SILO 20261025 统一维护版本公告（发布准备）
2026-10-25 状态：silo-pkg v3.15.1、mcli 20261025 与 Console v2.5.0 已正式发布；Server 20261025 为 Draft Release，统一维护批次仍在进行中。 20261025 是 SILO、mcli、SILO Console、silo-pkg 与 KES 共用的统一维护批次，集中交付 Go 1.27.3 工具链升级、依赖更新及相关安全与正确性修复。尚未发布的组件将在正式交付时补齐标签与制品摘要；当前下载入口继续指向既有正式版本。
- silo-pkg v3.15.0（源码
717969b63fa7）：将最低 Go 版本从 1.26 升至 1.27.3，相对 v3.14.3 更新 13 个依赖模块并保留策略评估优化与授权语义，通过 Go、LDAP 与 VulnCheck CI。 - silo-pkg v3.15.1（10 月 25 日发布，源码
8893479a348a）：将上游minio-go从 v7.4.1 更新至固定提交ab93db7ba435（v7.4.2-0.20261020194015-ab93db7ba435），纳入 6 项 SDK 修复——串行与并行分片上传的截短流检测、ReadAt的 EOF 与负偏移处理、Stat后的读取/定位边界，以及批量删除回退时的重复报错；继续保持 Go 1.27.3、输出格式与 NetBSD 兼容性固定版本。
下文安全与依赖清单基于 2026-10-22 至 2026-10-23 的依赖与构建核查，并纳入 10 月 24 日至 25 日的增量更新；同一 CVE 跨多个组件出现时按主依赖归并记录。
升级范围
| 组件 | 本次维护内容 |
|---|---|
| silo-pkg | v3.15.1 已发布：Go 1.27.3、共享依赖更新、追加 6 项上游 minio-go 修复与输出兼容性 |
| mcli | 20261025 已发布：Go 1.27.3、silo-pkg v3.15.1、minio-go 修复、别名区域、JSON 错误退出码与 Windows ZIP 归档 |
| SILO Console | v2.5.0 已发布：Go 1.27.3、pkg v3.15.1、mcli 20261025、上游 SDK 修复、GUI 更新与诊断 WebSocket 修复；Node 24.22.1、Vite 8.3.5 |
| SILO | 20261025 Draft：正式 pkg/mcli/Console 源码、Go 1.27.3、管理接口与写入/回滚/清理修复、静态 curl 和信任库 |
| KES | Go 1.27.3、依赖验证、UBI 9.8 基础镜像及信任库维护 |
Server 20261025 Draft Release
Server 标签 RELEASE.2026-10-25T00-00-00Z 当前为 Draft Release（包版本 20261025000000.0.0），集成已发布的 silo-pkg v3.15.1、mcli 20261025（dcc78d506f94）、Console v2.5.0（989fa7150792）源码，以及上游 minio-go 提交 ab93db7ba435。公开 Server 下载与 Docker 镜像 latest 仍指向 20261018。
对 Server 280 项显式 Go 依赖声明的最终复查确认无需追加其他兼容更新（继续固定终端表格、字符宽度、NetBSD 与 no-op 插桩依赖；mcli 与 Console 标签之后的 main 仅含文档更新，故直接采用正式标签提交）。Go 漏洞扫描未命中任何已导入的受影响包（GO-2026-5932 仍为未导入 openpgp 子包的模块级告警）。
本草稿包含下列存储、复制、生命周期与 IAM 修复：
- 写入、回滚与清理保护：等待已接纳的底层存储变更完成后再释放本地锁或清理暂存目录；
UndoWrite回滚先校验所有权，仅恢复本次覆盖的目标版本，保留后续并发写入与元数据更新；废弃上传清理保留提交或回滚仍需使用的xl.meta.bkp备份；PUT时间戳移入提交锁内生成；保持既有读取仲裁与自愈策略（部分覆盖失败后原数据仍可正常读取）。 - 多池删除、生命周期与分片复制：多池批量删除在旧池清理失败时保留权威副本，并保护仍被引用的远端分层数据；版本桶（含已暂停版本控制桶的非
null版本）生命周期过期仅写入删除标记时，保留底层远端分层数据；分片上传复制转发FULL_OBJECT校验和类型（感谢 @botdeniska 贡献生命周期、复制与多池删除修复）。 - IAM 与管理接口：将 IAM 策略重载与认证缓存锁隔离并透传 KMS 请求取消信号；修复内置策略 Reset 后的缓存刷新与账户信息接口的实时存储桶列表读取；Windows 归档改用 ZIP 格式。
