{"id":502613,"date":"2026-11-10T21:57:04","date_gmt":"2026-11-10T18:57:04","guid":{"rendered":"https:\/\/savepearlharbor.com\/?p=502613"},"modified":"2026-11-10T21:57:04","modified_gmt":"2026-11-10T18:57:04","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=502613","title":{"rendered":"\u0412\u043e \u0438\u043c\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438: \u043a\u0430\u043a \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 Ubuntu 26.04 \u043c\u043e\u0436\u0435\u0442 \u043f\u043e\u043b\u043e\u0436\u0438\u0442\u044c \u0432\u0430\u043c \u043f\u0440\u043e\u0434"},"content":{"rendered":"<div xmlns=\"http:\/\/www.w3.org\/1999\/xhtml\">\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/08\/93\/2e\/08932e95334b5014dfa4ab623e0a8b7c.png\" width=\"1280\" height=\"720\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/08\/93\/2e\/08932e95334b5014dfa4ab623e0a8b7c.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/08\/93\/2e\/08932e95334b5014dfa4ab623e0a8b7c.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u0414\u043e\u0431\u0440\u044b\u0439 \u0434\u0435\u043d\u044c, \u043c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u041f\u0435\u0442\u0440. \u041e\u0431\u044b\u0447\u043d\u043e \u044f \u043d\u0435 \u043f\u0438\u0448\u0443 \u0441\u0442\u0430\u0442\u044c\u0438 \u043f\u0440\u043e \u0431\u0430\u0433\u0438 \u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u0438\u0437 \u0441\u0432\u043e\u0435\u0439 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438, \u043d\u043e \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0432 \u044f\u0434\u0440\u0435 Ubuntu, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u043e\u0436\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043d\u0435\u043f\u0440\u0438\u044f\u0442\u043d\u044b\u0439 \u0441\u044e\u0440\u043f\u0440\u0438\u0437 \u0432 \u0432\u0430\u0448\u0435\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435, \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c \u0435\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c, \u0430 \u0432 \u043a\u043e\u043d\u0446\u0435 &#8212; \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u0430\u0441\u0441\u0443\u0436\u0434\u0430\u0442\u044c \u043f\u0440\u043e \u043e\u0431\u0449\u0443\u044e \u0442\u0435\u043d\u0434\u0435\u043d\u0446\u0438\u044e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 2026 \u0433\u043e\u0434\u0443.<\/p>\n<h2>\u041a\u043e\u0433\u043e \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f?<\/h2>\n<ul>\n<li>\n<p>Ubuntu 26.04 (\u0438\u043b\u0438 \u044f\u0434\u0440\u043e \u0441 \u0431\u044d\u043a\u043f\u043e\u0440\u0442\u043e\u043c \u0438\u0437 7.0.0-41+, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u0432\u0440\u043e\u0434\u0435 linux-aws \u0438 linux-azure);<\/p>\n<\/li>\n<li>\n<p>kernel.apparmor_restrict_unprivileged_unconfined=1 (\u0432 26.04 \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e);<\/p>\n<\/li>\n<li>\n<p>containerd \u0438\u043b\u0438 Docker \u0441\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u043c AppArmor-\u043f\u0440\u043e\u0444\u0438\u043b\u0435\u043c &#8212; \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u043b\u044e\u0431\u043e\u0439 Kubernetes, k3s, RKE2 \u0438\u043b\u0438 Docker-\u0445\u043e\u0441\u0442.<\/p>\n<\/li>\n<\/ul>\n<h2>\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0435 \u0441\u0438\u043c\u043f\u0442\u043e\u043c\u044b<\/h2>\n<ul>\n<li>\n<p>\u041e\u043f\u0435\u0440\u0430\u0446\u0438\u044f kill: (\u2026)  \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 Permission denied \u0432\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u043f\u0440\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0449\u0435\u043c uid \u0438 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u043c seccomp;<\/p>\n<\/li>\n<li>\n<p>gosu (\u0438 \u043b\u044e\u0431\u043e\u0439 Go-\u0431\u0438\u043d\u0430\u0440\u044c, \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 setuid) \u043a\u0440\u0443\u0442\u0438\u0442\u0441\u044f \u043d\u0430 100% CPU, \u043d\u043e \u0441\u0435\u0440\u0432\u0438\u0441 \u043d\u0435 \u0441\u0442\u0430\u0440\u0442\u0443\u0435\u0442 \u0438 \u043b\u043e\u0433\u043e\u0432 \u043d\u0435\u0442;<\/p>\n<\/li>\n<li>\n<p>PostgreSQL: \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 could not signal for checkpoint: Permission denied;<\/p>\n<\/li>\n<li>\n<p>\u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 \u044f\u0434\u0440\u0430 \u0432\u0438\u0434\u0430: apparmor=&#187;DENIED&#187; operation=&#187;signal&#187; \u2026 peer=&#187;cri-containerd.apparmor.d\/\/&amp;unconfined&#187;.<\/p>\n<\/li>\n<\/ul>\n<h2>\u0422\u0438\u043f\u043e\u0432\u043e\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442<\/h2>\n<p>\u0428\u0442\u0430\u0442\u043d\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f: \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0440\u0435\u0441\u0443\u0440\u0441\u044b CPU \u0438 RAM \u043d\u0430 \u043d\u043e\u0434 \u0433\u0440\u0443\u043f\u043f\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d \u0432 Kubernetes \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0435. \u0417\u0430\u043f\u0443\u0441\u043a Terraform \u043a\u043e\u0434\u0430 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0448\u0442\u0430\u0442\u043d\u043e, \u043c\u0430\u0448\u0438\u043d\u044b \u043f\u043e\u0434\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e, \u0432\u0441\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e. \u041e\u0434\u043d\u0430\u043a\u043e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0434\u043e\u0432 PXC (Percona Operator for MySQL) \u043d\u0435 \u043c\u043e\u0433\u0443\u0442 \u0441\u0442\u0430\u0440\u0442\u0430\u043d\u0443\u0442\u044c. \u0412 \u043b\u043e\u0433\u0430\u0445 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0430\u044f \u043f\u0440\u043e\u0441\u044c\u0431\u0430 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u0443:<\/p>\n<pre><code>kubectl -n pxc exec pxc-pxc-0 -c pxc -- sh -c 'kill -s USR1 1' <\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper\"><\/span><\/a><\/div><\/pre>\n<p>\u041e\u0434\u043d\u0430\u043a\u043e, \u0432 \u043e\u0442\u0432\u0435\u0442 \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:<\/p>\n<pre><code>sh: line 1: kill: (1) - Permission deniedcommand terminated with exit code 1<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0427\u0435\u0433\u043e? \u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435. Shell \u043e\u0442 kubectl exec \u0438 PID 1 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u043e\u0434 \u043e\u0434\u043d\u0438\u043c uid 1001 (mysql), capabilities \u043f\u0443\u0441\u0442\u044b\u0435 \u0443 \u043e\u0431\u043e\u0438\u0445, Seccomp: 0. \u041f\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c Unix \u0441\u0438\u0433\u043d\u0430\u043b \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442\u044c.<\/p>\n<pre><code>kill -0 1 &amp;&amp; echo \"kill -0 1 OK\" # OKsleep 30 &amp; kill $!               # Permission denied cat \/proc\/1\/attr\/current         # cri-containerd.apparmor.d\/\/&amp;unconfined (enforce)<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0427\u0435\u0433\u043e \u04452? \u0422\u043e \u0435\u0441\u0442\u044c, \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 Permission denied \u043e\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0436\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430? \u041e\u0442\u043a\u0430\u0437 \u0434\u0430\u0436\u0435 \u0434\u043b\u044f \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e sleep \u043d\u0430\u0432\u0438\u0432\u0430\u0435\u0442 \u043c\u044b\u0441\u043b\u0438 \u043e\u0431 LSM (<strong>Linux Security Module<\/strong>). <\/p>\n<p>\u041b\u0430\u0434\u043d\u043e, \u0431\u044b\u0441\u0442\u0440\u044b\u043c \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c \u0441\u0442\u0430\u043b\u043e \u0441\u043d\u044f\u0442\u0438\u0435 <strong>AppArmor <\/strong>\u0432 CR PerconaXtraDBCluster:<\/p>\n<pre><code>spec:  pxc:    containerSecurityContext:      appArmorProfile:        type: Unconfined<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0410\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u0430 \u0431\u0435\u0437 \u043f\u0435\u0440\u0435\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u043e\u0434\u0430 &#8212; \u043f\u043e\u0441\u043b\u0430\u0442\u044c \u0441\u0438\u0433\u043d\u0430\u043b \u0441 \u0441\u0430\u043c\u043e\u0439 \u043d\u043e\u0434\u044b \u043e\u0442 root, \u043d\u0430\u0439\u0434\u044f host-PID \u0447\u0435\u0440\u0435\u0437 crictl inspect. \u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u0438\u0433\u043d\u0430\u043b\u044b \u043e\u0442 unconfined-\u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u0435\u0439 &#8212; \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a kubelet \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b.<\/p>\n<p>\u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u043d\u0430 \u044d\u0442\u043e\u043c \u0434\u0432\u0438\u0436 \u043d\u0435 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u043b\u0441\u044f: \u043a\u043e\u0433\u0434\u0430 \u0431\u0430\u0437\u0430 \u043f\u043e\u0434\u043d\u044f\u043b\u0430\u0441\u044c, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0442\u0430\u043a \u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043e Ready, \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u0434\u0435\u043f\u043b\u043e\u0439\u043c\u0435\u043d\u0442\u0430 \u043d\u0435 \u043f\u043e\u043c\u043e\u0433. Readiness-\u043f\u0440\u043e\u0431\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430 connection refused, kubectl logs \u0431\u044b\u043b \u043f\u0443\u0441\u0442. \u041f\u0435\u0440\u0432\u0430\u044f \u0433\u0438\u043f\u043e\u0442\u0435\u0437\u0430 &#8212; \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0437\u0430\u0432\u0438\u0441\u043b\u043e \u043d\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043a \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u0411\u0414 &#8212; \u043e\u0442\u043f\u0430\u043b\u0430: \u043f\u043e\u0441\u043b\u0435 \u0441\u0443\u0434\u043e\u0440\u043e\u0436\u043d\u043e\u0433\u043e \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430 \u0436\u0438\u0432\u043e\u0439 \u0431\u0430\u0437\u0435 \u043a\u0430\u0440\u0442\u0438\u043d\u0430 \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043b\u0430\u0441\u044c. \u041b\u0430\u0434\u043d\u043e, \u043b\u0435\u0437\u0435\u043c \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0438 \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443:<\/p>\n<pre><code>PID     ELAPSED STAT %CPU COMMAND      1       02:04 Rsl  95.6 gosu<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u043d\u0435\u0442 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u043b\u0443\u0448\u0430\u044e\u0449\u0435\u0433\u043e \u0441\u043e\u043a\u0435\u0442\u0430 \u0432 \/proc\/net\/tcp, \u043d\u0435\u0442 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u043d\u0435\u0442 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 log\/: \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435\u0442.