本期补丁日风险极高：GitLab存在CVSS 10.0未认证RCE，影响7.0以来所有自托管版本；PHP有两个未认证RCE；Node.js存在Brotli越界写入RCE及TLS验证绕过；Go需升级后重新编译二进制，仅更新信任库无效；curl的HTTP/2 UAF可致RCE；Chrome 156修复6个Critical漏洞；eMudhra中间CA私钥可被恢复，需更新各工具链信任库；Windows Shell漏洞已被在野利用，.NET Framework存在WDAC绕过零日；Apache 2.4.69前版本受影响。建议优先处理在野利用与零日，再修未认证RCE，并整体升级浏览器与工具链。

LineageOS 24.0 正式版发布，基于 Android 17，已同步 2025 年 8 月至 2026 年 10 月安全补丁，并回移旧分支补丁。新版更新系统应用、改进升级流程，并推出基于 WebUSB 的浏览器刷机工具 Lineage Flash Tools，支持 ADB、Fastboot、三星 Odin 和 Amlogic Burn 四种模式，无需单独安装工具。

Go 1.27将HTTP/2实现从外部模块golang.org/x/net/http2迁入标准库net/http/internal/http2，历时两年完成11个子任务。此举解决安全补丁难回合并、HTTP/1与HTTP/2改动不原子化等问题。开发者现可用标准库原生API配置HTTP/2参数、启用h2c，无需额外依赖，安全补丁响应更快。

Azure DevOps Server发布新补丁，建议用户更新至最新安全版本。补丁适用于Azure DevOps Server及2022.2版本，提供下载和发布说明。安装后可通过命令验证补丁是否成功。另新增功能：可使用Azure DevOps服务连接替代个人访问令牌或构建会话令牌。

Azure DevOps Server发布新补丁，建议用户更新至最新安全版本。补丁适用于最新版及2022.2版，提供下载和发布说明。安装后可通过命令验证补丁是否成功。另提醒2026年7月1日起，Git将移除NTLM认证，影响相关客户，需提前准备。

PostgreSQL发布了安全补丁，修复了CVE-2026-6473漏洞。该漏洞允许未授权角色通过普通数据库连接进行堆外写入，可能导致任意代码执行。受影响版本包括18.4、17.10等。建议用户立即升级，特别是使用托管服务的用户，以确保系统安全。此漏洞源于整数溢出，影响广泛，需引起重视。

苹果在3月推出安全补丁，首次采用“后台安全改进”机制，绕过传统更新流程。为应对快速发现和利用的漏洞，苹果加入Anthropic的Glasswing计划，利用Mythos模型扫描产品漏洞，提升安全性。

Meta的产品安全团队开发了双重策略，以提高Android应用的安全性。通过设计安全默认框架和利用生成性AI，团队能够高效地在数百万行代码中提出和验证安全补丁，从而显著降低工程师的工作负担。

近期，AI对开源项目维护者和贡献者的压力引发关注。Tomas Vondra在博客中探讨了低质量AI输出对贡献者的影响，尤其是在安全补丁审查过程中。尽管AI在代码审查中表现良好，但概念审查应优先进行。AI辅助可能为安全补丁审查提供有价值的见解，尽管初期效率和质量提升有限。

谷歌宣布安卓开源项目AOSP将改为每半年发布更新，主要在Q2和Q4，Q1和Q3不再及时公开。这一变化旨在提高主干稳定性和减少碎片化，普通用户影响不大，但第三方ROM如LineageOS将面临更新延迟。安全补丁仍将每月发布。

Spring AI 1.1.1发布，新增13个功能、16个bug修复及重要依赖更新，包括安全补丁。集成OpenAI Java SDK，支持结构化输出，增强Claude和Google Gemini功能，改进MCP稳定性，修复多个问题。预计下周发布Spring AI 2.0.0-M1。

PostgreSQL 13将于2025年11月13日停止支持，届时将不再提供安全补丁和错误修复。继续使用该版本将面临安全漏洞和兼容性问题。建议尽早升级，以降低风险并提升性能和安全性，避免未来的技术债务和额外成本。

PostgreSQL 13将于2025年11月13日停止支持，届时不再提供安全补丁和错误修复。继续使用该版本将面临安全和兼容性风险。建议尽早升级，以提升性能和安全性，确保系统稳定。