发布前验证： 源码 263ee0510da5 在打标签前已通过 Go CI、VulnCheck 与 Test Release Pipeline。本地 Go 全量测试通过 8,658 项测试与子测试（跳过 72 项）及 204 项专项 -race 测试；Windows 归档已完成交叉编译与结构校验。真实 Server 进程（对象存储 IAM 与 etcd 两种后端）配合正式 Console v2.5.0 与 mcli 20261025 通过了完整健康报告下载、内置策略覆盖与双节点 Reset 后立即读取、延迟通知、自定义策略删除、跨重启持久化，以及启用版本控制的 S3 上传、标签、下载完整性与删除测试。
当前存储边界： 租约过期或网络分区下仍可能发生延迟提交，部分元数据更新仍可能暴露旧值或旧标签；代际分裂与不可用存储池保持既有读取行为。本版未引入分布式 fencing，也不会自动修复既存不一致对象（更严格的拒读与跨池恢复诊断保留在 consistency_strict 构建标签下）。等待已接纳 I/O 会延长慢盘上同一对象的写入或清理耗时，清理中断可能残留回滚备份文件；依赖回滚所有权校验前需升级全部写入节点。
Console v2.5.0 正式发布
Console v2.5.0 已正式发布，源码为 989fa7150792，集成 silo-pkg v3.15.1、mcli 20261025（v0.0.0-20261025104502-dcc78d506f94，对应 RELEASE.2026-10-25T00-00-00Z）与上游 minio-go 提交 ab93db7ba435，基于 Go 1.27.3 构建。对 Console 185 项显式 Go 依赖的复查确认无需追加其他升级，继续固定 tablewriter 0.0.5、go-humanize 1.0.1、go-runewidth 0.0.29 与 go-systemd 22.6.0。
相对 v2.4.2 的主要变更（完整记录见 Console CHANGELOG）：
- 界面与工作区增强：新增权限感知导航、Overview 概览页、可排序/过滤的存储桶表格、文本/Markdown/CSV 预览、任务中心（取消任务不会回滚已完成的变更）、身份与策略管理更新及响应式明暗主题。
- 权限、搜索与错误反馈修复：恢复仅具写入权限的用户进入对象工作区上传对象的入口（列举与读取仍各自校验权限）；支持桶根路径通配符授权用于工作区入口与列举控件判断（前缀受限策略仍按原范围限制对象操作）；修复对象标签写入被拒绝时丢失服务端 JSON 错误详情的问题；桶搜索在页面跳转后自动丢弃延迟触发的旧查询定时器，避免异步加载工作区代码时被拉回桶列表。
- 内置策略 Reset 与实时桶列表（需配套 Server 20261025）：在已发布的 Server 20261018 上重置被覆盖的内置策略后，首次读取策略可能返回 HTTP 500，且创建或删除存储桶后账户信息接口可能返回旧的桶列表缓存。Server 20261025 已修复策略缓存刷新并将账户信息接口改为实时读取存储桶列表；单独升级独立 Console 不会替换 Server 20261018 内嵌的 Console v2.4.2 或修复旧 Server 端的缓存。
- 高延迟诊断流与健康报告修复（#63）：修复高延迟网络下 Health、Trace、Logs、Watch、Speedtest、Profile 六类诊断流提前断开（WebSocket
1006）的问题——由单一读取协程等待对端Close帧，发送Close与等待响应共用 5 秒关闭预算，活动中的诊断流不受该超时限制（感谢 Azat / @azataiot 提供复现与根因分析）。同时修复madmin v3版本解码器预读吞掉下一帧健康报告头部导致 WebSocket1011的问题（上游 madmin-go 修复仅合入 v4，Console 在保留 v3 API 的同时复用同一解码器读取完整流，并显式拒绝截断、取消或报错的响应）。
Console 发行验收
正式 GitHub Release 包含 44 个文件：六个平台的独立二进制及配套归档（Windows 为 ZIP，Linux 与 macOS 为 tar.gz）、九个 DEB/RPM/APK 软件包、源码、许可证、校验和、SPDX SBOM 与 Sigstore bundle。所有下载文件的哈希、包内容、Go 1.27.3 构建元数据及公开 Go 模块（v0.0.0-20261025145732-989fa7150792）校验和记录均已核验。
发行提交通过了全量测试矩阵（含 658 项浏览器测试）与漏洞检查。下载的正式二进制分别连接已发布的 Server 20261018 与修复后的 Server 源码，在双向叠加 75 ms / 250 ms 网络延迟下全部通过 12 次健康报告检查（报告完整，WebSocket 均以 1000 正常关闭）。
发行构建与镜像发布工作流已完成签名、SPDX 证明、GitHub 来源证明及 Linux amd64/arm64 镜像拉取核验。docker.io/pgsty/silo-console:v2.5.0 与 latest 指向同一多架构摘要：
