AI 周报 · 2026 年第 42 周 · 10.12 — 10.18
HOMELAB
GitLab 满分漏洞与 DNS 根区密钥轮换
本期覆盖 2026-10-12 至 2026-10-18。安全层面最突出的是 GitLab 修复 CVSS 10.0 的未认证远程代码执行漏洞 CVE-2026-97229，社区版与企业版均受影响；n8n 修复八个漏洞（五个 High），主要波及多用户自托管环境；Nix 与 Lix 联合披露本地提权至 root 的漏洞并当日发布修复版本。运维侧，Traefik v3.7.15 修复三个 CVE，Paperless-ngx v3.3.2 修复 GHSA-c8f3-pqr2-rr24，DNS 根区 KSK 于 10 月 11 日完成第二次轮换，Cloudflare 提供解析器就绪检测。新项目方面，Doory 发布可自托管的开源 Canva 替代方案，VoidZero 开源 Void 平台、SDK 与 CLI，可将 Vite 应用部署到 Cloudflare。Cloudflare 为 Quick Tunnels 加入邮箱访问控制，Ollama v0.40.5 新增 Nemotron 3.5 模型支持。
严重漏洞集中披露
本版导读本期安全公告密集。GitLab 的 CVE-2026-97229 评分达 10.0，攻击者无需认证即可借 CI/CD 配置中的特制正则表达式执行任意代码；n8n 修复八个漏洞，五个为 High，主要影响允许多用户编辑工作流的自托管部署；Nix 与 Lix 则披露可提权至 root 的本地权限提升漏洞，所有构建不受信任 derivation 的系统均受影响，两项目当日发布修复版本。
Noted10.13GitLab 修复 CVSS 10.0 的远程代码执行漏洞 CVE-2026-97229
GitLab 发布紧急安全更新，修复一个 CVSS 评分为 10.0 的严重漏洞 CVE-2026-97229，攻击者无需认证即可通过 CI/CD 配置文件中的特制正则表达式在服务器上执行任意代码，社区版和企业版均受影响。
Noted10.15n8n 修复多个影响自托管部署的安全漏洞
n8n 于 2026 年 10 月 14 日发布安全公告，修复八个漏洞，其中五个为 High 级别，主要影响自托管部署，尤其是允许多名用户创建或修改工作流的环境。
LWN.net10.14Nix 与 Lix 披露本地提权漏洞并发布修复版本
Lix 和 Nix 项目联合披露了一组本地权限提升漏洞，攻击者可借此在运行 Lix 或 Nix 守护进程的系统上提权至 root，所有构建不受信任 derivation 的系统均受影响。两个项目当天都发布了包含修复的版本，CVE 编号尚未申请。
自托管组件补丁跟进
本版导读多个自托管常用组件发布修复版本。Traefik v3.7.15 修复三个安全公告中的 CVE，并调整 CONNECT 请求处理，官方提示先阅读迁移指南；Paperless-ngx v3.3.2 修复安全问题 GHSA-c8f3-pqr2-rr24，建议所有用户升级，同时修正文档元数据覆盖与搜索逻辑。
Traefik Releases一手10.15Traefik v3.7.15 发布，修复三个 CVE 并调整 CONNECT 请求处理
Traefik 发布 v3.7.15，修复了 GHSA-p8wx-ph99-xgcr、GHSA-ww7c-q3mv-xx22、GHSA-28hp-c82p-8vqj 三个安全公告中的 CVE，官方提示先阅读迁移指南。
Paperless-ngx Releases一手10.16Paperless-ngx v3.3.2 发布，修复安全问题 GHSA-c8f3-pqr2-rr24
Paperless-ngx 发布 v3.3.2，修复了一个安全问题（GHSA-c8f3-pqr2-rr24），官方建议所有用户升级。该版本还修复了 DocumentMetadataOverrides.from_document 只复制直接用户授权、组合文本与查询搜索，以及导出文件名在原始文件仅扩展名不同时重复的问题，并升级了 filelock 等依赖。
DNS 根区密钥轮换
本版导读DNS 根区密钥签名密钥于 2026 年 10 月 11 日进行历史上第二次轮换，新密钥 KSK-2024（key tag 38696）取代 KSK-2017（key tag 20326）签署根区 DNSKEY 记录集。验证型解析器需在切换前信任新密钥，否则用户解析可能受影响，Cloudflare 提供了解析器就绪检测手段。
DNS 根区 KSK 将于 10 月 11 日轮换，Cloudflare 提供解析器就绪检测
DNS 根区的密钥签名密钥（KSK）将于 2026 年 10 月 11 日进行历史上第二次轮换，新密钥 KSK-2024（key tag 38696）将取代 KSK-2017（key tag 20326）签署根区 DNSKEY 记录集，验证型解析器需在切换前信任新密钥，否则用户可能无法访问任何顶级域下的网站。
开源部署工具涌现
本版导读Doory 发布可在浏览器运行的开源设计编辑器，支持海报、社交图片、幻灯片与简历，可导出 PNG、JPG、SVG、PDF、MP4、WebM 和 GIF，功能免费且无需账号，并支持自托管。VoidZero 开源 Void 平台、SDK 与 CLI，以单个 JavaScript 包和 Vite 插件形式发布，可通过 npm install void 安装，用于把 Vite 应用部署到 Cloudflare。
Doory 发布开源 Canva 替代方案，支持自托管
Doory 是一个在浏览器中运行的开源设计编辑器，可制作海报、社交图片、幻灯片、简历等，支持导出 PNG、JPG、SVG、PDF、MP4、WebM 和 GIF，所有功能免费且无需账号。
VoidZero 开源 Void 平台、SDK 与 CLI，把 Vite 应用部署到 Cloudflare
VoidZero 开源了 Void Platform、Void SDK 和 Void CLI 三个产品，以单个 JavaScript 包和 Vite 插件形式发布，可通过 npm install void 安装。
隧道与模型更新
本版导读Cloudflare 在 cloudflared 2026.9.3 中为 Quick Tunnels 加入 --allowed-mail 参数，可指定允许访问的邮箱地址或域名，访客通过 Cloudflare Access 的一次性 PIN 验证身份。Ollama v0.40.5 更新 llama.cpp 与 MLX，新增对 NVIDIA Nemotron 3.5 Super 和 Nemotron 3.5 Bolt 模型的支持。
Cloudflare 为 Quick Tunnels 加入邮箱访问控制
Cloudflare 在 cloudflared 2026.9.3 中为 Quick Tunnels 加入 --allowed-mail 参数，可指定允许访问的邮箱地址或域名，访客通过 Cloudflare Access 的一次性 PIN 验证身份，双方都无需 Cloudflare 账号。
Ollama Releases一手10.16Ollama v0.40.5 发布，新增 Nemotron 3.5 模型支持
Ollama 发布 v0.40.5，更新 llama.cpp 与 MLX 以支持 NVIDIA Nemotron 3.5 Super 和 Nemotron 3.5 Bolt 模型。