#python
-
JIT-компилятор уберут из CPython после отзыва PEP 836
Авторы экспериментального JIT-компилятора для CPython отозвали PEP 836, не сумев выполнить требования руководящего совета Python. Код, по всей видимости, скоро удалят из основной ветки.
-
Astral связывает uv и ty: единый инструментарий для Python
Astral представила экспериментальную интеграцию менеджера пакетов uv и проверяльщика типов ty — с поддержкой PEP 723-скриптов и единой командой uv check.
-
Утёкший мастер-ключ LiteLLM обернулся отравлением релиза Python-пакета
Случайно опубликованный в мае мастер-ключ так и не отозвали — и в октябре злоумышленник использовал его, чтобы захватить конвейер релизов LiteLLM и выложить вредоносную версию пакета.
-
Критическая уязвимость в Pillow: имя файла превращается в выполнение команд
Самая популярная библиотека обработки изображений для Python позволяла выполнять команды на сервере — достаточно было задать нужное имя открываемому EPS-файлу. Исправление вышло в версии 13.0.0.
-
Заражённый релиз LiteLLM 1.107.0 на PyPI крал учётные данные и открывал бэкдор
Версия 1.107.0 популярного LLM-шлюза LiteLLM, попавшая в PyPI, содержала похититель секретов и бэкдор для удалённого исполнения кода. Исходники на GitHub были чисты, а вредоносные файлы запускались при старте любого Python-процесса на машине.
-
SAP устранила критическую SSRF-уязвимость в Cloud SDK для Python
В октябрьском наборе обновлений SAP закрыла 20 уязвимостей, включая брешь максимальной опасности в SDK для Python, через которую злоумышленники могут похищать учётные данные приложений.
-
Вышел Python 3.15
Новый выпуск языка Python приносит встроенные типы sentinel и frozendict, кодировку UTF-8 по умолчанию и доработки экспериментального JIT-компилятора.
-
Когда случайного недостаточно: ловушка оператора modulo
Классический способ выбрать случайный объект — взять большое число и взять остаток от деления — тихо ломает равномерность распределения. Автор объясняет, почему и чем его заменить.
-
Rust приходит в CPython: первым модулем станет zlib
На Python Language Summit 2026 команда проекта Rust for CPython представила дорожную карту постепенного внедрения Rust в интерпретатор — начиная с необязательной реализации модуля zlib в Python 3.16.
-
Уязвимость в официальном MCP Python SDK позволяет красть OAuth-учётные данные
Вредоносный MCP-сервер мог обманом заставить приложение на официальном Python SDK отдать секрет клиента, код авторизации и ключ PKCE злоумышленнику. Исправление вышло в версиях 1.30.0 и 2.2.0.
-
Может ли gzip быть языковой моделью?
Разработчик показал, что обычный архиватор, поставляемый с любой ОС, способен продолжать текст без всякой нейросети — просто за счёт того, что сжатие есть предсказание.
-
Почему .tar.gz нельзя склеить через cat
Простая задача — объединить несколько архивов в один — обернулась для разработчика погружением в устройство tar и gzip, историю магнитных лент и патентных войн.
-
Нейросеть, которая решает, является ли число Numberwang
Разработчик GraafHenk выложил на GitHub крошечную нейросеть, выносящую вердикт по вымышленной игре Numberwang из британского скетч-шоу. Весь проект — файл модели на 1,8 МБ и около сотни строк чистого Python.
-
Интерпретатор Python в 1024 байтах на чистом C
Остин Хенли ради удовольствия написал на C крошечный интерпретатор подмножества Python, уместившийся ровно в 1024 байта. Ни макросов, ни библиотечных хитростей.
-
Polars 2.0: потоковый движок по умолчанию и обещанное «скучное» обновление
Разработчики Polars выпустили первый релиз-кандидат версии 2.0. Главное изменение — переход на потоковый движок по умолчанию, который обещает кратный рост производительности.
-
Как str.lower() превратился в уязвимость Python
Обычный вызов приведения строки к нижнему регистру нарушил соответствие стандарту IDNA 2003 и обернулся CVE. Причина — в версии Unicode, с которой работает интерпретатор.
-
Что мешает воспроизводимым сборкам на PyPI
Бретт Кэннон разбирает, чего не хватает экосистеме Python, чтобы независимые стороны могли проверять целостность пакетов на PyPI — и почему это можно сделать почти без усилий со стороны авторов.
-
Django переходит на ежегодный цикл выпусков с трёхлетней поддержкой
Проект веб-фреймворка Django принял предложение о ежегодном цикле релизов. Каждый выпуск будет поддерживаться три года, а метка «LTS» уходит в прошлое.
-
Постквантовая криптография пришла в Python
Библиотека pyca/cryptography получила поддержку постквантовых алгоритмов ML-KEM и ML-DSA — теперь они доступны всей экосистеме Python одной командой pip install.
-
FaceHugger: уязвимости в Diffusers обходят защиту trust_remote_code
Исследователи Zafran Labs раскрыли три уязвимости в библиотеке Hugging Face Diffusers, позволяющие вредоносным репозиториям моделей незаметно выполнять произвольный код на машине, которая их загружает.
- Дальше