10 月 24 日追加的 Go 依赖更新
Go 工具链维持 1.27.3。相对 10 月 22 日的候选依赖，本轮纳入 26 个新发布的第三方模块版本，并补齐 Arrow 与 codescan 两项此前已发布的版本差距，共更新 28 个不同模块：
| 依赖 | 本轮版本变化 | 涉及组件 |
|---|---|---|
| pkg/sftp | 1.13.11 → 1.13.12 | SILO |
| etcd 的 api/v3、client/pkg/v3、client/v3 | 3.7.2 → 3.7.3 | silo-pkg、mcli、Console、SILO |
| JWX | 3.3.0 → 3.4.0 | silo-pkg、mcli、Console、SILO |
| nats.go | 1.54.0 → 1.55.0 | SILO |
| procfs | 0.22.0 → 0.23.0 | mcli、Console、SILO、KES |
| AWS SDK v2，共 14 个模块 | core 1.47.3 → 1.47.4；config 1.33.9 → 1.33.10；credentials 1.20.9 → 1.20.10；Secrets Manager 1.50.5 → 1.50.6，以及对应配套模块 | KES |
| GCP IAM / Monitoring / Secret Manager / Google API | IAM 1.14.0 → 1.15.0；Monitoring 1.31.0 → 1.32.0；Secret Manager 1.22.0 → 1.23.0；Google API 0.307.0 → 0.308.0 | IAM 与 Google API：SILO、KES；Monitoring：SILO；Secret Manager：KES |
| go-rootcerts | 1.0.2 → 1.1.0 | KES |
| Arrow | 18.7.0 → 18.8.0 | SILO 的 Azure SDK 间接依赖 |
| codescan | 0.36.4 → 0.36.6 | Console 生成工具链 |
保留现有 API 行为与输出兼容性例外。内部组件的正式版本引用在发布时按依赖顺序更新；本地联调使用各组件的候选源码。完整模块图中未被应用及自身测试导入的其他更新节点，不人为添加根依赖追平版本。
已纳入的运行时安全修复
Go 与证书信任
CVE-2026-111943 / GO-2026-6809：Go 1.27.3 在 crypto/x509 证书链校验中直接拒绝已知失信的中间证书，在操作系统信任库尚未更新时也能提供兜底拦截。五个主项目及全部独立调试工具均统一使用 Go 1.27.3 编译。
此外，SILO、mcli 与 KES 的 UBI 容器信任库已应用 Red Hat RHSB-2026-012 的根证书封禁列表。由于根级封禁会一并拒绝挂靠在这些根证书之下的所有证书链，其拦截范围比 Go 1.27.3 的中间证书黑名单更广；若外部服务仍使用受影响根证书签发的证书链，需先行更换证书。发行版 CA 软件包的跟进状态见下文本地缓解。
SFTP 依赖安全加固
pkg/sftp 1.13.12 修复了 10 月 23 日公布的三项安全问题。截至本次核对，它们均没有 CVE 编号，以下按 GHSA 单独记录，不计作新增 CVE：
| 公告 | 上游问题 | SILO 适用性 |
|---|---|---|
| GHSA-xgcg-wgmj-5rw3，Medium | Client.RemoveAll 跟随顶层符号链接，可能删除目标目录内容 |
SILO 服务端未调用该客户端 API |
| GHSA-47hq-m6q9-3rm6，Medium | sftp.Server 的 ReadOnly 模式允许创建硬链接 |
SILO 使用 NewRequestServer 与自有 driver，未使用该只读 Server API |
| GHSA-h959-g3h6-w76c，High | ReadOnly 模式允许截断或新建文件 | 同上 |
上游后两条公告的受影响版本区间（affected range）与修复版本字段存在矛盾，本次直接升级至包含实际代码修复的 1.13.12 并通过回归测试验证（当前 Go 漏洞库快照停留在 10 月 21 日，尚未收录这三条 10 月 23 日发布的公告）。
静态 curl 及其链接库
SILO 容器镜像内置的静态 curl 从 8.22.0 升级至 8.23.0（启用 HTTP/2、SSH 与 Brotli，TLS 后端采用 OpenSSL）。下表完整列出 curl 8.22.0 官方漏洞汇总中的 21 个 CVE 及其在当前静态构建中的适用情况：
| CVE | 问题 / 适用性 |
|---|---|
| CVE-2026-92392 | HTTP/2 上传释放后使用（UAF） |
