23 октября 2026 года разработчики Transmission опубликовали версию 4.1.4, в которой закрыли потенциальную уязвимость выполнения кода в приложении для macOS. Обновление также исправляет ошибку совместимости с данными Transmission 4.0.x: при наличии пустых файлов внутри торрента она могла приводить к потере прогресса загрузки и повреждению файлов на диске. Другие изменения касаются удалённого управления, ограничения скорости и клиентов для Windows и Linux.
Уязвимость в Transmission для macOS требовала доступа к настройкам пользователя
В клиенте Transmission для macOS исправили потенциальную возможность выполнения постороннего кода — такую угрозу обычно обозначают сокращением RCE (Remote Code Execution). При этом разработчики отдельно оговаривают условие: для эксплуатации у атакующего уже должна быть возможность локально изменять настройки пользователя. По официальному описанию, воспользоваться этой уязвимостью удалённо через сеть нельзя.
Это существенная граница риска. Обычное подключение к торрент-раздаче само по себе не соответствует описанному разработчиками условию атаки. Опубликованные примечания к 4.1.4 не раскрывают подробный сценарий эксплуатации, поэтому утверждать, что достаточно открыть определённый торрент или magnet-ссылку, оснований нет.
В том же выпуске усилили обработку некорректных команд torrent-add, поступающих через RPC. RPC — интерфейс, через который другие программы и веб-клиенты управляют Transmission. По описанию исправления, специально сформированные параметры при добавлении торрента могли вызвать выход за границы массива при обработке приоритетов файлов. В новой версии этот участок кода защищён от такого обращения. Это отдельное исправление, которое не следует смешивать с уязвимостью macOS.
Ошибка при переходе с Transmission 4.0.x могла повреждать скачанные данные
Одно из наиболее ощутимых изменений связано с файлами нулевого размера внутри многокомпонентного торрента. Такие файлы встречаются, например, как пустые служебные элементы в раздаче. В Transmission 4.0.x программа пропускала их при составлении списка файлов, а начиная с ветки 4.1.x стала учитывать.
Проблема возникала при использовании сохранённых данных прежней версии. Transmission хранит служебные файлы .resume, позволяющие после перезапуска восстановить пути к файлам и состояние загрузки. Старый список путей был короче, поскольку в нём отсутствовали пустые файлы. Новая версия могла сопоставить эти пути с неправильными позициями: после первого пустого файла содержимое торрента начинало связываться с другими именами.
В разборе ошибки № 9000 описаны случаи, когда два элемента торрента указывали на один и тот же файл на диске. Это могло привести к записи данных по неправильному пути, повреждению содержимого, повторной загрузке частей торрента и резкому падению отображаемого процента выполнения. В отчёте отдельно отмечено, что проверка хешей сама по себе не восстанавливает уже изменённые файлы.
Исправление, включённое в 4.1.4, распознаёт старый укороченный список .resume и корректно выравнивает имена с учётом нулевых файлов. Оно предотвращает описанное неверное сопоставление при чтении прежнего состояния. Разработчики при этом не заявляют, что обновление автоматически восстанавливает данные, которые были повреждены более ранними версиями 4.1.x.
В Transmission наладили добавление magnet-ссылок и управление скоростью
Пользователи macOS могли сталкиваться со странным поведением: вставленная в основное окно magnet-ссылка добавляла торрент, но одновременно вызывала сообщение об ошибке загрузки с подозрительного HTTP-адреса. Выяснилось, что распознавание ссылок ошибочно принимало часть закодированного адреса трекера за отдельную веб-ссылку. В 4.1.4 обработку таких вставок исправили. Эта проблема была задокументирована ещё в августе и вошла в октябрьский выпуск.
Для тех, кто задаёт индивидуальные ограничения скорости, исправили другой сбой. В некоторых условиях изменение параметров ограничения затрагивало выгрузку, но не применяло соответствующее правило к загрузке. Теперь переопределение общих лимитов для конкретного торрента корректно работает в обоих направлениях.
Доработали и запуск графических клиентов Qt и GTK. Если один из них уже открыт, а система или браузер передаёт торрент через другой, новый торрент направляется в существующий сеанс. Прежде разные механизмы запуска могли приводить к попыткам открыть вторую сессию или использовать другую папку настроек.
Изменения для Windows, Linux и веб-интерфейса Transmission
В сборках для Windows обновили компоненты, от которых зависит интерфейс приложения. Для Windows 10 и более новых систем используется Qt 6.10.3 вместо 6.10.1, для Windows 7 — Qt 5.15.19 вместо 5.15.17. Библиотеку сжатия zlib обновили с 1.3.1 до 1.3.2, включив исправления, связанные с результатами проверки безопасности. Это изменения внутренних компонентов, а не новые функции интерфейса.
Qt-клиент теперь реже повторно обращается к базе типов файлов за значками. Ранее значки для отдельных торрентов и неизвестных типов могли запрашиваться снова при каждом обновлении отображения. Кеширование устраняет эти повторные операции и снижает нагрузку на процессор в соответствующих сценариях; конкретного процента ускорения разработчики не приводят.
В GTK-клиенте список торрентов повторно сортируется и фильтруется после изменения имени верхней папки, включая момент получения сведений по magnet-ссылке. Исправлено открытие каталога для одиночных файлов, вложенных в структуру папок. В веб-интерфейсе устранили ошибку, при которой часть названий отображалась как Unknown — «Неизвестно».
Для macOS разработчики также сменили способ проверки подписи обновлений в механизме Sparkle с DSA на EdDSA. Изменение подготавливает приложение к Sparkle 2, в котором прежняя схема DSA больше не поддерживается.
Transmission 4.1.4 устраняет две разные группы рисков
Версия 4.1.4 объединяет исправление потенциальной локальной атаки на клиент macOS и устранение ошибки, которая затрагивала целостность пользовательских данных после перехода с 4.0.x. Их условия различаются: для первой требуется доступ к настройкам на самом компьютере, а вторая связана с сохранённым состоянием многофайловых торрентов, содержащих пустые файлы.
Официальные материалы подтверждают исправление обоих случаев. При этом они не содержат обещания восстановить уже повреждённые загрузки и не раскрывают подробный механизм уязвимости macOS. Эти ограничения определяют, что именно можно считать установленным по состоянию на 23 октября 2026 года.
Источники
- Transmission 4.1.4 — официальные примечания к выпуску
- Transmission 4.1.4 — тег релиза на GitHub
- Ошибка совместимости файлов .resume при переходе с 4.0.x на 4.1.x — issue № 9000
- Исправление поддержки пустых файлов — pull request № 9165
- Защита метода torrent-add от выхода за границы массива — pull request № 9158
- Исправление вставки magnet-ссылок на macOS — pull request № 9062
- Исправление применения ограничений скорости — pull request № 9154
- Снижение нагрузки на процессор в Qt-клиенте — pull request № 9161