<\/p>\n<p>\u041d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 gosu \u0436\u0438\u0432\u0451\u0442 \u043c\u0438\u043b\u043b\u0438\u0441\u0435\u043a\u0443\u043d\u0434\u044b: \u043e\u043d \u0434\u0435\u043b\u0430\u0435\u0442 setuid \u0438 exec \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0442\u0430\u043a \u0447\u0442\u043e PID 1 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c gosu \u0447\u0435\u0440\u0435\u0437 \u0434\u0432\u0435 \u043c\u0438\u043d\u0443\u0442\u044b &#8212; \u0443\u0436\u0435 \u043d\u0435\u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e. \u0414\u0430\u043b\u044c\u0448\u0435 \u0442\u0435 \u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0447\u0442\u043e \u0438 \u0434\u043b\u044f PXC:<\/p>\n<pre><code>lsm: cri-containerd.apparmor.d\/\/&amp;unconfined (enforce)Uid:    0  0  0  0Threads: 6          # \u043e\u0434\u0438\u043d \u043f\u043e\u0442\u043e\u043a \u0432 R, \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0432 Ssh: 1: kill: Permission denied<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u043e\u0442\u043e\u043a \u0432 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 R &#8212; \u044d\u0442\u043e \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0446\u0438\u043a\u043b sched_yield \u0432 \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 Go. \u0417\u0434\u0435\u0441\u044c \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432\u0435\u0441\u044c Helm \u0447\u0430\u0440\u0442, \u0447\u0442\u043e\u0431\u044b \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u0447\u0442\u043e \u0438 \u0441 PXC.<\/p>\n<p>\u041f\u043e\u0441\u043b\u0435 30 \u043c\u0438\u043d\u0443\u0442 \u0441\u0442\u0440\u0435\u0441\u0441\u0430 \u0437\u0430\u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u043e. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435, \u0447\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e\u0441\u044c \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0434 &#8212; \u044d\u0442\u043e \u043f\u0430\u0442\u0447 \u0432\u0435\u0440\u0441\u0438\u044f \u044f\u0434\u0440\u0430. \u0412 \u044d\u0442\u0443 \u0441\u0442\u043e\u0440\u043e\u043d\u0443 \u0438 \u0431\u0443\u0434\u0435\u043c \u043a\u0430\u043f\u0430\u0442\u044c.<\/p>\n<h3>\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u043e?<\/h3>\n<p>\u0420\u0435\u0433\u0440\u0435\u0441\u0441\u0438\u044e \u043f\u0440\u0438\u043d\u0451\u0441\u043b\u043e \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 CVE \u0432 AppArmor \u0438\u0437 stable-\u043f\u0430\u0442\u0447\u0441\u0435\u0442\u0430 2026-10-05: \u043e\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e, \u043a\u043e\u0433\u0434\u0430 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043a\u0430\u0435\u0442\u0441\u044f. \u0412 changelog Ubuntu \u044d\u0442\u043e \u0441\u0442\u0440\u043e\u043a\u0430 CVE-2026-90231:<\/p>\n<pre><code>apparmor: fix unconfined user namespace restriction forced stack \u0432 \u0431\u043b\u043e\u043a\u0435 Resolute update: upstream stable patchset 2026-10-05 (LP: #2169638).<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u0430\u044f \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f:<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"center\"><strong>\u0414\u0430\u0442\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u0421\u043e\u0431\u044b\u0442\u0438\u0435<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2025-02-11<\/p>\n<\/td>\n<td>\n<p align=\"left\">apparmor 4.1.0~beta4-0ubuntu1 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 kernel.apparmor_restrict_unprivileged_unconfined=1 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e (<a href=\"https:\/\/github.com\/containerd\/containerd\/issues\/14485\" rel=\"noopener nofollow\">containerd#14485<\/a>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-10-01<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u044b\u0445\u043e\u0434\u0438\u0442 linux 7.0.0-38.38 &#8212; \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435  \u043d\u0435\u0437\u0430\u0442\u0440\u043e\u043d\u0443\u0442\u043e\u0435 \u044f\u0434\u0440\u043e (<a href=\"https:\/\/www.ubuntuupdates.org\/package\/core\/resolute\/main\/updates\/linux\" rel=\"noopener nofollow\">ubuntuupdates<\/a>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-10-15<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0430 linux 7.0.0-42.42 \u0432 Resolute; \u0432 \u043d\u0435\u0433\u043e \u0432\u0445\u043e\u0434\u0438\u0442 changelog 7.0.0-41.41 \u0441 \u0431\u044d\u043a\u043f\u043e\u0440\u0442\u043e\u043c 08c2f7c8d4b1 (<a href=\"https:\/\/launchpad.net\/ubuntu\/+source\/linux\/7.0.0-42.42\" rel=\"noopener nofollow\">Launchpad<\/a>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-10-28<\/p>\n<\/td>\n<td>\n<p align=\"left\">7.0.0-42.42  \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u0435\u0442\u0441\u044f \u0432 resolute-updates; \u0432  \u0442\u043e\u0442 \u0436\u0435 \u0434\u0435\u043d\u044c \u043e\u0442\u043a\u0440\u044b\u0442\u044b <a href=\"https:\/\/bugs.launchpad.net\/ubuntu\/+source\/linux\/+bug\/2172422\" rel=\"noopener nofollow\">LP  #2172422<\/a> (\u00abGo programs livelock in setuid (gosu)\u00bb) \u0438 <a href=\"https:\/\/github.com\/containerd\/containerd\/issues\/14485\" rel=\"noopener nofollow\">containerd#14485<\/a><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-10-29<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d \u0444\u0438\u043a\u0441 \u043f\u0440\u043e\u0444\u0438\u043b\u044f <a href=\"https:\/\/github.com\/containerd\/containerd\/pull\/14487\" rel=\"noopener nofollow\">containerd PR #14487<\/a><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-11-01<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0420\u0430\u043d\u043d\u0435\u0440\u044b GitHub ubuntu-26.04 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442 \u043b\u043e\u043c\u0430\u0442\u044c e2e \u0441 Postgres, MariaDB, CrowdSec (<a href=\"https:\/\/github.com\/zeabur-oss\/zeabur\/issues\/254\" rel=\"noopener nofollow\">zeabur#254<\/a>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-11-02<\/p>\n<\/td>\n<td>\n<p align=\"left\">7.0.0-42.42 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442  \u0432 resolute-security \u2014 \u0442\u0435\u043f\u0435\u0440\u044c  \u0435\u0433\u043e \u0441\u0442\u0430\u0432\u0438\u0442 \u0438 unattended-upgrades; \u043f\u0435\u0440\u0432\u044b\u0435 \u0430\u0432\u0430\u0440\u0438\u0438 \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0434 (<a href=\"https:\/\/github.com\/GiganticMinecraft\/seichi_infra\/issues\/6671\" rel=\"noopener nofollow\">seichi_infra#6671<\/a>)<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026-11-06<\/p>\n<\/td>\n<td>\n<p align=\"left\">7.0.0-43.43 \u0432 resolute-security, \u0441\u0438\u043c\u043f\u0442\u043e\u043c\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f; 7.0.0-44.44 \u0432 proposed<\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"center\">2026\u201311-10<\/p>\n<\/td>\n<td>\n<p align=\"left\">PR #14487 \u0432\u0441\u0451 \u0435\u0449\u0451 \u043d\u0435 \u0441\u043c\u0435\u0440\u0436\u0435\u043d<\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<p>\u0417\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u0440\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445: \u0447\u0430\u0441\u0442\u044c \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u043b\u043e\u0445\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0435\u0439 7.0.0-41, \u0447\u0430\u0441\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430 \u0442\u043e\u043b\u044c\u043a\u043e -42.<\/p>\n<h2>\u041a\u0430\u043a \u044d\u0442\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442?<\/h2>\n<p>\u041a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u043e\u0441\u0442\u0430\u0432\u043d\u0443\u044e \u043c\u0435\u0442\u043a\u0443 AppArmor, \u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044f \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0442 \u0441\u0438\u0433\u043d\u0430\u043b\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438. \u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:<\/p>\n<ol>\n<li>\n<p>\u0412 Ubuntu \u0441 \u0444\u0435\u0432\u0440\u0430\u043b\u044f 2025 \u0433\u043e\u0434\u0430 \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u044f\u0434\u0440\u0430 kernel.apparmor_restrict_unprivileged_unconfined=1. \u041e\u043d \u043c\u0435\u0448\u0430\u0435\u0442 unconfined-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 \u0431\u0435\u0437 CAP_MAC_OVERRIDE \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043c\u0435\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c: \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u043c\u0435\u043d\u044b \u043d\u043e\u0432\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043d\u0430\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u0442\u0435\u043a\u043e\u043c \u043f\u043e\u0432\u0435\u0440\u0445 unconfined <\/p>\n<\/li>\n<li>\n<p>\u041a\u043e\u043c\u043c\u0438\u0442 08c2f7c8d4b1 (CVE-2026-90231) \u0437\u0430\u043a\u0440\u044b\u043b \u043e\u0431\u0445\u043e\u0434 \u044d\u0442\u043e\u0433\u043e \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0438 \u0441\u0442\u0430\u043b \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u0442\u0435\u043a \u0438 \u043f\u0440\u0438 exec.<\/p>\n<\/li>\n<li>\n<p>runc \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0441\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442 capabilities, \u043f\u043e\u0442\u043e\u043c \u0434\u0435\u043b\u0430\u0435\u0442 exec \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0441\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u043c \u043f\u0440\u043e\u0444\u0438\u043b\u0435\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u0434 cri-containerd.apparmor.d\/\/&amp;unconfined (\u0432 Docker \u2014 docker-default\/\/&amp;unconfined).<\/p>\n<\/li>\n<li>\n<p>\u0412 \u0448\u0430\u0431\u043b\u043e\u043d\u0435 \u043f\u0440\u043e\u0444\u0438\u043b\u044f containerd \u0435\u0441\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e signal (receive) peer=cri-containerd.apparmor.d \u0438 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0434\u043b\u044f ptrace. \u0421\u043e\u0441\u0442\u0430\u0432\u043d\u0430\u044f \u043c\u0435\u0442\u043a\u0430 \u043f\u043e\u0434 \u043d\u0438\u0445 \u043d\u0435 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f\u0434\u0440\u043e \u043e\u0442\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u0441\u0438\u0433\u043d\u0430\u043b\u0443 \u043c\u0435\u0436\u0434\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438 \u0438 \u0434\u0430\u0436\u0435 \u043f\u043e\u0442\u043e\u043a\u0430\u043c\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430.<\/p>\n<\/li>\n<\/ol>\n<p>\u0421\u0445\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e, \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:<\/p>\n<figure class=\"full-width \"><img decoding=\"async\" src=\"https:\/\/habrastorage.org\/r\/w1560\/extt\/f4\/e1\/be\/f4e1be5ed8dc06d5364a0f9a546fcdab.png\" width=\"1280\" height=\"821\" sizes=\"auto, (max-width: 780px) 100vw, 50vw\" srcset=\"https:\/\/habrastorage.org\/r\/w780\/extt\/f4\/e1\/be\/f4e1be5ed8dc06d5364a0f9a546fcdab.png 780w,&#10;       https:\/\/habrastorage.org\/r\/w1560\/extt\/f4\/e1\/be\/f4e1be5ed8dc06d5364a0f9a546fcdab.png 781w\" loading=\"lazy\" decode=\"async\"\/><\/figure>\n<p>\u041e\u0442\u043a\u0430\u0437 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432 \u043e\u0434\u043d\u043e\u0439 \u0442\u043e\u0447\u043a\u0435 &#8212; \u0432 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0435 peer. \u0410 \u0434\u0430\u043b\u044c\u0448\u0435 \u043a\u0430\u0436\u0434\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f \u043f\u043e-\u0441\u0432\u043e\u0435\u043c\u0443. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Go \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u0438\u0441\u0438\u0442: \u0441 Go 1.16 syscall.Setuid \u043c\u0435\u043d\u044f\u0435\u0442 uid \u0441\u0440\u0430\u0437\u0443 \u0443 \u0432\u0441\u0435\u0445 \u043f\u043e\u0442\u043e\u043a\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u0420\u0430\u043d\u0442\u0430\u0439\u043c (doAllThreadsSyscall) \u0440\u0430\u0441\u0441\u044b\u043b\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u043f\u043e\u0442\u043e\u043a\u0443 \u0441\u0438\u0433\u043d\u0430\u043b SIGRTMIN+1 \u0447\u0435\u0440\u0435\u0437 tgkill \u0438 \u0436\u0434\u0451\u0442 \u043e\u0442\u0432\u0435\u0442\u0430. AppArmor \u043e\u0442\u043a\u043b\u043e\u043d\u044f\u0435\u0442 tgkill, \u0440\u0430\u043d\u0442\u0430\u0439\u043c \u043e\u0448\u0438\u0431\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0438 \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 sched_yield. \u0421\u043d\u0430\u0440\u0443\u0436\u0438 \u044d\u0442\u043e PID 1 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c gosu, \u043e\u0434\u0438\u043d \u043f\u043e\u0442\u043e\u043a \u0432 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 R, 100% CPU &#8212; \u0438 \u043d\u0438\u043a\u0430\u043a\u043e\u0433\u043e exec \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435. \u0412\u0438\u0437\u0443\u0430\u043b\u044c\u043d\u043e \u0432 Kubernetes \u0431\u0443\u0434\u0435\u0442 \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0432 \u0441\u0442\u0430\u0442\u0443\u0441\u0435 0\/1 Running \u043f\u043e Readiness \u043f\u0440\u043e\u0431\u0430\u043c \u0438 \u0431\u0435\u0437 \u0432\u043d\u044f\u0442\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438, \u0432 \u0447\u0435\u043c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430.<\/p>\n<p>\u0412 \u0442\u0440\u0435\u0434\u0435 Launchpad \u0438 \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0430\u0445 \u0434\u0440\u0443\u0433\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u044d\u0442\u043e \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u043c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u0430 \u043d\u0435 \u0431\u0430\u0433\u043e\u043c \u044f\u0434\u0440\u0430: \u0432 -43 \u043e\u0442\u043a\u0430\u0442\u0430 \u043d\u0435\u0442. \u0427\u0438\u043d\u0438\u0442\u044c \u043d\u0443\u0436\u043d\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd &#8212; \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 <a href=\"https:\/\/github.com\/containerd\/containerd\/pull\/14487\" rel=\"noopener nofollow\">PR #14487<\/a>, \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044f signal \u0438 ptrace \u0434\u043b\u044f peer={{.Name}}\/\/&amp;unconfined.<\/p>\n<h3>\u041a\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0443 \u0441\u0435\u0431\u044f?<\/h3>\n<p>\u0425\u0432\u0430\u0442\u0430\u0435\u0442 \u043f\u044f\u0442\u0438 \u043a\u043e\u043c\u0430\u043d\u0434: \u0442\u0440\u0438 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435 \u0438 \u0434\u0432\u0435 \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u044e\u0431\u043e\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430.<\/p>\n<p>\u041d\u0430 \u043d\u043e\u0434\u0435:<\/p>\n<pre><code>uname -r                                                # 7.0.0-41 \u0438 \u043d\u043e\u0432\u0435\u0435 - \u0432\u044b \u0432 \u0437\u043e\u043d\u0435 \u0440\u0438\u0441\u043a\u0430sysctl kernel.apparmor_restrict_unprivileged_unconfined # = 1 \u2014 \u0432\u044b \u0432 \u0437\u043e\u043d\u0435 \u0440\u0438\u0441\u043a\u0430journalctl -k | grep -i 'apparmor=\"DENIED\".*operation=\"signal\"' | tail<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<p>\u0412\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 (\u043d\u0443\u0436\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e sh):<\/p>\n<pre><code>cat \/proc\/self\/attr\/current        # ...\/\/&amp;unconfined (enforce) \u2014 \u043c\u0435\u0442\u043a\u0430 \u0441\u043e\u0441\u0442\u0430\u0432\u043d\u0430\u044fsleep 30 &amp; kill $! &amp;&amp; echo OK      # Permission denied - \u0432\u044b \u0443\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0443\u0442\u044b<\/code><div class=\"code-explainer\"><a href=\"https:\/\/sourcecraft.dev\/\" class=\"tm-button code-explainer__link\" style=\"visibility: hidden;\"><span class=\"sc-logo-wrapper icon-only\"><\/span><\/a><\/div><\/pre>\n<h3>\u041a\u0430\u043a \u0447\u0438\u043d\u0438\u0442\u044c?<\/h3>\n<p>\u041b\u0443\u0447\u0448\u0438\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 &#8212; \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd \u043d\u0430 \u0445\u043e\u0441\u0442\u0435: AppArmor \u0438 hardening \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u044b, \u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0435 \u043d\u0443\u0436\u043d\u043e \u0442\u0440\u043e\u0433\u0430\u0442\u044c. \u041e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u043f\u043e\u0441\u043e\u0431\u044b \u0431\u044b\u0441\u0442\u0440\u0435\u0435, \u043d\u043e \u0447\u0435\u043c-\u0442\u043e \u0436\u0435\u0440\u0442\u0432\u0443\u044e\u0442.<\/p>\n<div>\n<div class=\"table\">\n<table>\n<tbody>\n<tr>\n<td>\n<p align=\"center\"><strong>\u0421\u043f\u043e\u0441\u043e\u0431<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u0427\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u0426\u0435\u043d\u0430<\/strong><\/p>\n<\/td>\n<td>\n<p align=\"center\"><strong>\u0413\u0434\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043b\u0438<\/strong><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041f\u0440\u043e\u0444\u0438\u043b\u044c \u043d\u0430 \u0445\u043e\u0441\u0442\u0435<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u043a\u043e\u043f\u0438\u044e cri-containerd.apparmor.d \u0441 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0434\u043b\u044f \/\/&amp;unconfined<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041d\u0443\u0436\u043d\u043e \u0440\u0430\u0437\u043b\u043e\u0436\u0438\u0442\u044c \u043d\u0430 \u0432\u0441\u0435 \u043d\u043e\u0434\u044b \u0438 \u0443\u0431\u0440\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u0444\u0438\u043a\u0441\u0430 \u0432 containerd<\/p>\n<\/td>\n<td>\n<p align=\"left\"><a href=\"https:\/\/github.com\/GiganticMinecraft\/seichi_infra\/issues\/6671\" rel=\"noopener nofollow\">seichi_infra<\/a>,  <a href=\"https:\/\/github.com\/zeabur-oss\/zeabur\/issues\/254\" rel=\"noopener nofollow\">zeabur<\/a>, <a href=\"https:\/\/github.com\/zach-source\/nix-fleet\/pull\/86\" rel=\"noopener nofollow\">nix-fleet<\/a><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">sysctl \u2026unconfined=0<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0412\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0441\u0442\u0430\u0440\u043e\u0435  \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0430 \u043f\u0440\u043e\u0444\u0438\u043b\u044f<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u0442 hardening \u043d\u0430 \u0432\u0441\u0451\u043c \u0445\u043e\u0441\u0442\u0435,  \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 CVE-2026-90231<\/p>\n<\/td>\n<td>\n<p align=\"left\"><a href=\"https:\/\/github.com\/AutomatosAI\/automatos-ai\/issues\/1401\" rel=\"noopener nofollow\">AutomatosAI<\/a><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">\u041e\u0442\u043a\u0430\u0442 \u043d\u0430 7.0.0-38 + hold<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0423\u0431\u0438\u0440\u0430\u0435\u0442 \u0441\u0430\u043c\u0443 \u0440\u0435\u0433\u0440\u0435\u0441\u0441\u0438\u044e<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041d\u0435\u0442 CVE-\u0444\u0438\u043a\u0441\u043e\u0432 \u0438\u0437 -41+;  \u043b\u0435\u0433\u043a\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0431\u0440\u0430\u0442\u043d\u043e<\/p>\n<\/td>\n<td>\n<p align=\"left\"><a href=\"https:\/\/github.com\/ZetaTwo\/infrastructure\/issues\/2\" rel=\"noopener nofollow\">ZetaTwo<\/a>, <a href=\"https:\/\/github.com\/GiganticMinecraft\/seichi_infra\/issues\/6671\" rel=\"noopener nofollow\">seichi_infra<\/a><\/p>\n<\/td>\n<\/tr>\n<tr>\n<td>\n<p align=\"left\">appArmorProfile: Unconfined \u043d\u0430 \u043f\u043e\u0434<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u0421\u043d\u0438\u043c\u0430\u0435\u0442 AppArmor \u0441 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e  \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041f\u043e\u0448\u0442\u0443\u0447\u043d\u043e, \u0442\u0440\u0435\u0431\u0443\u0435\u0442 PodSecurity privileged; \u0447\u0430\u0440\u0442 \u0434\u043e\u043b\u0436\u0435\u043d \u0443\u043c\u0435\u0442\u044c \u044d\u0442\u043e \u043f\u043e\u043b\u0435<\/p>\n<\/td>\n<td>\n<p align=\"left\">\u041c\u044b (PXC, Redmine), <a href=\"https:\/\/github.com\/OneUptime\/oneuptime\/pull\/6418\" rel=\"noopener nofollow\">OneUptime<\/a><\/p>\n<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<\/div>\n<h3>\u0412\u044b\u0432\u043e\u0434\u044b<\/h3>\n<p>security-\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u044f\u0434\u0440\u0430 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0442\u0430\u043a, \u0447\u0442\u043e \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0435 \u044f\u0434\u0440\u043e \u0438 \u043d\u0435 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043d\u044b\u0439 \u0440\u0430\u043d\u0442\u0430\u0439\u043c, \u0430 \u0438\u0445 \u0441\u0442\u044b\u043a. \u0421\u0438\u043c\u043f\u0442\u043e\u043c\u044b \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043d\u0430 \u043e\u0431\u0449\u0443\u044e \u043f\u0440\u0438\u0447\u0438\u043d\u0443 \u043d\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442. \u0415\u0441\u043b\u0438 \u0432\u0430\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e &#8212; \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u044e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0440\u0430\u0437\u0431\u043e\u0440\u044b \u0438 \u0430\u0432\u0430\u0440\u0438\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/github.com\/GiganticMinecraft\/seichi_infra\/issues\/6671\" rel=\"noopener nofollow\">seichi_infra #6671<\/a> &#8212; \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 kured \u043d\u0430 -42 \u043b\u0435\u0433\u043b\u0438 mariadb \u0438 \u0438\u0433\u0440\u043e\u0432\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u043e\u043a\u043e\u043b\u043e 7 \u0447\u0430\u0441\u043e\u0432 (\u043d\u0430 \u044f\u043f\u043e\u043d\u0441\u043a\u043e\u043c, \u0441\u0430\u043c\u044b\u0439 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440)<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/zeabur-oss\/zeabur\/issues\/254\" rel=\"noopener nofollow\">zeabur #254<\/a> &#8212; \u0442\u0440\u0438 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u044c-\u043a\u043e\u043f\u0438\u044f \u0434\u043b\u044f K3s\/RKE2<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/stardelt\/stardelt-platform\/issues\/445\" rel=\"noopener nofollow\">stardelt-platform #445<\/a> &#8212; Postgres \u0438 ingress-nginx, \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u043b\u0451\u0433<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/AutomatosAI\/automatos-ai\/issues\/1401\" rel=\"noopener nofollow\">AutomatosAI #1401<\/a> &#8212; PostgreSQL \u0432 k3s, \u0444\u0438\u043a\u0441 \u0447\u0435\u0440\u0435\u0437 sysctl<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/henrybro64\/real_time_stocks_data_explorer\/issues\/308\" rel=\"noopener nofollow\">henrybro64 #308<\/a> &#8212; PostgreSQL \u0438 gosu \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/runs-on\/runner-images-for-aws\/issues\/116\" rel=\"noopener nofollow\">runs-on #116<\/a> \u0438 <a href=\"https:\/\/github.com\/galaxyproject\/galaxy\/pull\/24694\" rel=\"noopener nofollow\">galaxy PR #24694<\/a> &#8212; \u0441\u043b\u043e\u043c\u0430\u043d\u043d\u044b\u0439 CI \u043d\u0430 \u0440\u0430\u043d\u043d\u0435\u0440\u0430\u0445 Ubuntu 26.04<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/OneUptime\/oneuptime\/pull\/6418\" rel=\"noopener nofollow\">OneUptime PR #6418<\/a> &#8212; Unconfined \u0434\u043b\u044f e2e-\u0432\u043e\u0440\u043a\u043b\u043e\u0430\u0434\u043e\u0432<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/ZetaTwo\/infrastructure\/issues\/2\" rel=\"noopener nofollow\">ZetaTwo infrastructure #2<\/a> &#8212; \u0444\u0438\u043a\u0441\u0430\u0446\u0438\u044f \u044f\u0434\u0440\u0430 \u043d\u0430 -38<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/zach-source\/nix-fleet\/pull\/86\" rel=\"noopener nofollow\">nix-fleet PR #86<\/a> &#8212; \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd \u0434\u043b\u044f k0s<\/p>\n<\/li>\n<\/ul>\n<p>\u041e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0442\u0440\u0435\u043a\u0435\u0440\u044b:<\/p>\n<ul>\n<li>\n<p><a href=\"https:\/\/launchpad.net\/ubuntu\/+source\/linux\/7.0.0-42.42\" rel=\"noopener nofollow\">linux 7.0.0-42.42 \u043d\u0430 Launchpad<\/a> &#8212; changelog \u0441 CVE-2026-90231: apparmor: fix unconfined user namespace restriction forced stack (LP: #2169638)<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/www.ubuntuupdates.org\/package\/core\/resolute\/main\/updates\/linux\" rel=\"noopener nofollow\">\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 linux \u0434\u043b\u044f resolute (ubuntuupdates)<\/a><\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/bugs.launchpad.net\/ubuntu\/+source\/linux\/+bug\/2172422\" rel=\"noopener nofollow\">LP #2172422<\/a> &#8212; Go-\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0437\u0430\u0432\u0438\u0441\u0430\u044e\u0442 \u0432 setuid (gosu), \u0441\u0442\u0430\u0442\u0443\u0441 Confirmed, \u0444\u0438\u043a\u0441\u0430 \u043d\u0435\u0442<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/containerd\/containerd\/issues\/14485\" rel=\"noopener nofollow\">containerd issue #14485<\/a> &#8212; \u043e\u0442\u043a\u0440\u044b\u0442 28.10.2026<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/containerd\/containerd\/pull\/14487\" rel=\"noopener nofollow\">containerd PR #14487<\/a> &#8212; \u0444\u0438\u043a\u0441 \u043f\u0440\u043e\u0444\u0438\u043b\u044f, \u043d\u0435 \u0441\u043c\u0435\u0440\u0436\u0435\u043d<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/moby\/moby\/issues\/54099\" rel=\"noopener nofollow\">moby issue #54099<\/a> &#8212; \u0442\u043e \u0436\u0435 \u0434\u043b\u044f docker-default<\/p>\n<\/li>\n<li>\n<p><a href=\"https:\/\/github.com\/k3s-io\/k3s\/issues\/13625\" rel=\"noopener nofollow\">k3s issue #13625<\/a> &#8212; \u0440\u0430\u043d\u043d\u0438\u0439 \u043e\u0442\u0447\u0451\u0442 \u043e \u043e\u0442\u043a\u0430\u0437\u0430\u0445 SIGURG \u043f\u0440\u0438 \u0441\u0442\u0435\u043a\u0438\u043d\u0433\u0435 \u043f\u0440\u043e\u0444\u0438\u043b\u0435\u0439<\/p>\n<\/li>\n<\/ul>\n<h3>\u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435: \u0447\u0442\u043e \u044d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 2026 \u0433\u043e\u0434\u0443<\/h3>\n<p>\u0412 \u043a\u043e\u043d\u0446\u0435, \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u044f, \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u0430\u0441\u0441\u0443\u0436\u0434\u0430\u0442\u044c \u043d\u0430 \u0442\u0435\u043c\u0443 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 \u0446\u0435\u043b\u043e\u043c.<\/p>\n<p>\u041d\u0430\u0448 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 &#8212; \u043c\u0430\u043b\u0435\u043d\u044c\u043a\u0430\u044f \u043c\u043e\u0434\u0435\u043b\u044c \u0432\u0441\u0435\u0433\u043e 2026 \u0433\u043e\u0434\u0430. \u0418\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 CVE \u0431\u044b\u043b\u043e \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u043c \u0438 \u043e\u0441\u043c\u044b\u0441\u043b\u0435\u043d\u043d\u044b\u043c, \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0448\u043b\u043e \u0447\u0435\u0440\u0435\u0437 \u0432\u0441\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u043a\u0430\u043a \u0438 \u0434\u043e\u043b\u0436\u043d\u043e. \u041d\u043e \u0432 \u0438\u0442\u043e\u0433\u0435 \u044d\u0442\u043e\u0442 \u043f\u0430\u0442\u0447 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u043f\u0440\u0435\u0432\u0440\u0430\u0442\u0438\u043b\u0441\u044f \u0432 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0441\u0442\u0438 \u0438 \u0447\u0442\u043e\u0431\u044b \u0431\u044b\u0441\u0442\u0440\u043e \u0435\u0433\u043e \u043f\u043e\u0442\u0443\u0448\u0438\u0442\u044c, \u043c\u044b \u0432\u044b\u043a\u043b\u044e\u0447\u0438\u043b\u0438 MAC \u043d\u0430 \u0431\u0430\u0437\u0435 \u0434\u0430\u043d\u043d\u044b\u0445. \u0417\u0430\u043c\u043a\u043d\u0443\u0442\u044b\u0439 \u043a\u0440\u0443\u0433: \u0444\u0438\u043a\u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u2192 \u0430\u0432\u0430\u0440\u0438\u044f \u2192 \u043e\u0441\u043b\u0430\u0431\u043b\u0435\u043d\u0438\u0435 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438. \u0418 \u043f\u043e\u0445\u043e\u0436\u0435, \u0442\u0430\u043a\u0438\u0435 \u043a\u0440\u0443\u0433\u0438 \u0441\u0442\u0430\u043b\u0438 \u043d\u043e\u0440\u043c\u043e\u0439. \u041f\u0440\u0438\u0447\u0438\u043d\u0430 \u044d\u0442\u043e\u043c\u0443 &#8212; \u0437\u043b\u043e\u0441\u0447\u0430\u0441\u0442\u043d\u044b\u0439 \u0418\u0418:<\/p>\n<ol>\n<li>\n<p><strong>\u041e\u0431\u044a\u0451\u043c \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b \u0431\u044b\u0442\u044c \u043f\u043e\u0441\u0438\u043b\u044c\u043d\u044b\u043c \u0434\u043b\u044f \u043b\u044e\u0434\u0435\u0439.<\/strong> \u0417\u0430 19\u201320 \u0438\u044e\u043b\u044f \u044f\u0434\u0440\u043e Linux \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u043e 432 CVE &#8212; \u043f\u0440\u0438 \u043e\u0431\u044b\u0447\u043d\u044b\u0445 \u043f\u044f\u0442\u0438\u0434\u0435\u0441\u044f\u0442\u0438 \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0432 2025-\u043c. \u0412 \u0430\u043f\u0440\u0435\u043b\u0435 NIST \u043e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 NVD \u0432\u0441\u0451, \u0447\u0442\u043e \u043d\u0435 \u0432\u0445\u043e\u0434\u0438\u0442 \u0432 KEV \u0438 \u0444\u0435\u0434\u0435\u0440\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u043f\u0438\u0441\u043e\u043a, \u0430 \u0422\u043e\u0440\u0432\u0430\u043b\u044c\u0434\u0441 \u043d\u0430\u0437\u0432\u0430\u043b \u0437\u0430\u043a\u0440\u044b\u0442\u0443\u044e security-\u0440\u0430\u0441\u0441\u044b\u043b\u043a\u0443 \u044f\u0434\u0440\u0430 \u00ab\u043f\u043e\u0447\u0442\u0438 \u043f\u043e\u043b\u043d\u043e\u0441\u0442\u044c\u044e \u043d\u0435\u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u043c\u043e\u0439\u00bb (<a href=\"https:\/\/www.noze.it\/en\/insights\/432-linux-kernel-cves-two-days\/\" rel=\"noopener nofollow\">Noze<\/a>). \u0417\u0430\u043c\u0435\u0442\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c \u043f\u043e\u0442\u043e\u043a\u0430 &#8212; \u043d\u0430\u0445\u043e\u0434\u043a\u0438 \u0418\u0418-\u0441\u0438\u0441\u0442\u0435\u043c, \u0438 CSA \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u044d\u0442\u043e \u00ab\u0442\u043e\u0447\u043a\u043e\u0439 \u043f\u0435\u0440\u0435\u0433\u0438\u0431\u0430, \u0430 \u043d\u0435 \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u0435\u043c \u0442\u0440\u0435\u043d\u0434\u0430\u00bb (<a href=\"https:\/\/labs.cloudsecurityalliance.org\/research\/ai-accelerated-patch-wave-enterprise-remediation-model-v1-cs\/\" rel=\"noopener nofollow\">CSA<\/a>).<\/p>\n<\/li>\n<li>\n<p><strong>\u042d\u043a\u0441\u043f\u043b\u043e\u0439\u0442 \u0441\u0442\u0430\u043b \u0431\u044b\u0441\u0442\u0440\u0435\u0435 \u043f\u0430\u0442\u0447\u0430.<\/strong> \u041f\u043e DBIR 2026, \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u043f\u0435\u0440\u0432\u044b\u0435 \u0441\u0442\u0430\u043b\u0430 \u0433\u043b\u0430\u0432\u043d\u044b\u043c \u0432\u0435\u043a\u0442\u043e\u0440\u043e\u043c \u043f\u0435\u0440\u0432\u0438\u0447\u043d\u043e\u0433\u043e \u0434\u043e\u0441\u0442\u0443\u043f\u0430, \u0430 \u043c\u0435\u0434\u0438\u0430\u043d\u043d\u043e\u0435 \u0432\u0440\u0435\u043c\u044f \u043f\u043e\u043b\u043d\u043e\u0433\u043e \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u044f \u0432\u044b\u0440\u043e\u0441\u043b\u043e \u0434\u043e 43 \u0434\u043d\u0435\u0439 (<a href=\"https:\/\/www.zafran.io\/resources\/patches-take-weeks-exploits-take-hours-the-2026-dbir-makes-the-math-brutal\" rel=\"noopener nofollow\">Zafran<\/a>). M-Trends 2026 \u043e\u0446\u0435\u043d\u0438\u0432\u0430\u0435\u0442 \u0441\u0440\u0435\u0434\u043d\u0435\u0435 \u0432\u0440\u0435\u043c\u044f \u0434\u043e \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0430\u0446\u0438\u0438 \u0432 \u043c\u0438\u043d\u0443\u0441 \u0441\u0435\u043c\u044c \u0434\u043d\u0435\u0439 &#8212; \u0430\u0442\u0430\u043a\u0438 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442\u0441\u044f \u0434\u043e \u0432\u044b\u0445\u043e\u0434\u0430 \u0444\u0438\u043a\u0441\u0430 (\u0446\u0438\u0442\u0430\u0442\u0430 \u043f\u043e CSA).<\/p>\n<\/li>\n<li>\n<p><strong>\u0421\u0430\u043c\u0438 \u0444\u0438\u043a\u0441\u044b \u0441\u0442\u0430\u043b\u0438 \u0447\u0430\u0449\u0435 \u043b\u043e\u043c\u0430\u0442\u044c\u0441\u044f.<\/strong> Terra Security \u043f\u043e\u0441\u0447\u0438\u0442\u0430\u043b\u0430: \u0432 2019\u20132025 \u0433\u043e\u0434\u0430\u0445 \u043b\u0438\u0448\u044c 0,2% security-\u0444\u0438\u043a\u0441\u043e\u0432 \u043d\u0430 GitHub \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0438 \u0432 \u0442\u0435\u0447\u0435\u043d\u0438\u0435 90 \u0434\u043d\u0435\u0439 \u043f\u043e\u0432\u0442\u043e\u0440\u043d\u044b\u0439 advisory \u043e \u043d\u0435\u0440\u0430\u0431\u043e\u0447\u0435\u043c \u043f\u0430\u0442\u0447\u0435, \u0432 2026-\u043c &#8212; 2,3%. \u0412 \u044f\u0434\u0440\u0435 3,2% CVE \u0432\u043d\u0435\u0441\u0435\u043d\u044b \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435\u043c \u0434\u0440\u0443\u0433\u043e\u0439 CVE, \u0430 \u0432 \u0433\u043e\u0440\u044f\u0447\u0438\u0445 \u043f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0430\u0445 \u0432\u0440\u043e\u0434\u0435 net\/sched \u2014 \u043e\u043a\u043e\u043b\u043e 10% (<a href=\"https:\/\/www.theregister.com\/patches\/2026\/10\/19\/security-patches-need-patches-now-that-attackers-have-ai\/5303927\" rel=\"noopener nofollow\">The Register<\/a>). \u041e\u043f\u0438\u0441\u0430\u043d\u044b\u0439 \u043c\u043d\u043e\u0439 \u0441\u043b\u0443\u0447\u0430\u0439 \u0444\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e \u043d\u0435 &#171;\u0441\u043b\u043e\u043c\u0430\u043d\u043d\u044b\u0439 \u0444\u0438\u043a\u0441&#187;, \u043d\u043e \u0438\u0437 \u0442\u043e\u0433\u043e \u0436\u0435 \u043e\u043f\u0435\u0440\u044b: \u043f\u0430\u0442\u0447 \u0438\u0437\u043c\u0435\u043d\u0438\u043b \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435, \u0430 \u044d\u043a\u043e\u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u0437\u0430 \u043d\u0438\u043c \u043d\u0435 \u0443\u0441\u043f\u0435\u043b\u0430 &#8212; PR \u0432 containerd \u0434\u0432\u0435 \u043d\u0435\u0434\u0435\u043b\u0438 \u0436\u0434\u0451\u0442 \u0440\u0435\u0432\u044c\u044e.