| CVE-2026-107929, CVE-2026-94266, CVE-2026-94265, CVE-2026-86413, CVE-2026-86414, CVE-2026-86415, CVE-2026-87861 | 连接复用、凭据或认证边界处理缺陷 |
| CVE-2026-92386, CVE-2026-86412, CVE-2026-87862, CVE-2026-87863 | Cookie 与 HSTS 状态污染 |
| CVE-2026-92387, CVE-2026-92388, CVE-2026-92389, CVE-2026-92390, CVE-2026-92391 | 循环处理、FTP/TFTP、下载文件名及 MIME 递归解析 |
| CVE-2026-86410, CVE-2026-87865 | SSH 主机校验及 known_hosts 回调 |
| CVE-2026-107928, CVE-2026-87866 | 仅影响 GnuTLS / wolfSSL 后端；当前 OpenSSL 构建不使用这两类后端 |
静态链接的 Alpine 底层库同步升级至以下回补版本（-rN 代表含安全回补的 Alpine 修订号）：
| 库 | 本次版本变化 | CVE |
|---|---|---|
| Brotli | 1.2.0-r1 → 1.2.1-r0 | CVE-2026-111497 |
| musl | 1.2.6-r2 → 1.2.6-r3 | CVE-2026-107891 |
| libssh2 | 1.11.1-r3 → 1.11.1-r4 | CVE-2025-15661, CVE-2026-58050, CVE-2026-58051, CVE-2026-66032, CVE-2026-66033, CVE-2026-66034, CVE-2026-66035 |
此前发布的 SILO arm64 镜像静态库清单已包含 OpenSSL 3.5.9-r0、nghttp2 1.70.0-r0（CVE-2026-58055）与 zlib 1.3.2-r1（CVE-2026-85091）；本次在构建脚本中显式锁定上述最低安全版本并完成双架构验证。Alpine 修复修订详见官方安全元数据。
构建与开发工具安全修复
本节记录 SILO Console 前端资源构建、代码生成与测试环境（生产环境运行的是编译后的 Go 服务端二进制），以及仓库内独立的 Go 调试模块。
Node 24.22.1
构建环境的 Node.js 从 24.22.0 升级至 24.22.1。下表列出 Node.js 2026 年 10 月安全公告中适用于 Node 24.x 的 8 个 CVE（不含仅影响 Node 26 的条目）：
| CVE | 修复内容 |
|---|---|
| CVE-2026-105482 | DNS 名称中的 NUL 字节截断 |
| CVE-2026-105483, CVE-2026-106069, CVE-2026-106072 | 非规范 IP 地址导致 TLS 主机名校验绕过 |
| CVE-2026-111497 | Brotli 解码越界写（Node 已回补修复，内置版本字符串仍显示 1.2.0） |
| CVE-2026-105481 | HTTP keep-alive 接受请求前的响应数据 |
| CVE-2026-106074 | 启动快照重复使用随机数缓存 |
| CVE-2026-106073 | fs.realpathSync 权限模型绕过 |
Node 24.22.1 内置的 Undici 从 7.29.1 升至 7.30.1，包含以下 8 项修复（详见 Undici v7.30.1 发布说明）：
| CVE | 修复内容 |
|---|---|
| CVE-2026-87018, CVE-2026-109383 | TLS 重协商崩溃、Agent 丢失自定义验证回调 |
| CVE-2026-109829, CVE-2026-109841 | 跨源缓存污染 / 数据泄露及 SRI 校验绕过 |
| CVE-2026-109869, CVE-2026-87029, CVE-2026-109924, CVE-2026-109932 | 内容解码、EventSource 和 WebSocket 的拒绝服务 |
Node 24.22.1 内置的 OpenSSL 从 3.5.8 升至 3.5.9（旧 Node 24.22.0 仍停留在 3.5.8），涵盖 DTLS、QUIC、CRL、CMP、EC / SM2 与握手内存安全方面的 13 项修复：CVE-2026-84782, CVE-2026-35189, CVE-2026-35191, CVE-2026-42772, CVE-2026-54872, CVE-2026-54873, CVE-2026-54875, CVE-2026-72897, CVE-2026-75804, CVE-2026-75805, CVE-2026-75806, CVE-2026-77696, CVE-2026-84784。
