开源周报 · 2026 年第 43 周 · 10.19 — 10.25
开源雷达
本周开源模型密集放量，MiniMax 开源 M3.1 Flash 权重，月之暗面发布 Kimi K3.1 Pro。安全领域接连告警，PHP 核心两项 9.2 分漏洞定于 10 月 21 日修复，TiDB 生产环境被曝外泄 10.6 TB 数据。工具侧，Arc 浏览器宣布 12 月 22 日停止服务，PDFMathTranslate 推出跨平台客户端。
PHP 官方预警两项 9.2 分严重漏洞，10 月 21 日 22:00 发布修复
PHP 官方在补丁发布前一天发布安全预警，称 PHP 核心存在两个严重漏洞，CVSS v4.0 评分均为 9.2 分，计划于 2026 年 10 月 21 日 22:00（北京时间）发布紧急安全更新。
小众软件原文 开源项目
MiniMax 开源 M3.1 Flash 权重：总参数 428B、激活 23B
MiniMax 稀宇科技宣布正式开源 MiniMax M3.1 Flash 的模型权重，总参数 428B，激活参数 23B。相较上一代 M3，M3.1 Flash 通过全模型稀疏注意力、QAT 量化感知训练和 Power-aware scheduling 提升推理效率，其中路由 MoE 专家迁移到 W4A4，稀疏注意力索引器和主分支从 Q8KV8 迁移到 Q8KV4。
蚂蚁百灵开源 Ming-3.0 语音系列五款模型
蚂蚁百灵开源 Ming-3.0 语音系列，覆盖语音合成、音频理解与对话、语音识别三个方向共五款模型，权重已上架 Hugging Face 与 ModelScope，Ling Studio 提供 API 与在线体验。
Black Forest Labs 开放权重发布 FLUX 3 Image Klein，8GB 显存消费级 GPU 可运行
Black Forest Labs 于当地时间10月15日以开放权重形式发布 FLUX 3 Image Klein 图像生成模型，图像 transformer 为 5.6B 参数，文本编码器为 Qwen3-VL-4B-Instruct。
V2EX10.20EdgeEver 全端开源知识库落地 Cloudflare 与 Docker 自托管并支持 MCP/ACP
EdgeEver 作者在 V2EX 分享项目进展，已落地 macOS、Windows、Linux、iOS、Android 全平台客户端，并支持 Cloudflare Worker + D1 + R2 零成本部署与 Docker 单行脚本自托管。
小众软件10.24英伟达 RTX 30/40 系显卡 AI 算力限制被开源项目解锁，部分矩阵计算提升 60% 至近 100%
开发者发现部分英伟达 RTX 30 系列显卡的 Tensor Core 在特定矩阵运算上存在人为速度限制，并已出现 Linux 版 GPU Unlock 和 Windows 版 Windows GPU Unlock 两个开源项目用于绕过该限制。
V2EX10.20作者为小米 AC2100 路由器用 Zig 写了 800 KB 代理客户端 zray
作者 yunnysunny 为刷了 ImmortalWrt 的小米 AC2100 用 Zig 编写了 VLESS 代理客户端 zray，编译后仅 800KB，运行时虚拟内存约 7MB，代码以 MIT 协议开源在 GitHub 的 yunnysunny/zray。
V2EX10.24Smart Wrong Notebook 开源 AI 错题本发布，支持拍照识别与安卓单机版
作者 margrop 发布 fork 自 wttwins/wrong-notebook 的开源项目 Smart Wrong Notebook，实现拍照识别、AI 讲解、组卷打印到作答回填的闭环，采用 MIT 协议。
V2EX10.19PDFMathTranslate 推出跨平台客户端 PDFMathReader，支持实时 PDF 翻译
PDFMathTranslate 团队发布跨平台客户端 PDFMathReader，支持 macOS、Windows、Linux 和 iOS，可在阅读时实时检测版面并翻译 PDF，保留公式、表格等排版。