<\/p>\n<\/li>\n<\/ol>\n<p>\u041c\u043e\u0436\u043d\u043e \u043f\u043e\u043f\u044b\u0442\u0430\u0442\u044c\u0441\u044f \u043d\u0430\u0439\u0442\u0438 \u043f\u043e\u0437\u0438\u0442\u0438\u0432: \u0443\u0434\u0432\u043e\u0435\u043d\u0438\u0435 \u043e\u0431\u044a\u044f\u0441\u043d\u044f\u0435\u0442\u0441\u044f \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0418\u0418, \u043d\u043e \u0438 \u0430\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u0432\u044b\u0434\u0430\u0447\u0435\u0439 CVE \u0432 open source. \u0418\u0437 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e 5 000 CVE \u044f\u0434\u0440\u0430 \u0437\u0430 \u044f\u043d\u0432\u0430\u0440\u044c-\u0430\u0432\u0433\u0443\u0441\u0442 \u043d\u0438 \u043e\u0434\u043d\u0430 \u043d\u0435 \u0431\u044b\u043b\u0430 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u043c 0-day. <\/p>\n<p>\u0414\u0430\u0435\u0442 \u043b\u0438 \u044d\u0442\u043e \u043d\u0430\u0434\u0435\u0436\u0434\u0443 \u043d\u0430 \u0440\u0430\u0441\u0441\u043b\u0430\u0431\u043b\u0435\u043d\u0438\u0435? \u041d\u0435\u0442. \u0420\u0430\u0437\u0431\u0438\u0440\u0430\u0442\u044c CVE \u044f\u0434\u0440\u0430 \u043f\u043e \u043e\u0434\u043d\u043e\u0439 \u0443\u0436\u0435 \u043d\u0435\u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f\u0434\u0440\u043e \u0431\u0435\u0440\u0443\u0442 \u0446\u0435\u043b\u0438\u043a\u043e\u043c, \u043f\u043e\u0442\u043e\u043a\u043e\u043c stable-\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439. \u041d\u043e \u0432\u043c\u0435\u0441\u0442\u0435 \u0441 \u0441\u043e\u0442\u043d\u044f\u043c\u0438 \u043d\u0438\u043a\u0435\u043c \u043d\u0435 \u044d\u043a\u0441\u043f\u043b\u0443\u0430\u0442\u0438\u0440\u0443\u0435\u043c\u044b\u0445 \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0439 \u0432 \u044d\u0442\u043e\u043c \u043f\u043e\u0442\u043e\u043a\u0435 \u043f\u0440\u0438\u0435\u0437\u0436\u0430\u044e\u0442 \u0438 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f \u0432\u0440\u043e\u0434\u0435 CVE-2026-90231. \u0422\u0435\u043f\u0435\u0440\u044c \u0443\u0433\u0440\u043e\u0437\u0430 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u043f\u0435\u0440\u0435\u0448\u043b\u0430 \u0438\u0437 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0438 &#171;\u043e\u0439, \u043d\u0435 \u0443\u0441\u043f\u0435\u043b\u0438 \u0437\u0430\u043f\u0430\u0442\u0447\u0438\u0442\u044c \u044f\u0434\u0440\u043e&#187; \u0432 &#171;\u043e\u0439, \u0437\u0430\u043f\u0430\u0442\u0447\u0438\u043b\u0438 \u044f\u0434\u0440\u043e \u0438 \u043d\u0435 \u0437\u0430\u043c\u0435\u0442\u0438\u043b\u0438, \u0447\u0442\u043e \u0443\u0440\u043e\u043d\u0438\u043b\u0438 \u043f\u0440\u043e\u0434&#187;.<\/p>\n<p>\u041a\u043b\u0430\u0441\u0441, \u043d\u0430\u0433\u043d\u0430\u043b\u0438 \u0436\u0443\u0442\u0438. \u0410 \u0447\u0442\u043e \u044d\u0442\u043e \u0432\u0441\u0435 \u0437\u043d\u0430\u0447\u0438\u0442 \u0434\u043b\u044f \u0440\u044f\u0434\u043e\u0432\u043e\u0433\u043e \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u043d\u043e\u0433\u043e \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430 \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435?<\/p>\n<ol>\n<li>\n<p><strong>\u0422\u0435\u043f\u0435\u0440\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u044f\u0434\u0440\u0430 &#8212; \u044d\u0442\u043e \u0440\u0435\u043b\u0438\u0437, \u0430 \u043d\u0435 \u0444\u043e\u043d\u043e\u0432\u0430\u044f \u0437\u0430\u0434\u0430\u0447\u0430.<\/strong> \u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0437\u0430\u0446\u0438\u044f \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0438 \u043d\u0430\u043a\u0430\u0442\u043a\u0438 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439 \u043d\u0443\u0436\u043d\u0430, \u0431\u0435\u0437 \u043d\u0435\u0451 \u043f\u043e\u0442\u043e\u043a \u043f\u0430\u0442\u0447\u0435\u0439 \u043d\u0435 \u043f\u0435\u0440\u0435\u0432\u0430\u0440\u0438\u0442\u044c. \u041d\u043e \u0432 \u043d\u0435\u0439 \u0434\u043e\u043b\u0436\u043d\u044b \u0431\u044b\u0442\u044c \u043a\u0430\u043d\u0430\u0440\u0435\u0435\u0447\u043d\u044b\u0435 \u0440\u0435\u043b\u0438\u0437\u044b, \u0442\u0435\u0441\u0442\u044b \u043d\u0430 dev \u0441\u0442\u0435\u043d\u0434\u0430\u0445 \u0438 \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0447\u0435\u0441\u043a\u0438\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0439, \u0430 \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0442\u043e, \u0447\u0442\u043e \u043d\u043e\u0434\u044b \u043f\u043e\u0434\u043d\u044f\u043b\u0438\u0441\u044c.<\/p>\n<\/li>\n<li>\n<p><strong>\u041f\u0440\u0438 \u0430\u0432\u0430\u0440\u0438\u0438 \u043e\u0441\u043b\u0430\u0431\u043b\u044f\u0442\u044c \u0437\u0430\u0449\u0438\u0442\u0443 \u0442\u043e\u0447\u0435\u0447\u043d\u043e \u0438 \u0441\u043e \u0441\u0440\u043e\u043a\u043e\u043c.<\/strong> sysctl=0 \u043d\u0430 \u0432\u0441\u0451\u043c \u0438\u043b\u0438 \u043e\u0442\u043a\u0430\u0442 \u043d\u0430 \u044f\u0434\u0440\u043e \u0431\u0435\u0437 CVE-\u0444\u0438\u043a\u0441\u043e\u0432 &#8212; \u044d\u0442\u043e \u043e\u0431\u043c\u0435\u043d \u043e\u0434\u043d\u043e\u0433\u043e \u0440\u0438\u0441\u043a\u0430 \u043d\u0430 \u0434\u0440\u0443\u0433\u043e\u0439, \u043f\u0440\u043e\u0441\u0442\u043e \u043c\u0435\u043d\u0435\u0435 \u0437\u0430\u043c\u0435\u0442\u043d\u044b\u0439. \u041a\u0430\u0436\u0434\u043e\u0435 \u0438\u0441\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 &#8212; \u0441 \u043e\u0431\u043e\u0441\u043d\u043e\u0432\u0430\u043d\u0438\u0435\u043c, \u043a\u043e\u043c\u043f\u0435\u043d\u0441\u0438\u0440\u0443\u044e\u0449\u0438\u043c \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0435\u043c \u0438 \u0434\u0430\u0442\u043e\u0439 \u0438\u0441\u0442\u0435\u0447\u0435\u043d\u0438\u044f.<\/p>\n<\/li>\n<li>\n<p><strong>\u0420\u0435\u0434\u043a\u0438\u0435 \u043f\u0443\u0442\u0438 \u043a\u043e\u0434\u0430 \u043b\u043e\u043c\u0430\u044e\u0442\u0441\u044f \u043f\u0435\u0440\u0432\u044b\u043c\u0438.<\/strong> \u0420\u0430\u0431\u043e\u0442\u0430\u044e\u0449\u0438\u0439 \u0441\u0435\u0440\u0432\u0438\u0441 \u043c\u043e\u0436\u0435\u0442 \u043d\u0435\u0434\u0435\u043b\u044f\u043c\u0438 \u0436\u0438\u0442\u044c \u043d\u0430 \u043d\u043e\u0432\u043e\u043c \u044f\u0434\u0440\u0435, \u043f\u043e\u043a\u0430 \u043d\u0435 \u043f\u043e\u043d\u0430\u0434\u043e\u0431\u0438\u0442\u0441\u044f \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a, \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0438\u043b\u0438 graceful shutdown \u0438 \u0442\u0443\u0442 \u0432\u0430\u0441 \u043c\u043e\u0436\u0435\u0442 \u0436\u0434\u0430\u0442\u044c \u0441\u044e\u0440\u043f\u0440\u0438\u0437. \u0422\u0430\u043a\u0438\u0435 \u0441\u0435\u0440\u0432\u0438\u0441\u044b \u043d\u0443\u0436\u043d\u043e \u043f\u0440\u043e\u0433\u043e\u043d\u044f\u0442\u044c \u0440\u0435\u0433\u0443\u043b\u044f\u0440\u043d\u043e.<\/p>\n<\/li>\n<li>\n<p><strong>\u0421\u043b\u0435\u0434\u0438\u0442\u044c \u043d\u0435 \u0442\u043e\u043b\u044c\u043a\u043e \u0437\u0430 CVE, \u043d\u043e \u0438 \u0437\u0430 \u0440\u0435\u0433\u0440\u0435\u0441\u0441\u0438\u044f\u043c\u0438.<\/strong> \u041f\u0435\u0440\u0432\u044b\u0435 \u0441\u0438\u0433\u043d\u0430\u043b\u044b \u043f\u0440\u043e \u044d\u0442\u0443 \u0438\u0441\u0442\u043e\u0440\u0438\u044e \u043f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u0432 Launchpad \u0438 GitHub \u0437\u0430 \u043d\u0435\u0434\u0435\u043b\u0438 \u0434\u043e \u043d\u0430\u0448\u0435\u0439 \u0430\u0432\u0430\u0440\u0438\u0438. \u0415\u0441\u043b\u0438 \u0431\u044b \u043c\u044b \u0441\u043e \u0441\u0432\u043e\u0435\u0439 \u0441\u0442\u043e\u0440\u043e\u043d\u044b \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b\u0438 \u0441\u0442\u0430\u0442\u044c\u0438 \u043d\u0430 \u044d\u0442\u0443 \u0442\u0435\u043c\u0443 \u0437\u0430\u0440\u0430\u043d\u0435\u0435 &#8212; \u0438\u0437\u0431\u0435\u0436\u0430\u043b\u0438 \u0431\u044b \u0430\u0432\u0430\u0440\u0438\u0438. \u0420\u0430\u0441\u0441\u044b\u043b\u043a\u0430 \u043f\u043e \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u043c \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u043c (\u044f\u0434\u0440\u043e, \u0440\u0430\u043d\u0442\u0430\u0439\u043c, \u043e\u043f\u0435\u0440\u0430\u0442\u043e\u0440\u044b \u0411\u0414) \u0434\u0435\u0448\u0435\u0432\u043b\u0435 \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0440\u043e\u0441\u0442\u043e\u044f. <\/p>\n<\/li>\n<\/ol>\n<p>\u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0432 2026 \u0433\u043e\u0434\u0443 \u043f\u0435\u0440\u0435\u0441\u0442\u0430\u043b\u0430 \u0431\u044b\u0442\u044c \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u043c &#171;\u0443\u0441\u043f\u0435\u043b\u0438 \u043b\u0438 \u043c\u044b \u043f\u043e\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u0430\u0442\u0447 \u0437\u0430 \u043d\u0435\u0434\u0435\u043b\u044e&#187;. \u0422\u0435\u043f\u0435\u0440\u044c \u044d\u0442\u043e \u0432\u043e\u043f\u0440\u043e\u0441 \u0442\u043e\u0433\u043e, \u0443\u043c\u0435\u0435\u0442 \u043b\u0438 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0430 \u043f\u0435\u0440\u0435\u0432\u0430\u0440\u0438\u0432\u0430\u0442\u044c \u043f\u043e\u0441\u0442\u043e\u044f\u043d\u043d\u044b\u0439 \u043f\u043e\u0442\u043e\u043a \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0439, \u0438\u043d\u043e\u0433\u0434\u0430 \u043b\u043e\u043c\u0430\u044e\u0449\u0438\u0445, \u0438 \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043d\u0435 \u0440\u0430\u0441\u043f\u043b\u0430\u0447\u0438\u0432\u0430\u0442\u044c\u0441\u044f \u0437\u0430 \u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0441\u0442\u044c \u0441\u0430\u043c\u043e\u0439 \u0437\u0430\u0449\u0438\u0442\u043e\u0439. \u0422\u0435\u043f\u0435\u0440\u044c \u0441\u043a\u043e\u0440\u043e\u0441\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0431\u0435\u0437 \u0443\u043c\u0435\u043d\u0438\u044f \u0431\u044b\u0441\u0442\u0440\u043e \u0437\u0430\u043c\u0435\u0442\u0438\u0442\u044c \u0438 \u043e\u0442\u043a\u0430\u0442\u0438\u0442\u044c \u0441\u043b\u043e\u043c\u0430\u043d\u043d\u043e\u0435 &#8212; \u044d\u0442\u043e \u043f\u0440\u043e\u0441\u0442\u043e \u0431\u044b\u0441\u0442\u0440\u0430\u044f \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0430 \u0430\u0432\u0430\u0440\u0438\u0439 \u043d\u0430 \u043f\u0440\u043e\u0434.