Node 24.22.1 内置的 c-ares 从 1.34.8 升至 1.34.9，修复了 11 条尚未分配独立 CVE 编号的上游 GHSA 公告（其中 GHSA-wpr3-8q3r-4q8c 补齐了此前 CVE-2026-33630 修复遗漏的连接关闭路径，上游仍标为 No known CVE）：
| 公告 | 修复内容 |
|---|---|
| GHSA-wpr3-8q3r-4q8c | 连接失败后取消查询时的内存破坏 |
| GHSA-fqh5-3x7m-wp44 | 接受来自错误 DNS 服务器的响应 |
| GHSA-97vq-4mxv-7vhm | 关闭失败连接后查询对象的释放后使用 |
| GHSA-rf6g-ww74-97qh | 取消 / 关闭回调中的释放后使用 |
| GHSA-mw23-pfg6-2x9r | socket 状态回调后的释放后使用 |
| GHSA-v33j-65h4-4ch8 | 服务器状态回调取消查询时的释放后使用 |
| GHSA-pj7p-v3cw-hq66 | 回调更换 DNS 服务器时的释放后使用 |
| GHSA-grv7-fq5q-9vfc | 读取缓存响应时的释放后使用 |
| GHSA-ph6c-3cvx-mq6v | 并发复制选项 / 修改服务器时的缓冲区溢出 |
| GHSA-cfcv-8v2j-qj6r | 带前缀长度的 IPv6 地址暴露未初始化内存 |
| GHSA-wrgc-prmw-27xh | 缓存错误复用不同 EDNS 选项的响应 |
前端依赖与代码生成器
| 依赖 | CVE / GHSA | 修复内容 |
|---|---|---|
| fast-uri 3.1.7 → 3.1.9 | CVE-2026-86472 | 编码主机名大小写规范化不一致 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101913 | 链路本地 IPv6 分类错误 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101910 | 遗漏 NAT64 本地使用网段 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101912 | 混合地址族的子网检查绕过 |
| ip-address 10.4.0 → 10.7.4 | CVE-2026-101911 | 超长地址错误诊断导致资源耗尽 |
| moment 2.30.1 → 2.31.0 | CVE-2026-17495 | 非字符串 locale 参数路径穿越 |
| smol-toml 1.8.0 → 1.9.1 | GHSA-r4xh-jqrq-34v2 | TOML 解析二次复杂度 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112945 | 开发中间件跨源脚本执行 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112946 | 开发服务器文件允许列表绕过 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112943 | Windows 编辑器参数转义不足 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112944 | 编辑器参数被解释为命令选项 |
| vite 8.0.16 → 8.3.5 | CVE-2026-112942 | Windows 编辑器路径检查绕过 |
此外，代码生成工具 go-swagger 从 0.33.2 升级至 0.36.6，修复 GHSA-8gmg-wf5j-hvf7 与 GHSA-rg22-m539-jwvf（不可信 OpenAPI 规范中的内容类型或枚举值在代码生成阶段可能触发代码注入，上游首次修复版本为 0.35.3，无独立 CVE 编号）。生成文件已与新版工具同步；生成流程显式保留经过审查的配置导入绑定器与 multipart 处理方式，并通过回归测试保留原有文件大小、文件名和表单编码行为。
独立 Go 调试模块
服务端仓库下的 inspect、s3-verify 与 xattr 三个独立调试模块此前落后于根模块版本。本次同步消除了 37 个带 CVE 编号的依赖版本告警及 1 个无 CVE 的 S2 公告：
| 依赖 | 受影响独立模块 | 最终版本 |
|---|---|---|
| golang.org/x/crypto | inspect、s3-verify | 0.58.0 |
| golang.org/x/net | s3-verify | 0.61.0 |
| golang.org/x/text | s3-verify | 0.43.0 |
