一家 CA 的私钥居然是「4」：eMudhra 证书事件，半个互联网连夜换锁
印度 CA 机构 eMudhra 的 8 张中间证书私钥全部小于 256，一张就等于 4。浏览器三小时内封堵，但真正的收尾在浏览器之外：Firefox、Go、Python、Alpine 本周都在为这件事更新。
Wireshark 5.0.0 RC1：等了多年的大版本，先把 Qt 5 和奇偶编号一起送走
Wireshark 放出 5.0.0rc1 实验版：弃 Qt 5、结束奇偶编号、抓包支持 Zstd 压缩，还能按数据包标注是哪个进程发的。稳定版仍是 4.6.9，正式版要等 11 月大会之后。
Zed 1.25.2：先瘦三分之一，再把 AI 代理的「小抄」藏好
Zed 1.25.2 进入稳定通道：二进制最多瘦身 33%，并修掉一个关键泄漏——传给外部 AI 代理的密钥此前会出现在本机进程列表里。
COSMIC 1.11：触控板终于能「点两下拖着走」，混合显卡也不选错了
System76 的 COSMIC 桌面发 1.11：设置新增点按拖动与拖动锁定，混合显卡选对启动 GPU，模态对话框不再被盖住——一版全是每天碰几十次的小别扭修复。
Matomo 5.14.2：修的不是自己，是替站长盯着 PHP 版本
Matomo 5.14.2 只做两件事：自托管安装若跑在受 PHP 严重漏洞影响的版本上，后台直接告警；CA 证书包同步更新。光升 Matomo 不修 PHP，官方提醒自托管用户立刻升级 PHP 本身。
Alpine 四个版本同日安全更新：从证书到 PHP，一次补齐
Alpine Linux 一次发布 3.21.9、3.22.7、3.23.7、3.24.3 四个安全更新：eMudhra 证书、musl、OpenSSL、zlib 与 PHP 漏洞一并处理；3.21 另需在 11 月 1 日前迁移。
LibreOffice 八周被下载 940 万次：2026 年还没过完，已超去年全年
文档基金会公布：8 月 24 日到 10 月 18 日，LibreOffice 被下载 940 万次，周均破百万；2026 年累计已超过 2025 全年，而今年还剩十周。
PHP 紧急安全更新：两个 9.2 分漏洞能未登录执行代码，站长今天就升 8.3.36
PHP 官方提前发布 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35，修复 CVE-2026-109618 与 CVE-2026-109619 两枚 9.2 分未授权远程代码执行漏洞；官方称无完整缓解办法，升级并重启是唯一安全选择。
VS Code 1.143：Copilot 成了默认，编辑器开始替你安排 AI
VS Code 1.143 让 Copilot harness 成为新会话默认，新增多模型同题对比、文件级审阅工作集与 worktree 清理；大对话打开从 35.6 秒降到 9.0 秒（官方数据），端侧模型需 96GB 显存。
Node.js 同日安全更新：Brotli 漏洞可远程执行代码，三条版本线一起升
Node.js 发布 v26.12.1、v24.22.1、v22.23.4，一次修复 10 个漏洞含 4 个高危：Brotli 越界写入可远程执行代码、TLS 证书校验可被特殊 IP 形式绕过等。
Plasma 6.8.1：纯 Wayland 的第一周，KDE 在忙着补地基
KDE 发布 Plasma 6.8.1 修复版：KWin 修复最密，远程桌面 krdp 修好 Windows 客户端连接与证书问题，Discover 与 Spectacle 各有体贴修复，6.8.2 已排期 10 月 27 日。
Multipass 1.17：在笔记本上模拟一个机房挂掉，还顺手请来了 Debian 和 Fedora
Canonical 发布 Multipass 1.17：新增 Debian 与 Fedora 官方镜像、可用区故障模拟、Windows 家庭版可用的 HCS 默认驱动，移除 LXD 与 libvirt 驱动。