<\/p>\n<\/div>\n<p>\u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438 <a href=\"https:\/\/habr.com\/ru\/articles\/1106282\/\">https:\/\/habr.com\/ru\/articles\/1106282\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>\u0414\u043e\u0431\u0440\u044b\u0439 \u0434\u0435\u043d\u044c, \u043c\u0435\u043d\u044f \u0437\u043e\u0432\u0443\u0442 \u041f\u0435\u0442\u0440. \u041e\u0431\u044b\u0447\u043d\u043e \u044f \u043d\u0435 \u043f\u0438\u0448\u0443 \u0441\u0442\u0430\u0442\u044c\u0438 \u043f\u0440\u043e \u0431\u0430\u0433\u0438 \u0438 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u044b \u0438\u0437 \u0441\u0432\u043e\u0435\u0439 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0438, \u043d\u043e \u0441\u0435\u0433\u043e\u0434\u043d\u044f \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043e\u043f\u0438\u0441\u0430\u0442\u044c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u0432 \u044f\u0434\u0440\u0435 Ubuntu, \u043a\u043e\u0442\u043e\u0440\u043e\u0435 \u043c\u043e\u0436\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0442\u044c \u043d\u0435\u043f\u0440\u0438\u044f\u0442\u043d\u044b\u0439 \u0441\u044e\u0440\u043f\u0440\u0438\u0437 \u0432 \u0432\u0430\u0448\u0435\u0439 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435, \u0440\u0430\u0437\u043e\u0431\u0440\u0430\u0442\u044c \u0435\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c, \u0430 \u0432 \u043a\u043e\u043d\u0446\u0435 &#8212; \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u0430\u0441\u0441\u0443\u0436\u0434\u0430\u0442\u044c \u043f\u0440\u043e \u043e\u0431\u0449\u0443\u044e \u0442\u0435\u043d\u0434\u0435\u043d\u0446\u0438\u044e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 2026 \u0433\u043e\u0434\u0443.\u041a\u043e\u0433\u043e \u043a\u0430\u0441\u0430\u0435\u0442\u0441\u044f?Ubuntu 26.04 (\u0438\u043b\u0438 \u044f\u0434\u0440\u043e \u0441 \u0431\u044d\u043a\u043f\u043e\u0440\u0442\u043e\u043c \u0438\u0437 7.0.0-41+, \u0432\u043a\u043b\u044e\u0447\u0430\u044f \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0435 \u0441\u0431\u043e\u0440\u043a\u0438 \u0432\u0440\u043e\u0434\u0435 linux-aws \u0438 linux-azure);kernel.apparmor_restrict_unprivileged_unconfined=1 (\u0432 26.04 \u044d\u0442\u043e \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e);containerd \u0438\u043b\u0438 Docker \u0441\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u043c AppArmor-\u043f\u0440\u043e\u0444\u0438\u043b\u0435\u043c &#8212; \u0442\u043e \u0435\u0441\u0442\u044c \u043f\u043e\u0447\u0442\u0438 \u043b\u044e\u0431\u043e\u0439 Kubernetes, k3s, RKE2 \u0438\u043b\u0438 Docker-\u0445\u043e\u0441\u0442.\u0425\u0430\u0440\u0430\u043a\u0442\u0435\u0440\u043d\u044b\u0435 \u0441\u0438\u043c\u043f\u0442\u043e\u043c\u044b\u041e\u043f\u0435\u0440\u0430\u0446\u0438\u044f kill: (\u2026)  \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 Permission denied \u0432\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 \u043f\u0440\u0438 \u0441\u043e\u0432\u043f\u0430\u0434\u0430\u044e\u0449\u0435\u043c uid \u0438 \u0432\u044b\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u043e\u043c seccomp;gosu (\u0438 \u043b\u044e\u0431\u043e\u0439 Go-\u0431\u0438\u043d\u0430\u0440\u044c, \u0432\u044b\u0437\u044b\u0432\u0430\u044e\u0449\u0438\u0439 setuid) \u043a\u0440\u0443\u0442\u0438\u0442\u0441\u044f \u043d\u0430 100% CPU, \u043d\u043e \u0441\u0435\u0440\u0432\u0438\u0441 \u043d\u0435 \u0441\u0442\u0430\u0440\u0442\u0443\u0435\u0442 \u0438 \u043b\u043e\u0433\u043e\u0432 \u043d\u0435\u0442;PostgreSQL: \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043e\u0448\u0438\u0431\u043a\u0443 could not signal for checkpoint: Permission denied;\u0421\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u044f \u0432 \u0436\u0443\u0440\u043d\u0430\u043b\u0435 \u044f\u0434\u0440\u0430 \u0432\u0438\u0434\u0430: apparmor=&#187;DENIED&#187; operation=&#187;signal&#187; \u2026 peer=&#187;cri-containerd.apparmor.d\/\/&amp;unconfined&#187;.\u0422\u0438\u043f\u043e\u0432\u043e\u0439 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0428\u0442\u0430\u0442\u043d\u0430\u044f \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f: \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u0442\u044c \u0440\u0435\u0441\u0443\u0440\u0441\u044b CPU \u0438 RAM \u043d\u0430 \u043d\u043e\u0434 \u0433\u0440\u0443\u043f\u043f\u0435 \u0432\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0445 \u043c\u0430\u0448\u0438\u043d \u0432 Kubernetes \u043a\u043b\u0430\u0441\u0442\u0435\u0440\u0435. \u0417\u0430\u043f\u0443\u0441\u043a Terraform \u043a\u043e\u0434\u0430 \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442 \u0448\u0442\u0430\u0442\u043d\u043e, \u043c\u0430\u0448\u0438\u043d\u044b \u043f\u043e\u0434\u043d\u0438\u043c\u0430\u044e\u0442\u0441\u044f \u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u043e, \u0432\u0441\u0435 \u0437\u0430\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e. \u041e\u0434\u043d\u0430\u043a\u043e \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043f\u043e\u0434\u043e\u0432 PXC (Percona Operator for MySQL) \u043d\u0435 \u043c\u043e\u0433\u0443\u0442 \u0441\u0442\u0430\u0440\u0442\u0430\u043d\u0443\u0442\u044c. \u0412 \u043b\u043e\u0433\u0430\u0445 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u0430\u044f \u043f\u0440\u043e\u0441\u044c\u0431\u0430 \u0438\u043d\u0438\u0446\u0438\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0447\u0435\u0440\u0435\u0437 \u043a\u043e\u043c\u0430\u043d\u0434\u0443:kubectl -n pxc exec pxc-pxc-0 -c pxc &#8212; sh -c &#8216;kill -s USR1 1&#8217; \u041e\u0434\u043d\u0430\u043a\u043e, \u0432 \u043e\u0442\u0432\u0435\u0442 \u043f\u0440\u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u043c:sh: line 1: kill: (1) &#8212; Permission deniedcommand terminated with exit code 1\u0427\u0435\u0433\u043e? \u0421\u043d\u0430\u0447\u0430\u043b\u0430 \u0438\u0441\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u043e\u0447\u0435\u0432\u0438\u0434\u043d\u043e\u0435. Shell \u043e\u0442 kubectl exec \u0438 PID 1 \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442 \u043f\u043e\u0434 \u043e\u0434\u043d\u0438\u043c uid 1001 (mysql), capabilities \u043f\u0443\u0441\u0442\u044b\u0435 \u0443 \u043e\u0431\u043e\u0438\u0445, Seccomp: 0. \u041f\u043e \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c Unix \u0441\u0438\u0433\u043d\u0430\u043b \u0434\u043e\u043b\u0436\u0435\u043d \u043f\u0440\u043e\u0445\u043e\u0434\u0438\u0442\u044c.kill -0 1 &amp;&amp; echo &#171;kill -0 1 OK&#187; # OKsleep 30 &amp; kill $!               # Permission denied cat \/proc\/1\/attr\/current         # cri-containerd.apparmor.d\/\/&amp;unconfined (enforce)\u0427\u0435\u0433\u043e \u04452? \u0422\u043e \u0435\u0441\u0442\u044c, \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 Permission denied \u043e\u0442 \u0441\u0432\u043e\u0435\u0433\u043e \u0436\u0435 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430? \u041e\u0442\u043a\u0430\u0437 \u0434\u0430\u0436\u0435 \u0434\u043b\u044f \u0441\u043e\u0431\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0433\u043e sleep \u043d\u0430\u0432\u0438\u0432\u0430\u0435\u0442 \u043c\u044b\u0441\u043b\u0438 \u043e\u0431 LSM (Linux Security Module). \u041b\u0430\u0434\u043d\u043e, \u0431\u044b\u0441\u0442\u0440\u044b\u043c \u0440\u0435\u0448\u0435\u043d\u0438\u0435\u043c \u0441\u0442\u0430\u043b\u043e \u0441\u043d\u044f\u0442\u0438\u0435 AppArmor \u0432 CR PerconaXtraDBCluster:spec:  pxc:    containerSecurityContext:      appArmorProfile:        type: Unconfined\u0410\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u0430 \u0431\u0435\u0437 \u043f\u0435\u0440\u0435\u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u043f\u043e\u0434\u0430 &#8212; \u043f\u043e\u0441\u043b\u0430\u0442\u044c \u0441\u0438\u0433\u043d\u0430\u043b \u0441 \u0441\u0430\u043c\u043e\u0439 \u043d\u043e\u0434\u044b \u043e\u0442 root, \u043d\u0430\u0439\u0434\u044f host-PID \u0447\u0435\u0440\u0435\u0437 crictl inspect. \u0421\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043f\u0440\u0438\u043d\u0438\u043c\u0430\u0435\u0442 \u0441\u0438\u0433\u043d\u0430\u043b\u044b \u043e\u0442 unconfined-\u043e\u0442\u043f\u0440\u0430\u0432\u0438\u0442\u0435\u043b\u0435\u0439 &#8212; \u0438\u043c\u0435\u043d\u043d\u043e \u0442\u0430\u043a kubelet \u0438 \u043e\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u044b.\u0422\u0435\u043c \u043d\u0435 \u043c\u0435\u043d\u0435\u0435, \u043d\u0430 \u044d\u0442\u043e\u043c \u0434\u0432\u0438\u0436 \u043d\u0435 \u0437\u0430\u043a\u043e\u043d\u0447\u0438\u043b\u0441\u044f: \u043a\u043e\u0433\u0434\u0430 \u0431\u0430\u0437\u0430 \u043f\u043e\u0434\u043d\u044f\u043b\u0430\u0441\u044c, \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0442\u0430\u043a \u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043e Ready, \u0438 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a \u0434\u0435\u043f\u043b\u043e\u0439\u043c\u0435\u043d\u0442\u0430 \u043d\u0435 \u043f\u043e\u043c\u043e\u0433. Readiness-\u043f\u0440\u043e\u0431\u0430 \u043f\u043e\u043b\u0443\u0447\u0430\u043b\u0430 connection refused, kubectl logs \u0431\u044b\u043b \u043f\u0443\u0441\u0442. \u041f\u0435\u0440\u0432\u0430\u044f \u0433\u0438\u043f\u043e\u0442\u0435\u0437\u0430 &#8212; \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u0437\u0430\u0432\u0438\u0441\u043b\u043e \u043d\u0430 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0438 \u043a \u043d\u0435\u0434\u043e\u0441\u0442\u0443\u043f\u043d\u043e\u0439 \u0411\u0414 &#8212; \u043e\u0442\u043f\u0430\u043b\u0430: \u043f\u043e\u0441\u043b\u0435 \u0441\u0443\u0434\u043e\u0440\u043e\u0436\u043d\u043e\u0433\u043e \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0430 \u0436\u0438\u0432\u043e\u0439 \u0431\u0430\u0437\u0435 \u043a\u0430\u0440\u0442\u0438\u043d\u0430 \u043f\u043e\u0432\u0442\u043e\u0440\u0438\u043b\u0430\u0441\u044c. \u041b\u0430\u0434\u043d\u043e, \u043b\u0435\u0437\u0435\u043c \u0432 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0438 \u0444\u0438\u043a\u0441\u0438\u0440\u0443\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0443\u044e \u043a\u0430\u0440\u0442\u0438\u043d\u0443:PID     ELAPSED STAT %CPU COMMAND      1       02:04 Rsl  95.6 gosu\u0412 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0435 \u043d\u0435\u0442 \u043d\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u0441\u043b\u0443\u0448\u0430\u044e\u0449\u0435\u0433\u043e \u0441\u043e\u043a\u0435\u0442\u0430 \u0432 \/proc\/net\/tcp, \u043d\u0435\u0442 \u0434\u043e\u0447\u0435\u0440\u043d\u0438\u0445 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0432, \u043d\u0435\u0442 \u0444\u0430\u0439\u043b\u043e\u0432 \u0432 log\/: \u0432\u043e\u043e\u0431\u0449\u0435 \u043d\u0438\u0447\u0435\u0433\u043e \u043d\u0435\u0442.\u041d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u044b\u0439 gosu \u0436\u0438\u0432\u0451\u0442 \u043c\u0438\u043b\u043b\u0438\u0441\u0435\u043a\u0443\u043d\u0434\u044b: \u043e\u043d \u0434\u0435\u043b\u0430\u0435\u0442 setuid \u0438 exec \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435, \u0442\u0430\u043a \u0447\u0442\u043e PID 1 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c gosu \u0447\u0435\u0440\u0435\u0437 \u0434\u0432\u0435 \u043c\u0438\u043d\u0443\u0442\u044b &#8212; \u0443\u0436\u0435 \u043d\u0435\u043d\u043e\u0440\u043c\u0430\u043b\u044c\u043d\u043e. \u0414\u0430\u043b\u044c\u0448\u0435 \u0442\u0435 \u0436\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0447\u0442\u043e \u0438 \u0434\u043b\u044f PXC:lsm: cri-containerd.apparmor.d\/\/&amp;unconfined (enforce)Uid:    0  0  0  0Threads: 6          # \u043e\u0434\u0438\u043d \u043f\u043e\u0442\u043e\u043a \u0432 R, \u043e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0432 Ssh: 1: kill: Permission denied\u041f\u043e\u0442\u043e\u043a \u0432 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 R &#8212; \u044d\u0442\u043e \u0442\u043e\u0442 \u0441\u0430\u043c\u044b\u0439 \u0446\u0438\u043a\u043b sched_yield \u0432 \u0440\u0430\u043d\u0442\u0430\u0439\u043c\u0435 Go. \u0417\u0434\u0435\u0441\u044c \u043f\u0440\u0438\u0448\u043b\u043e\u0441\u044c \u043f\u0435\u0440\u0435\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432\u0435\u0441\u044c Helm \u0447\u0430\u0440\u0442, \u0447\u0442\u043e\u0431\u044b \u0434\u043e\u0431\u0430\u0432\u0438\u0442\u044c \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0435 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b, \u0447\u0442\u043e \u0438 \u0441 PXC.