| golang.org/x/sys | inspect、xattr | 0.49.0 |
| klauspost/compress | inspect、s3-verify | 1.20.3 |
下表列出对应的 Go 官方漏洞库条目与上游首次修复版本（OpenPGP 的无修复公告单列于下文其他残留项）：
| CVE / 公告 | 依赖 | 首次修复 | 问题 |
|---|---|---|---|
| GO-2026-5841 | klauspost/compress | v1.18.7 | S2 越界读取（无 CVE 编号） |
| CVE-2026-39824 | x/sys | v0.44.0 | Windows Unicode 字符串整数溢出 |
| CVE-2025-47913 | x/crypto | v0.43.0 | SSH agent 拒绝服务 |
| CVE-2025-58181 | x/crypto | v0.45.0 | SSH 无界内存消耗 |
| CVE-2025-47914 | x/crypto | v0.45.0 | SSH agent 畸形约束拒绝服务 |
| CVE-2026-39833 | x/crypto | v0.52.0 | SSH agent 密钥约束未执行 |
| CVE-2026-39832 | x/crypto | v0.52.0 | SSH 密钥转发丢失约束 |
| CVE-2026-46597 | x/crypto | v0.52.0 | SSH 字节运算下溢及 panic |
| CVE-2026-39828 | x/crypto | v0.52.0 | SSH 证书限制绕过 |
| CVE-2026-39835 | x/crypto | v0.52.0 | SSH 主机密钥 / 认证回调 panic |
| CVE-2026-39827 | x/crypto | v0.52.0 | 拒绝 SSH channel 时内存泄漏 |
| CVE-2026-39830 | x/crypto | v0.52.0 | SSH 非预期响应导致死锁 |
| CVE-2026-39829 | x/crypto | v0.52.0 | 畸形 RSA / DSA 参数导致拒绝服务 |
| CVE-2026-39831 | x/crypto | v0.52.0 | FIDO / U2F 物理交互要求绕过 |
| CVE-2026-39834 | x/crypto | v0.52.0 | SSH 大 channel 写入无限循环 |
| CVE-2026-42508 | x/crypto | v0.52.0 | known_hosts 的 @revoked 未执行 |
| CVE-2026-46595 | x/crypto | v0.52.0 | VerifiedPublicKeyCallback 权限未执行 |
| CVE-2026-46598 | x/crypto | v0.52.0 | SSH agent 畸形输入导致 panic |
| CVE-2026-56854 | x/crypto | v0.55.0 | SSH 非公钥认证遗漏 source-address 约束 |
| CVE-2026-78662 | x/crypto | v0.56.0 | 未决 SSH channel 死锁 |
| CVE-2026-56855 | x/crypto | v0.56.0 | 已建立 SSH channel 死锁 |
| CVE-2025-47911 | x/net | v0.45.0 | HTML 解析二次复杂度 |
| CVE-2025-58190 | x/net | v0.45.0 | HTML 解析无限循环 |
| CVE-2026-33814 | x/net | v0.53.0 | HTTP/2 非法帧大小导致循环 |
| CVE-2026-42506 | x/net | v0.55.0 | HTML foreign content 命名空间处理错误 |
| CVE-2026-39821 | x/net | v0.55.0 | 未拒绝纯 ASCII 的 Punycode 标签 |
| CVE-2026-42502 | x/net | v0.55.0 | HTML foreign content 元素处理错误 |
| CVE-2026-25680 | x/net | v0.55.0 | 畸形 HTML 解析拒绝服务 |
| CVE-2026-25681 | x/net | v0.55.0 | DOCTYPE 字符引用处理错误 |
| CVE-2026-27136 | x/net | v0.55.0 | 重复 HTML 属性导致 XSS |
| CVE-2026-46600 | x/net | v0.56.0 | 畸形 SVCB / HTTPS DNS 记录导致 panic |
| CVE-2026-78659 | x/net | v0.60.0 | HTTP/2 Trailer 导致内存耗尽 |