软件发布
月之暗面发布 Kimi K3.1 Pro 模型，3万亿级参数、100万Token上下文
月之暗面发布 Kimi K3.1 Pro，官方称这是公司迄今能力最强的3万亿级参数模型，支持100万Token上下文，同步推出输出速度约为标准版2到3倍的 K3.1 Pro Highspeed。
小众软件10.24Strata 0.2.4 更新：12GB 显卡运行 DeepSeek V4.1-Flash
Strata 0.2.4 发布，通过「热门专家缓存」机制把 DeepSeek V4.1-Flash 的专家模块按需从 SSD 读取，让 RTX 3060 12GB 加 46GB 内存的机器也能本地运行，生成速度 8～10 tokens/s。
小众软件10.21Win11Debloat 中文版更新至 2026.10.21，上游已合入简体中文界面
青小蛙维护的 Win11Debloat 中文版更新至 2026.10.21，上游 master 分支已于 10 月 11 日合入简体中文界面，最新正式版 2026.08.24 尚未包含。
吾爱破解 · 精品软件区10.23SCSKiller V1.31 汉化版发布：游戏着色器预编译工具
SCSKiller V1.31 汉化版发布，这是一款开源的 PC 游戏优化工具，可在不启动游戏的情况下提前编译着色器并写入 NVIDIA 或 AMD 显卡驱动缓存，减少着色器编译卡顿。
Arc 浏览器将于 12 月 22 日停止服务
The Browser Company 公告称 Arc 浏览器将于 12 月 22 日停止服务，10 月 22 日起停止创建新账号，11 月 23 日起停用部分功能，12 月 22 日应用无法启动、Arc 账户被停用，个人数据在 30 天内删除。关停前用户可通过 Arc 的数据导出功能迁移到 Dia。
教程与部署
V2EX10.22Java 漏洞 CVE-2026-91403 或影响几乎所有 JDK
V2EX 用户分析 CVE-2026-91403 后指出，公告只列出已测试出问题的几个版本，实际几乎所有 JDK 都有漏洞风险，修复版本尚未发布。
观点
V2EX10.22PingCap TiDB 生产环境被曝 10.6 TB 数据泄露
V2EX 帖子转述 fulcrumsec.vg 的披露，称 PingCap TiDB 生产环境累计外泄 10.6 TB 数据、4,901,203 个文件。生产控制平面连续 88 次每 6 小时导出一次且全程未被检测，涉及约 50 个 GCP 存储桶、180,046 个租户组织和 115,308 个客户明文 API 密钥，其中 42,612 个处于有效状态。
eMudhra 8 个中间 CA 私钥泄露，Firefox、Chrome 等已阻止相关证书
eMudhra 的 8 个中间 CA 证书私钥已遭泄露，这些证书链可追溯至 Mozilla、Microsoft、Apple 和 Chrome 根证书计划信任的根证书。
小众软件10.20Plex 遭黑客攻击、AOMEI 两款软件更新渠道被劫持
Plex Media Server 的 4 个漏洞被串联利用，低于 1.43.3.10861 版本且开放公网的服务器可能被植入挖矿程序和代理软件，官方已于 10 月 19 日确认漏洞正被广泛利用。
小众软件10.22多个 Linux 内核高危漏洞疑似被误公开：最高评分 9.0，部分尚未修复
10 月 22 日，Phoronix 报道多个尚未修复的 Linux 内核安全漏洞被提前发到公开邮件列表，其中至少两个 CVSS 评分达 9.0。这些漏洞来自趋势科技旗下 Zero Day Initiative，涉及 SMB Direct、KSMBD、VMware 图形驱动、NVMe 等组件，两个 SMB 相关漏洞可能导致远程代码执行。
小众软件10.22HTTP/3 曝 Header Accordions 漏洞：几百 KB 数据可卡死服务器
安全研究团队 FoxIO 于 10 月 20 日公开名为 Header Accordions 的 HTTP/3 拒绝服务攻击，问题出在请求头压缩技术 QPACK 的解码资源限制上。