\u041f\u043e\u0441\u043b\u0435 30 \u043c\u0438\u043d\u0443\u0442 \u0441\u0442\u0440\u0435\u0441\u0441\u0430 \u0437\u0430\u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u043f\u043e\u043d\u044f\u0442\u044c, \u0447\u0442\u043e \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u043e. \u0415\u0434\u0438\u043d\u0441\u0442\u0432\u0435\u043d\u043d\u043e\u0435, \u0447\u0442\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e\u0441\u044c \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0434 &#8212; \u044d\u0442\u043e \u043f\u0430\u0442\u0447 \u0432\u0435\u0440\u0441\u0438\u044f \u044f\u0434\u0440\u0430. \u0412 \u044d\u0442\u0443 \u0441\u0442\u043e\u0440\u043e\u043d\u0443 \u0438 \u0431\u0443\u0434\u0435\u043c \u043a\u0430\u043f\u0430\u0442\u044c.\u0427\u0442\u043e \u043f\u0440\u043e\u0438\u0437\u043e\u0448\u043b\u043e?\u0420\u0435\u0433\u0440\u0435\u0441\u0441\u0438\u044e \u043f\u0440\u0438\u043d\u0451\u0441\u043b\u043e \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 CVE \u0432 AppArmor \u0438\u0437 stable-\u043f\u0430\u0442\u0447\u0441\u0435\u0442\u0430 2026-10-05: \u043e\u043d\u043e \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e, \u043a\u043e\u0433\u0434\u0430 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0442\u0430\u043a\u0430\u0435\u0442\u0441\u044f. \u0412 changelog Ubuntu \u044d\u0442\u043e \u0441\u0442\u0440\u043e\u043a\u0430 CVE-2026-90231:apparmor: fix unconfined user namespace restriction forced stack \u0432 \u0431\u043b\u043e\u043a\u0435 Resolute update: upstream stable patchset 2026-10-05 (LP: #2169638).\u041f\u0440\u0438\u043c\u0435\u0440\u043d\u0430\u044f \u0445\u0440\u043e\u043d\u043e\u043b\u043e\u0433\u0438\u044f \u0441\u043e\u0431\u044b\u0442\u0438\u0439 \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0430\u044f:\u0414\u0430\u0442\u0430\u0421\u043e\u0431\u044b\u0442\u0438\u04352025-02-11apparmor 4.1.0~beta4-0ubuntu1 \u0432\u043a\u043b\u044e\u0447\u0430\u0435\u0442 kernel.apparmor_restrict_unprivileged_unconfined=1 \u043f\u043e \u0443\u043c\u043e\u043b\u0447\u0430\u043d\u0438\u044e (containerd#14485)2026-10-01\u0412\u044b\u0445\u043e\u0434\u0438\u0442 linux 7.0.0-38.38 &#8212; \u043f\u043e\u0441\u043b\u0435\u0434\u043d\u0435\u0435  \u043d\u0435\u0437\u0430\u0442\u0440\u043e\u043d\u0443\u0442\u043e\u0435 \u044f\u0434\u0440\u043e (ubuntuupdates)2026-10-15\u0417\u0430\u0433\u0440\u0443\u0437\u043a\u0430 linux 7.0.0-42.42 \u0432 Resolute; \u0432 \u043d\u0435\u0433\u043e \u0432\u0445\u043e\u0434\u0438\u0442 changelog 7.0.0-41.41 \u0441 \u0431\u044d\u043a\u043f\u043e\u0440\u0442\u043e\u043c 08c2f7c8d4b1 (Launchpad)2026-10-287.0.0-42.42  \u043f\u0443\u0431\u043b\u0438\u043a\u0443\u0435\u0442\u0441\u044f \u0432 resolute-updates; \u0432  \u0442\u043e\u0442 \u0436\u0435 \u0434\u0435\u043d\u044c \u043e\u0442\u043a\u0440\u044b\u0442\u044b LP  #2172422 (\u00abGo programs livelock in setuid (gosu)\u00bb) \u0438 containerd#144852026-10-29\u041f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d \u0444\u0438\u043a\u0441 \u043f\u0440\u043e\u0444\u0438\u043b\u044f containerd PR #144872026-11-01\u0420\u0430\u043d\u043d\u0435\u0440\u044b GitHub ubuntu-26.04 \u043d\u0430\u0447\u0438\u043d\u0430\u044e\u0442 \u043b\u043e\u043c\u0430\u0442\u044c e2e \u0441 Postgres, MariaDB, CrowdSec (zeabur#254)2026-11-027.0.0-42.42 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442  \u0432 resolute-security \u2014 \u0442\u0435\u043f\u0435\u0440\u044c  \u0435\u0433\u043e \u0441\u0442\u0430\u0432\u0438\u0442 \u0438 unattended-upgrades; \u043f\u0435\u0440\u0432\u044b\u0435 \u0430\u0432\u0430\u0440\u0438\u0438 \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u043d\u043e\u0434 (seichi_infra#6671)2026-11-067.0.0-43.43 \u0432 resolute-security, \u0441\u0438\u043c\u043f\u0442\u043e\u043c\u044b \u0441\u043e\u0445\u0440\u0430\u043d\u044f\u044e\u0442\u0441\u044f; 7.0.0-44.44 \u0432 proposed2026\u201311-10PR #14487 \u0432\u0441\u0451 \u0435\u0449\u0451 \u043d\u0435 \u0441\u043c\u0435\u0440\u0436\u0435\u043d\u0417\u0434\u0435\u0441\u044c \u0435\u0441\u0442\u044c \u043d\u0435\u0431\u043e\u043b\u044c\u0448\u043e\u0435 \u0440\u0430\u0441\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u0435 \u0432 \u0434\u0430\u043d\u043d\u044b\u0445: \u0447\u0430\u0441\u0442\u044c \u043e\u0442\u0447\u0451\u0442\u043e\u0432 \u043d\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043f\u0435\u0440\u0432\u043e\u0439 \u043f\u043b\u043e\u0445\u043e\u0439 \u0432\u0435\u0440\u0441\u0438\u0435\u0439 7.0.0-41, \u0447\u0430\u0441\u0442\u044c \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u043b\u0430 \u0442\u043e\u043b\u044c\u043a\u043e -42.\u041a\u0430\u043a \u044d\u0442\u043e \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442?\u041a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u0441\u043e\u0441\u0442\u0430\u0432\u043d\u0443\u044e \u043c\u0435\u0442\u043a\u0443 AppArmor, \u0430 \u043f\u0440\u0430\u0432\u0438\u043b\u0430 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u043e\u0433\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044f \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0442 \u0441\u0438\u0433\u043d\u0430\u043b\u044b \u0442\u043e\u043b\u044c\u043a\u043e \u0434\u043b\u044f \u0442\u043e\u0447\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438. \u0426\u0435\u043f\u043e\u0447\u043a\u0430 \u0432\u044b\u0433\u043b\u044f\u0434\u0438\u0442 \u0442\u0430\u043a:\u0412 Ubuntu \u0441 \u0444\u0435\u0432\u0440\u0430\u043b\u044f 2025 \u0433\u043e\u0434\u0430 \u0432\u043a\u043b\u044e\u0447\u0451\u043d \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u044f\u0434\u0440\u0430 kernel.apparmor_restrict_unprivileged_unconfined=1. \u041e\u043d \u043c\u0435\u0448\u0430\u0435\u0442 unconfined-\u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0443 \u0431\u0435\u0437 CAP_MAC_OVERRIDE \u043f\u0440\u043e\u0441\u0442\u043e \u0441\u043c\u0435\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c: \u0432\u043c\u0435\u0441\u0442\u043e \u0441\u043c\u0435\u043d\u044b \u043d\u043e\u0432\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c \u043d\u0430\u043a\u043b\u0430\u0434\u044b\u0432\u0430\u0435\u0442\u0441\u044f \u0441\u0442\u0435\u043a\u043e\u043c \u043f\u043e\u0432\u0435\u0440\u0445 unconfined \u041a\u043e\u043c\u043c\u0438\u0442 08c2f7c8d4b1 (CVE-2026-90231) \u0437\u0430\u043a\u0440\u044b\u043b \u043e\u0431\u0445\u043e\u0434 \u044d\u0442\u043e\u0433\u043e \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u044f \u0438 \u0441\u0442\u0430\u043b \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u043f\u0440\u0438\u043d\u0443\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0439 \u0441\u0442\u0435\u043a \u0438 \u043f\u0440\u0438 exec.runc \u0441\u043d\u0430\u0447\u0430\u043b\u0430 \u0441\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0435\u0442 capabilities, \u043f\u043e\u0442\u043e\u043c \u0434\u0435\u043b\u0430\u0435\u0442 exec \u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430. \u0412 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u0435 \u043a\u0430\u0436\u0434\u044b\u0439 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440 \u0441\u043e \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u043d\u044b\u043c \u043f\u0440\u043e\u0444\u0438\u043b\u0435\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u043e\u0434 cri-containerd.apparmor.d\/\/&amp;unconfined (\u0432 Docker \u2014 docker-default\/\/&amp;unconfined).\u0412 \u0448\u0430\u0431\u043b\u043e\u043d\u0435 \u043f\u0440\u043e\u0444\u0438\u043b\u044f containerd \u0435\u0441\u0442\u044c \u0442\u043e\u043b\u044c\u043a\u043e signal (receive) peer=cri-containerd.apparmor.d \u0438 \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u043e\u0435 \u043f\u0440\u0430\u0432\u0438\u043b\u043e \u0434\u043b\u044f ptrace. \u0421\u043e\u0441\u0442\u0430\u0432\u043d\u0430\u044f \u043c\u0435\u0442\u043a\u0430 \u043f\u043e\u0434 \u043d\u0438\u0445 \u043d\u0435 \u043f\u043e\u043f\u0430\u0434\u0430\u0435\u0442, \u043f\u043e\u044d\u0442\u043e\u043c\u0443 \u044f\u0434\u0440\u043e \u043e\u0442\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u0441\u0438\u0433\u043d\u0430\u043b\u0443 \u043c\u0435\u0436\u0434\u0443 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430\u043c\u0438 \u0438 \u0434\u0430\u0436\u0435 \u043f\u043e\u0442\u043e\u043a\u0430\u043c\u0438 \u043e\u0434\u043d\u043e\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430.\u0421\u0445\u0435\u043c\u0430\u0442\u0438\u0447\u043d\u043e, \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u043f\u0440\u0438\u043c\u0435\u0440\u043d\u043e \u0441\u043b\u0435\u0434\u0443\u044e\u0449\u0438\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c:\u041e\u0442\u043a\u0430\u0437 \u043f\u0440\u043e\u0438\u0441\u0445\u043e\u0434\u0438\u0442 \u0432 \u043e\u0434\u043d\u043e\u0439 \u0442\u043e\u0447\u043a\u0435 &#8212; \u0432 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0435 peer. \u0410 \u0434\u0430\u043b\u044c\u0448\u0435 \u043a\u0430\u0436\u0434\u043e\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435 \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f \u043f\u043e-\u0441\u0432\u043e\u0435\u043c\u0443. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, Go \u043f\u0440\u043e\u0441\u0442\u043e \u0432\u0438\u0441\u0438\u0442: \u0441 Go 1.16 syscall.Setuid \u043c\u0435\u043d\u044f\u0435\u0442 uid \u0441\u0440\u0430\u0437\u0443 \u0443 \u0432\u0441\u0435\u0445 \u043f\u043e\u0442\u043e\u043a\u043e\u0432 \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u0430. \u0420\u0430\u043d\u0442\u0430\u0439\u043c (doAllThreadsSyscall) \u0440\u0430\u0441\u0441\u044b\u043b\u0430\u0435\u0442 \u043a\u0430\u0436\u0434\u043e\u043c\u0443 \u043f\u043e\u0442\u043e\u043a\u0443 \u0441\u0438\u0433\u043d\u0430\u043b SIGRTMIN+1 \u0447\u0435\u0440\u0435\u0437 tgkill \u0438 \u0436\u0434\u0451\u0442 \u043e\u0442\u0432\u0435\u0442\u0430. AppArmor \u043e\u0442\u043a\u043b\u043e\u043d\u044f\u0435\u0442 tgkill, \u0440\u0430\u043d\u0442\u0430\u0439\u043c \u043e\u0448\u0438\u0431\u043a\u0443 \u043d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0435\u0442 \u0438 \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0432\u044b\u0437\u044b\u0432\u0430\u0435\u0442 sched_yield. \u0421\u043d\u0430\u0440\u0443\u0436\u0438 \u044d\u0442\u043e PID 1 \u0441 \u0438\u043c\u0435\u043d\u0435\u043c gosu, \u043e\u0434\u0438\u043d \u043f\u043e\u0442\u043e\u043a \u0432 \u0441\u043e\u0441\u0442\u043e\u044f\u043d\u0438\u0438 R, 100% CPU &#8212; \u0438 \u043d\u0438\u043a\u0430\u043a\u043e\u0433\u043e exec \u0432 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u0435. \u0412\u0438\u0437\u0443\u0430\u043b\u044c\u043d\u043e \u0432 Kubernetes \u0431\u0443\u0434\u0435\u0442 \u0431\u0435\u0441\u043a\u043e\u043d\u0435\u0447\u043d\u043e \u0432 \u0441\u0442\u0430\u0442\u0443\u0441\u0435 0\/1 Running \u043f\u043e Readiness \u043f\u0440\u043e\u0431\u0430\u043c \u0438 \u0431\u0435\u0437 \u0432\u043d\u044f\u0442\u043d\u043e\u0439 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438, \u0432 \u0447\u0435\u043c \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430.