специальных комитетов обеих компаний, которые пока не согласовали условия сделки. По данным Barclays, объявление может состояться до годового собрания акционеров Tesla, назначенного на 3 декабря.

Слухи об объединении SpaceX и Tesla впервые появились в июне, когда о такой возможности сообщила The New York Times, но тогда формальных шагов компании не предпринимали. Теперь Маск впервые подтвердил, что комитеты действительно обсуждают параметры сделки, хотя гарантий соглашения по-прежнему нет.

Япония запустила миссию за грунтом Фобоса: на Землю доставят от 10 г

Аппарат Martian Moons eXploration стартовал с космодрома Танэгасима 19 октября и отделился от верхней ступени ракеты через 71 минуту после старта. Перелёт к Марсу займёт около десяти месяцев, после чего MMX проведёт примерно три года в окрестностях планеты, сближаясь с обоими спутниками Марса, но уделяя основное внимание Фобосу.

Перед посадкой основного аппарата на поверхность спустят небольшой ровер Idefix, созданный Францией и Германией — он сможет работать до 100 дней и изучать рельеф с помощью камер, лазерного прибора для анализа минералов и датчика температуры. Сам MMX попытается совершить до двух посадок и собрать не менее 10 г грунта с помощью бура и пневматического пробоотборника от NASA — образцы должны помочь выяснить, были ли Фобос и Деймос захваченными астероидами или обломками после столкновения с Марсом. NASA получит 15% доставленного материала за вклад в миссию.

Spotify убрал из рекомендаций более 50 миллионов ИИ-треков и спама

За 2026 год сервис исключил из рекомендаций свыше 50 миллионов треков — записи остались в каталоге, но перестали попадать в подборки, а ещё более 75 миллионов спам-треков удалили с платформы полностью за серьёзные или повторные нарушения правил. Для выявления подозрительного контента Spotify сопоставляет отзывы слушателей с историей загрузок, метаданными и сторонними инструментами обнаружения ИИ, отслеживая также массовые загрузки, дубликаты и сети спам-плейлистов.

Более 300 тысяч артистов получили отметку Verified by Spotify, подтверждающую реального человека за музыкой — на них приходится свыше 99% поисковых запросов слушателей. Одновременно компания пометила тысячи профилей AI Persona, которые по умолчанию исключены из рекомендаций. С 2024 года треку нужно набрать не менее 1000 прослушиваний для участия в начислении роялти, и записи с признаками ИИ-генерации в 10 раз чаще не достигают этого порога.

МТС сделала обычный 5G платным: доступ стоит от 199 рублей

С 15 октября абонентам без подключённой опции обычная сеть 5G на частотах LTE со скоростью до 300 Мбит/с недоступна. «УЖЕ 5G» за 199 рублей в месяц даёт доступ к сети, 50 ГБ трафика и приоритет в 4G при нагрузке, «УЖЕ 5G+» за 299 рублей вместо пакета трафика включает безлимитный интернет. Абонентам тарифов ТОП и ТОП+ базовую опцию предоставляют бесплатно.

При запуске 5G в сентябре МТС обещала, что подключение и использование сети не потребуют доплаты — бесплатный доступ продержался около месяца. При этом «Супер 5G» со скоростью до 1,5 Гбит/с остаётся бесплатным и безлимитным в пилотных зонах — такую сеть запустили на 46 площадках в Москве, Санкт-Петербурге, Новосибирске, Екатеринбурге и Уфе.

Ledger представила Atom за $849 — криптокошелёк в корпусе смартфона

Устройство выглядит как Android-смартфон, но eSIM работает только для передачи данных — звонков и SMS нет. Повседневные приложения запускаются в Android, а Ledger OS работает на отдельном защищённом чипе: для операций с криптовалютой устройство переходит в защищённую среду, где сторонние приложения не могут изменить содержание транзакции, которое видит пользователь при подтверждении.

Atom получил OLED-экран на 6,77 дюйма, процессор Qualcomm Dragonwing и аккумулятор на 4000 мА·ч, физический переключатель отключает камеру и микрофон на уровне электрической цепи. Анонс прошёл на фоне расследования подмены кошельков Ledger в цепочке поставок — посредник вшивал в устройства компонент, считывающий секретную фразу из 24 слов. Для Atom компания разработала корпус с датчиками вскрытия, работающими от отдельного источника питания даже при выключенном устройстве. Поставки начнутся летом 2027 года, версию Founder’s Edition можно зарезервировать за $849 с депозитом $100.

XREAL выпустила AR-очки 1 Pro Plus с яркостью 1200 нит

Компания добавила три режима изображения — Standard, Movie и Reading — с переключением прямо на очках и возможностью сохранять пользовательские пресеты. Новая носовая опора должна сделать посадку удобнее при сохранении угла обзора в 57 градусов, чип X1 для пространственного закрепления изображения и преобразования 2D в 3D остался прежним.

Встроенной камеры нет — для управления жестами рук нужен съёмный аксессуар Xreal Eye. Очки уже продаются на сайте XREAL по цене около $599-600.