本期摘要

本周 Linux 内核连续推送稳定版更新，补丁管理工具 b4 迎来 0.15.0 大版本，Manjaro 社区治理风波初现转机；安全层面，路由器固件恶意软件感染规模扩大，供应链攻击持续活跃，值得运维人员高度警惕。

Linux 动态

Linux 6.19.9 与 6.18.19 稳定版内核发布

Greg Kroah-Hartman 宣布同步释出 6.19.9 和 6.18.19 两个稳定版内核，均包含覆盖多个子系统的重要修复。官方建议所有用户尽快升级，以确保系统安全与稳定性。两条稳定分支并行维护的节奏，再次体现了内核社区对长期支持的持续投入。

🔗 原文链接

b4 v0.15.0 发布：补丁管理工作流全面升级

面向内核维护者的补丁管理工具 b4 发布 0.15.0 版本，带来多项重要新特性：新增 b4 review 工作流管理器，方便维护者审阅补丁；b4 dig 可根据 commit 反向追溯到原始邮件列表提交；b4 shazam 新增三路合并支持。此次更新进一步弥合了内核开发流程与现代工具链之间的差距。

🔗 原文链接

Manjaro 治理风波迎来转机：社区发布 2.0 宣言

Manjaro Linux 社区成员发布”Manjaro 2.0 宣言”，列出一系列治理诉求，核心是要求在社区与 Manjaro 商业实体之间建立清晰的权责分离机制。这一事件折射出开源发行版在商业化进程中普遍面临的社区自治张力，其走向值得关注。

🔗 原文链接

多发行版集中发布安全更新

本周 AlmaLinux、Debian、Fedora 等主流发行版集中推送安全补丁，涉及 glibc、grub2、内核、libpng、openssh、polkit 等关键组件。其中 grub2 与 openssh 的修复尤为敏感，建议生产环境优先安排更新窗口。

🔗 原文链接

WiFi / 无线动态

1.4 万台路由器遭高持久性恶意软件感染

研究人员披露一批感染量约达 14,000 台路由器的恶意软件活动，受感染设备以华硕路由器为主，大量分布于美国。该恶意软件具备较强的抗清除能力，普通重置难以根除。建议用户及时检查固件版本，并关闭不必要的远程管理接口。

🔗 原文链接

热门安全扫描工具 Trivy 遭供应链攻击

广泛使用的容器镜像安全扫描工具 Trivy 被确认卷入一场持续进行中的供应链攻击事件。攻击者在上游依赖中植入恶意代码，所有在受影响时间窗口内使用该工具的环境均存在密钥泄露风险。运维团队应立即核查 CI/CD 流水线并轮换相关凭证。

🔗 原文链接

四家厂商 IP KVM 产品曝出多个高危漏洞

安全研究人员披露四家主流厂商的 IP KVM 设备存在多个漏洞，攻击者一旦利用成功可获得 BIOS 级别的远程访问权限。此类设备通常部署于数据中心带外管理网络，一旦被攻破后果极为严重，建议立即核查暴露面并应用厂商补丁。

🔗 原文链接

编辑小结

本周最值得关注的主线是供应链安全：从 Trivy 到 GitHub 上利用不可见 Unicode 字符的攻击手法，攻击者正在将矛头从终端产品转向开发者每天使用的工具链本身，防御边界因此大幅前移。路由器固件恶意软件的持久化能力也在持续增强，家用与企业边界设备的固件维护已不容忽视。内核侧双分支同步推进稳定版的节奏值得肯定，b4 工具链的成熟也预示着内核补丁流程将进一步走向规范化。建议读者本周重点检查 CI/CD 依赖清单、路由器固件版本，以及各发行版的 openssh/grub2 补丁状态。