| CVE-2026-78660 | x/net | v0.60.0 | HTTP/2 接受畸形帧相关头 |
| CVE-2026-78669 | x/net | v0.60.0 | HTTP/2 窗口反复变化导致 CPU 耗尽 |
| CVE-2026-78663 | x/net | v0.60.0 | HTTP/2 流控额度重复返还 |
| CVE-2026-97032 | x/net | v0.60.0 | HTTP/2 HPACK 编码器竞争导致崩溃 |
| CVE-2026-56852 | x/text | v0.39.0 | 非法文本输入导致无限循环 |
| CVE-2026-56851 | x/text | v0.41.0 | PRECIS 解析畸形输入导致 panic |
上游或发行版仍未解决的条目
截至 2026-10-23，以下条目在上游或所选操作系统发行版中尚无可用修复版本。我们保留原始扫描记录，并逐项说明已采取的本地缓解措施或运行时可达性边界。
已做本地缓解，等待上游发布
| 条目 | 上游 / 发行版状态 | 本次处理及剩余边界 |
|---|---|---|
| CVE-2026-93687 / braces | 最新 npm 版本仍为 3.0.3，上游尚未发布修复版本 | 对 [email protected] 应用本地 Yarn 补丁，将解析与 AST 遍历深度限制为 100（13 项回归测试通过）。该包仅位于前端构建/测试依赖图；纯版本号比对的扫描器仍会提示告警。待上游发布官方修复版并通过验证后移除本地补丁。 |
| CVE-2026-111943 / UBI CA | 验收时 UBI 9 仍提供 ca-certificates 2025.2.80_v9.0.305-91.el9，尚未包含最新信任变更 |
已在构建阶段执行 Red Hat 官方根证书封禁并校验生成的 PEM 文件；Go 1.27.3 与 Node 24.22.1 也各自内置了证书信任拦截。后续继续跟踪 UBI ca-certificates 包更新。 |
UBI 9.8 尚无适用发行版补丁的扫描记录
2026-10-22 对 SILO、mcli 与 KES 在 amd64 和 arm64 上的系统组件验收镜像（包含最终静态 curl 与 CA 证书库）进行了扫描：每个镜像均保留 24 条 RPM 记录，对应同一组 12 个唯一 CVE（15 条 Medium、9 条 Low，无 High / Critical，所有记录的 FixedVersion 均为空）。2026-10-23 复查 Red Hat 安全数据时，以下 RHEL 9 源包状态仍为 Affected 或 Fix deferred。
由于 RPM 扫描器按源包（SRPM）映射漏洞，部分仅存在于未安装命令行工具或其他 CPU 架构中的缺陷也会挂靠到基础运行库（如 libgcc、glibc）名下；下表逐一列出各条目的实际适用范围：
| CVE | 源包 | Red Hat 级别 | RHEL 9 状态 | 适用性 |
|---|---|---|---|---|
| CVE-2026-56391 | coreutils | Moderate | Fix deferred | uniq 多字节输入越界读，需特定命令行参数与输入触发 |
| CVE-2026-8674 | glibc | Moderate | Fix deferred | DNS resolver 处理超长搜索域时触发进程中止 |
| CVE-2026-86805 | glibc | Moderate | Affected | 动态加载器本地竞争，需满足本地 setuid、路径与硬链接前提 |
| CVE-2026-89092 | glibc | Moderate | Affected | nscd DNS 缓存守护进程缺陷；容器镜像未安装 nscd 包 |
| CVE-2026-95818 | glibc | Moderate | Affected | 动态加载器栈越界，需特定本地 setuid 与路径条件 |
| CVE-2026-97399 | glibc | Low | Affected | Power8 架构专用优化路径；发布镜像仅针对 amd64 / arm64 |
| CVE-2021-46195 | gcc | Low | Fix deferred | libiberty 符号解码器递归耗尽（Red Hat 公告中的 mingw-gcc 修复不适用于 libgcc 运行库） |
| CVE-2022-27943 | gcc | Low | Fix deferred | libiberty 缺陷；Red Hat 明确说明 libgcc / libstdc++ 不含受影响代码 |
| CVE-2026-95619 | gcc | Moderate | Affected | libstdc++ 对齐分配溢出，因源包归属映射为 libgcc 告警 |