\u0412 \u0442\u0440\u0435\u0434\u0435 Launchpad \u0438 \u0432 \u0440\u0430\u0437\u0431\u043e\u0440\u0430\u0445 \u0434\u0440\u0443\u0433\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434 \u044d\u0442\u043e \u0441\u0447\u0438\u0442\u0430\u044e\u0442 \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u044b\u043c \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435\u043c \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u044f, \u0430 \u043d\u0435 \u0431\u0430\u0433\u043e\u043c \u044f\u0434\u0440\u0430: \u0432 -43 \u043e\u0442\u043a\u0430\u0442\u0430 \u043d\u0435\u0442. \u0427\u0438\u043d\u0438\u0442\u044c \u043d\u0443\u0436\u043d\u043e \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd &#8212; \u0438\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442 PR #14487, \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u044f signal \u0438 ptrace \u0434\u043b\u044f peer={{.Name}}\/\/&amp;unconfined.\u041a\u0430\u043a \u043f\u0440\u043e\u0432\u0435\u0440\u0438\u0442\u044c \u0443 \u0441\u0435\u0431\u044f?\u0425\u0432\u0430\u0442\u0430\u0435\u0442 \u043f\u044f\u0442\u0438 \u043a\u043e\u043c\u0430\u043d\u0434: \u0442\u0440\u0438 \u043d\u0430 \u0445\u043e\u0441\u0442\u0435 \u0438 \u0434\u0432\u0435 \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u044e\u0431\u043e\u0433\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430.\u041d\u0430 \u043d\u043e\u0434\u0435:uname -r                                                # 7.0.0-41 \u0438 \u043d\u043e\u0432\u0435\u0435 &#8212; \u0432\u044b \u0432 \u0437\u043e\u043d\u0435 \u0440\u0438\u0441\u043a\u0430sysctl kernel.apparmor_restrict_unprivileged_unconfined # = 1 \u2014 \u0432\u044b \u0432 \u0437\u043e\u043d\u0435 \u0440\u0438\u0441\u043a\u0430journalctl -k | grep -i &#8216;apparmor=&#187;DENIED&#187;.*operation=&#187;signal&#187;&#8216; | tail\u0412\u043d\u0443\u0442\u0440\u0438 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430 (\u043d\u0443\u0436\u0435\u043d \u0442\u043e\u043b\u044c\u043a\u043e sh):cat \/proc\/self\/attr\/current        # &#8230;\/\/&amp;unconfined (enforce) \u2014 \u043c\u0435\u0442\u043a\u0430 \u0441\u043e\u0441\u0442\u0430\u0432\u043d\u0430\u044fsleep 30 &amp; kill $! &amp;&amp; echo OK      # Permission denied &#8212; \u0432\u044b \u0443\u0436\u0435 \u0437\u0430\u0442\u0440\u043e\u043d\u0443\u0442\u044b\u041a\u0430\u043a \u0447\u0438\u043d\u0438\u0442\u044c?\u041b\u0443\u0447\u0448\u0438\u0439 \u0432\u0430\u0440\u0438\u0430\u043d\u0442 &#8212; \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd \u043d\u0430 \u0445\u043e\u0441\u0442\u0435: AppArmor \u0438 hardening \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0432\u043a\u043b\u044e\u0447\u0435\u043d\u044b, \u0430 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u043d\u0435 \u043d\u0443\u0436\u043d\u043e \u0442\u0440\u043e\u0433\u0430\u0442\u044c. \u041e\u0441\u0442\u0430\u043b\u044c\u043d\u044b\u0435 \u0441\u043f\u043e\u0441\u043e\u0431\u044b \u0431\u044b\u0441\u0442\u0440\u0435\u0435, \u043d\u043e \u0447\u0435\u043c-\u0442\u043e \u0436\u0435\u0440\u0442\u0432\u0443\u044e\u0442.\u0421\u043f\u043e\u0441\u043e\u0431\u0427\u0442\u043e \u0434\u0435\u043b\u0430\u0435\u0442\u0426\u0435\u043d\u0430\u0413\u0434\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u0438\u043b\u0438\u041f\u0440\u043e\u0444\u0438\u043b\u044c \u043d\u0430 \u0445\u043e\u0441\u0442\u0435\u0417\u0430\u0433\u0440\u0443\u0437\u0438\u0442\u044c \u043a\u043e\u043f\u0438\u044e cri-containerd.apparmor.d \u0441 \u043f\u0440\u0430\u0432\u0438\u043b\u0430\u043c\u0438 \u0434\u043b\u044f \/\/&amp;unconfined\u041d\u0443\u0436\u043d\u043e \u0440\u0430\u0437\u043b\u043e\u0436\u0438\u0442\u044c \u043d\u0430 \u0432\u0441\u0435 \u043d\u043e\u0434\u044b \u0438 \u0443\u0431\u0440\u0430\u0442\u044c \u043f\u043e\u0441\u043b\u0435 \u0444\u0438\u043a\u0441\u0430 \u0432 containerdseichi_infra,  zeabur, nix-fleetsysctl \u2026unconfined=0\u0412\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0441\u0442\u0430\u0440\u043e\u0435  \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u0445\u043e\u0434\u0430 \u043f\u0440\u043e\u0444\u0438\u043b\u044f\u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u0442 hardening \u043d\u0430 \u0432\u0441\u0451\u043c \u0445\u043e\u0441\u0442\u0435,  \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0439 \u0441 CVE-2026-90231AutomatosAI\u041e\u0442\u043a\u0430\u0442 \u043d\u0430 7.0.0-38 + hold\u0423\u0431\u0438\u0440\u0430\u0435\u0442 \u0441\u0430\u043c\u0443 \u0440\u0435\u0433\u0440\u0435\u0441\u0441\u0438\u044e\u041d\u0435\u0442 CVE-\u0444\u0438\u043a\u0441\u043e\u0432 \u0438\u0437 -41+;  \u043b\u0435\u0433\u043a\u043e \u0441\u043b\u0443\u0447\u0430\u0439\u043d\u043e \u043e\u0431\u043d\u043e\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0431\u0440\u0430\u0442\u043d\u043eZetaTwo, seichi_infraappArmorProfile: Unconfined \u043d\u0430 \u043f\u043e\u0434\u0421\u043d\u0438\u043c\u0430\u0435\u0442 AppArmor \u0441 \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u0433\u043e  \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u0430\u041f\u043e\u0448\u0442\u0443\u0447\u043d\u043e, \u0442\u0440\u0435\u0431\u0443\u0435\u0442 PodSecurity privileged; \u0447\u0430\u0440\u0442 \u0434\u043e\u043b\u0436\u0435\u043d \u0443\u043c\u0435\u0442\u044c \u044d\u0442\u043e \u043f\u043e\u043b\u0435\u041c\u044b (PXC, Redmine), OneUptime\u0412\u044b\u0432\u043e\u0434\u044bsecurity-\u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u044f\u0434\u0440\u0430 \u0438\u0437\u043c\u0435\u043d\u0438\u043b\u043e \u043f\u043e\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0442\u0430\u043a, \u0447\u0442\u043e \u043b\u043e\u043c\u0430\u0435\u0442\u0441\u044f \u043d\u0435 \u044f\u0434\u0440\u043e \u0438 \u043d\u0435 \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043d\u044b\u0439 \u0440\u0430\u043d\u0442\u0430\u0439\u043c, \u0430 \u0438\u0445 \u0441\u0442\u044b\u043a. \u0421\u0438\u043c\u043f\u0442\u043e\u043c\u044b \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u0441\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u043d\u044b \u0434\u043b\u044f \u043a\u0430\u0436\u0434\u043e\u0433\u043e \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0438 \u043d\u0430 \u043e\u0431\u0449\u0443\u044e \u043f\u0440\u0438\u0447\u0438\u043d\u0443 \u043d\u0435 \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044e\u0442. \u0415\u0441\u043b\u0438 \u0432\u0430\u043c \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u043e &#8212; \u0440\u0435\u043a\u043e\u043c\u0435\u043d\u0434\u0443\u044e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u0442\u044c \u0440\u0430\u0437\u0431\u043e\u0440\u044b \u0438 \u0430\u0432\u0430\u0440\u0438\u0438 \u0434\u0440\u0443\u0433\u0438\u0445 \u043a\u043e\u043c\u0430\u043d\u0434:seichi_infra #6671 &#8212; \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 kured \u043d\u0430 -42 \u043b\u0435\u0433\u043b\u0438 mariadb \u0438 \u0438\u0433\u0440\u043e\u0432\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b, \u043f\u0440\u043e\u0441\u0442\u043e\u0439 \u043e\u043a\u043e\u043b\u043e 7 \u0447\u0430\u0441\u043e\u0432 (\u043d\u0430 \u044f\u043f\u043e\u043d\u0441\u043a\u043e\u043c, \u0441\u0430\u043c\u044b\u0439 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u044b\u0439 \u0440\u0430\u0437\u0431\u043e\u0440)zeabur #254 &#8212; \u0442\u0440\u0438 \u0443\u0441\u043b\u043e\u0432\u0438\u044f \u0441\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u043d\u0438\u044f \u0438 \u043f\u0440\u043e\u0444\u0438\u043b\u044c-\u043a\u043e\u043f\u0438\u044f \u0434\u043b\u044f K3s\/RKE2stardelt-platform #445 &#8212; Postgres \u0438 ingress-nginx, \u043a\u043b\u0430\u0441\u0442\u0435\u0440 \u043b\u0451\u0433AutomatosAI #1401 &#8212; PostgreSQL \u0432 k3s, \u0444\u0438\u043a\u0441 \u0447\u0435\u0440\u0435\u0437 sysctlhenrybro64 #308 &#8212; PostgreSQL \u0438 gosu \u043f\u043e\u0441\u043b\u0435 \u043f\u0435\u0440\u0435\u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438runs-on #116 \u0438 galaxy PR #24694 &#8212; \u0441\u043b\u043e\u043c\u0430\u043d\u043d\u044b\u0439 CI \u043d\u0430 \u0440\u0430\u043d\u043d\u0435\u0440\u0430\u0445 Ubuntu 26.04OneUptime PR #6418 &#8212; Unconfined \u0434\u043b\u044f e2e-\u0432\u043e\u0440\u043a\u043b\u043e\u0430\u0434\u043e\u0432ZetaTwo infrastructure #2 &#8212; \u0444\u0438\u043a\u0441\u0430\u0446\u0438\u044f \u044f\u0434\u0440\u0430 \u043d\u0430 -38nix-fleet PR #86 &#8212; \u0438\u0441\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u043e\u0444\u0438\u043b\u044c containerd \u0434\u043b\u044f k0s\u041e\u0444\u0438\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0442\u0440\u0435\u043a\u0435\u0440\u044b:linux 7.0.0-42.42 \u043d\u0430 Launchpad &#8212; changelog \u0441 CVE-2026-90231: apparmor: fix unconfined user namespace restriction forced stack (LP: #2169638)\u0418\u0441\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u0430 linux \u0434\u043b\u044f resolute (ubuntuupdates)LP #2172422 &#8212; Go-\u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u0437\u0430\u0432\u0438\u0441\u0430\u044e\u0442 \u0432 setuid (gosu), \u0441\u0442\u0430\u0442\u0443\u0441 Confirmed, \u0444\u0438\u043a\u0441\u0430 \u043d\u0435\u0442containerd issue #14485 &#8212; \u043e\u0442\u043a\u0440\u044b\u0442 28.10.2026containerd PR #14487 &#8212; \u0444\u0438\u043a\u0441 \u043f\u0440\u043e\u0444\u0438\u043b\u044f, \u043d\u0435 \u0441\u043c\u0435\u0440\u0436\u0435\u043dmoby issue #54099 &#8212; \u0442\u043e \u0436\u0435 \u0434\u043b\u044f docker-defaultk3s issue #13625 &#8212; \u0440\u0430\u043d\u043d\u0438\u0439 \u043e\u0442\u0447\u0451\u0442 \u043e \u043e\u0442\u043a\u0430\u0437\u0430\u0445 SIGURG \u043f\u0440\u0438 \u0441\u0442\u0435\u043a\u0438\u043d\u0433\u0435 \u043f\u0440\u043e\u0444\u0438\u043b\u0435\u0439\u041f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u0435: \u0447\u0442\u043e \u044d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0433\u043e\u0432\u043e\u0440\u0438\u0442 \u043e \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0432 2026 \u0433\u043e\u0434\u0443\u0412 \u043a\u043e\u043d\u0446\u0435, \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u043f\u043e\u0441\u043b\u0435\u0441\u043b\u043e\u0432\u0438\u044f, \u0445\u043e\u0442\u0435\u043b\u043e\u0441\u044c \u0431\u044b \u043d\u0435\u043c\u043d\u043e\u0433\u043e \u043f\u043e\u0440\u0430\u0441\u0441\u0443\u0436\u0434\u0430\u0442\u044c \u043d\u0430&#8230;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-502613","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/502613","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=502613"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/502613\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=502613"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=502613"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=502613"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}