开源日报 · 2026 年 10 月 22 日 · 星期四
开源雷达
PingCap TiDB 生产环境被曝 10.6 TB 数据泄露
V2EX 帖子转述 fulcrumsec.vg 的披露，称 PingCap TiDB 生产环境累计外泄 10.6 TB 数据、4,901,203 个文件。生产控制平面连续 88 次每 6 小时导出一次且全程未被检测，涉及约 50 个 GCP 存储桶、180,046 个租户组织和 115,308 个客户明文 API 密钥，其中 42,612 个处于有效状态。
V2EX原文 开源项目
Black Forest Labs 开放权重发布 FLUX 3 Image Klein，8GB 显存消费级 GPU 可运行
Black Forest Labs 于当地时间10月15日以开放权重形式发布 FLUX 3 Image Klein 图像生成模型，图像 transformer 为 5.6B 参数，文本编码器为 Qwen3-VL-4B-Instruct。
ReactOS 宣布 NTFS 驱动可用并启动向 NT6 迁移
ReactOS 官方向社区宣布两项进展：经过近十年努力，NTFS 驱动大幅改进，已可用 NTFS 安装；系统同时正在向 NT6 架构迁移。
软件发布
PHP 发布 8.5.12、8.4.27、8.3.36 和 8.2.35 修复两个远程代码执行高危漏洞
PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个允许未经身份验证远程执行代码的高危漏洞，并建议所有 PHP 用户立即更新。
Anthropic 推出 Claude Duet 主动式 AI 智能体，首批面向美国 Pro 和 Max 用户开放
Anthropic 于 10 月 21 日宣布以研究预览版形式推出 Claude Duet，定位为可主动工作的 AI 智能体，基于 Claude Opus 5.5 构建，提供 iOS、Android 独立应用及 claude.ai 网页版，首批面向美国 Pro 和 Max 订阅用户开放候补名单。
吾爱破解 · 精品软件区Hprice 好价快查 v1.0.0 发布：本地商品比价监控工具
作者 wuweimao 发布自写本地工具 Hprice 好价快查 v1.0.0，按搜索、监控、推送三步使用，可对商品价格做差分比对并提示新增好价、降价和历史最低。
Node.js 发布安全更新，修复 10 余个漏洞含 4 个高危
Node.js 针对 26.x、24.x 和 22.x 系列版本发布安全更新，修复 10 余个安全漏洞，其中 4 个为高危。高危漏洞包括 dns.resolve 截断含 NUL 字符的域名、全角数字 IP 绕过 TLS 证书主机名验证、宽松解析主机名绕过 TLS 验证，以及 Brotli 解码器越界写入可导致远程代码执行。
教程与部署
V2EXJava 漏洞 CVE-2026-91403 或影响几乎所有 JDK
V2EX 用户分析 CVE-2026-91403 后指出，公告只列出已测试出问题的几个版本，实际几乎所有 JDK 都有漏洞风险，修复版本尚未发布。
观点
小众软件HTTP/3 曝 Header Accordions 漏洞：几百 KB 数据可卡死服务器
安全研究团队 FoxIO 于 10 月 20 日公开名为 Header Accordions 的 HTTP/3 拒绝服务攻击，问题出在请求头压缩技术 QPACK 的解码资源限制上。
PHP 两个重大漏洞惊动日本首相高市早苗发文呼吁打补丁
日本首相高市早苗 10 月 21 日 20:55 在 X 上发文，就 PHP 的两个重大漏洞向国民发出「大至急」请求，呼吁尽快打补丁，该推文浏览量超过 5700 万。材料仅提供摘要，未给出漏洞编号、影响范围与修复方式。
傲梅备份今年4至7月遭服务器入侵投毒，对境外区域发动白加黑侧载远控
傲梅备份在今年约4至7月遭服务器入侵与投毒，攻击者通过污染促销和更新配置文件，将更新重定向至黑产投毒地址，对中国境外区域发动白加黑侧载远控。攻击链为白文件加载BlkScrDl.dll等黑DLL，再经PowerShell、PocketPy内存执行与COM劫持，最终部署Radmin远控并借计划任务持久化。
小众软件Chrome 曝沙箱逃逸漏洞 CVE-2026-113328，官方已在 156.0.8078.47 修复
Google 在 10 月 20 日发布的 Chrome 156 桌面稳定版中修复了 353 个安全问题，其中 CVE-2026-113328 出在 Privacy 组件，属于输入验证不当，攻击者可能通过特制 HTML 页面在沙箱外执行任意代码，影响 156.0.8078.47 之前的版本。