2026 年 10 月 31 日 · 星期六开源与自托管 · 每日要闻每天 08:00 出刊
Homelab 日报 · 2026 年 10 月 31 日 · 星期六
HOMELAB
第 38 期312026 年 10 月星期六
十月本月 31 期
一二三四五六日
5件大事5个来源3件一手发布约 2 分钟读完
头条
Cloudflare 披露 eMudhra 八个弱密钥可伪造任意域名证书
Cloudflare 披露 eMudhra 八个弱密钥事件的后续：这些中间证书私钥可从公开证书中近乎即时恢复，任何人都能伪造任意域名的证书。同日 Linux multipath TCP 被报告存在可远程利用的释放后使用漏洞。
新版本与更新
Immich Releases一手Immich 发布 v3.4.0-rc.1 候选版本，新增 passkey 与备份功能
Immich 发布 v3.4 的首个候选版本 v3.4.0-rc.1，官方提示该版本可能包含 bug 或破坏性变更，升级前需备份数据库和媒体库。
Traefik Releases一手Traefik 发布 v3.8.0-rc.1，扩展 Gateway API 与 ingress-nginx 支持
Traefik 发布 v3.8.0-rc.1，官方提示升级前先阅读迁移指南。该版本为 Gateway API 增加 HTTPRoute 重试、RequestMirror 过滤。
安全公告
Cloudflare Blog一手
Cloudflare 追踪 eMudhra 弱密钥的利用与修补情况
Cloudflare 披露 eMudhra 八个弱密钥事件的后续：这些中间证书私钥可从公开证书中近乎即时恢复，任何人都能伪造任意域名的证书。
LWN.netLinux multipath TCP 存在可远程利用的释放后使用漏洞
Anthropic 于 10 月 27 日报告了 multipath TCP 监听开启的 Linux 系统上一个可远程利用的释放后使用漏洞，攻击者通过让重传 SYN 包的响应与另一线程建立连接同时发生，使前一线程访问已被释放的连接选项结构，从而泄露内核内存或造成缓冲区溢出并写入攻击者控制的载荷。
攻击者利用 PHP2Shell 漏洞链入侵美国政府服务器
安全公司 Dream 在 10 月 25 日发现一整套攻击残留，包含定制版 PHP2Shell 利用链与 Fragnesia 内核提权，目标为 Palo Alto Networks 的 PAN-OS 防火墙。此前 PHP 基金会修复的两个 RCE 漏洞 CVE-2026-109618 与 CVE-2026-109619 已被武器化并用于实际攻击。