| CVE-2026-102010 | gcc | Moderate | Affected | libstdc++ 可选 pb_ds 容器缺陷，因源包归属映射为 libgcc 告警 |
| CVE-2023-50495 | ncurses | Low | Fix deferred | tic 终端编译工具缺陷，不在 libncurses 运行库中 |
| CVE-2022-41409 | pcre2 | Low | Fix deferred | 仅影响 pcre2-tools 命令行工具；UBI 未安装该工具包 |
构建阶段与无 CVE 公告
- Alpine 构建阶段宿主包的
curl/libcurl仍为8.22.0-r0：截至 2026-10-23，Alpine 双架构包索引尚未推送8.23.0。该包仅在容器构建阶段用于下载固定 SHA-256 校验和的源码包，最终打入运行镜像的是从源码编译的静态curl 8.23.0。 - GO-2026-5932：
golang.org/x/crypto/openpgp已废弃且无上游修复版本（无 CVE 编号）。虽然golang.org/x/crypto仍在模块图中，但已核查的构建目标均未导入受影响的openpgp子包。
已有历史修复，不属于本次新增漏洞
按模块路径匹配的二进制扫描器仍会对 SILO 报告 CVE-2025-27414、CVE-2026-33322、CVE-2026-33419、CVE-2026-34204、CVE-2026-39414、CVE-2026-40344、CVE-2026-41145、CVE-2026-42600（因为 SILO 保留了 github.com/minio/minio 模块路径，而上游通告使用开放版本区间）。这八项缺陷在此前版本中均已修复并通过回归测试，详见 SFTP 公告、OIDC、LDAP、复制元数据、CSV、Snowball、签名校验 与 ReadMultiple。
兼容性与发布前验证
为避免已复现的终端表格输出变化、字符宽度计算差异及 NetBSD 交叉编译回归，本次固定保留 tablewriter 0.0.5、go-humanize 1.0.1、根模块 go-runewidth 0.0.29 及 go-systemd/v22 22.6.0（xattr 模块保留其既有宽度库组合）。此外：
- Kafka 通知目标在应用用户配置前显式保留协议版本默认值
2.1； - DARE 加密继续使用 32 字节密钥与 v2 写入格式，并修复旧 v1 解封缓冲区处理；
pgzip保留对缺失校验尾部返回unexpected EOF的完整性检查。
10 月 22 日至 23 日的候选构建（与回退基线均基于 Go 1.27.3，持久化验收在单节点四盘 Linux arm64 环境执行）已完成以下验证：
- 全量编译、适用的
-race与 lint 检查； - 加密对象在新旧依赖栈之间的互读与回滚验证；
- 服务重启、缺失分片自愈恢复与 CLI 格式化输出校验；
- Console 真实对象上传下载、ZIP 归档预览、WebSocket 会话及监控指标图表验证。
10 月 24 日追加升级后的候选源码另行完成以下验证：
- silo-pkg、mcli、KES 的全量 race 测试，Console 的 API / pkg / cmd race 测试，以及 SILO 的全量测试和 SFTP、IAM、Parquet 专项 race 测试；五个项目的 lint、模块校验与依赖整洁性检查通过。
- SFTP 自有驱动在 HTTP / HTTPS S3 后端上的对象读写、列表、删除、Unicode 文件名、传输块边界和只读权限保护；上游只读服务与符号链接删除回归测试通过。旧、新依赖均通过新增的对象操作测试。
- JWX 签名与时间声明边界对照通过；68 项 CLI 输出对照无新增差异，仅对既有元数据映射顺序做归一化。
- 本地 etcd 服务的 mTLS、账户认证、事务、watch、lease 和旧→新→旧客户端跨服务重启读取；NATS / STAN 的消息持久化、ACK、持久订阅游标及断线重连通过。
- Azure / GCS 本地协议夹具、KES GCP Secret Manager 操作与分页、Azure SDK 的 Arrow 解码测试、procfs 完整上游解析夹具测试通过。procfs 更新包含 bcache 单位及 NVMe 大小的解析修正，相关指标数值可能随之纠正。
- mcli、Console、SILO、KES 的 Darwin arm64 原生构建与 Linux amd64 交叉构建，以及 mcli、SILO 的 NetBSD amd64 交叉构建通过。
本轮五个项目的 Linux amd64 包级 Go 漏洞扫描未发现受影响的已导入包（仅余未导入受影响子包的模块级 GO-2026-5932 记录）。
其余组件正式发布前，本页将补全相应版本号、制品校验和与容器镜像 digest，并更新上述待定上游条目的最新状态。