Fedora 45 二次跳票：证书机构私钥泄露拖住发布，11 月 3 日再议
等 Fedora 45 的用户还得再等一周。Fedora 项目在 10 月 22 日的 Go/No-Go 会上第二次把正式版判了 NO-GO，候选版本 RC-1.2 因为 4 个 blocker bug 没过关，新目标定在 11 月 3 日（周二）。这回拖住发布的不是某个桌面 bug，而是一场波及全行业的证书事故：证书机构 eMudhra 的 8 张中级证书私钥被破解，其中一张私钥竟然就是数字“4”——Fedora 必须先把这些问题证书清出系统信任库，才能放心发版。
发布事实：两次 NO-GO，时间线一次讲清
Fedora 45 原定 10 月 20 日发布。10 月 15 日第一次 Go/No-Go 会上，项目连一个可供 QA 测试的候选版本都没拿出来，会议按规则默认判了 NO-GO，目标顺延到 10 月 27 日，11 月 3 日留作备用日期。10 月 22 日第二次 Go/No-Go 会，候选版本 RC-1.2 终于有了，但 4 个 blocker bug 没清干净，发布负责人 Aoife Moloney 在 devel-announce 邮件列表里宣布 RC-1.2 被判 NO-GO，目标改到备用日期 11 月 3 日，下一次 Go/No-Go 会定在 10 月 29 日，到时再决定 11 月 3 日能不能守住。
头号 blocker：一张私钥是数字“4”的证书事故
4 个 blocker 里最严重的是 bug 2556376：eMudhra 的中级证书还躺在 Fedora 的系统信任库里。10 月 19 日，Cloudflare 披露证书机构 eMudhra 的 8 张中级证书私钥可以被轻易破解——其中一张私钥就是数字“4”。私钥一旦泄露，攻击者就能冒充任意网站的证书，浏览器与系统却还认账。各大系统与浏览器这几天都在紧急把受影响的证书清出信任库，Fedora 45 必须等新的 ca-certificates 包进 RC-3 并通过 QA，才能发版。
另外 3 个 blocker 也都和日常使用相关：升级后 LVM 自动激活失败、Plasma Discover 会提供过期的 Fedora 44 RPM 包、Stratis 加密池启动失败。四个问题不解决，正式版就不发——这正是 Fedora 的 Go/No-Go 机制存在的意义。
Fedora 45 本来有什么：Beta 已亮相的内容
Fedora 45 Beta 在 9 月 15 日就发布了，内容早已公开：Linux 内核 7.2、GNOME 51、KDE Plasma 6.7；虚拟终端从内核 fbcon 换成用户态的 kmscon，字体与 Unicode 渲染更好；RPM 默认强制校验软件包签名，没签名的包直接拒绝；工具链 Python 3.15、GCC 16.2；另外还有完整可复现构建。等正式版的用户不用担心内容缩水——跳票拖的是时间，不是功能。
站长点评
这次跳票值得肯定：一个发行版宁可推迟两周，也不把带问题的证书信任库发给用户，这才是负责任的做法。给等 Fedora 45 的用户三句话：第一，继续用 Fedora 44，它仍是现行稳定版，别去装 RC——RC-1.2 已经被官方判了 NO-GO；第二，11 月 3 日只是目标日期，10 月 29 日的 Go/No-Go 会才是决定点，之前别按 11 月 3 日排升级计划；第三，eMudhra 这事不只影响 Fedora——你用的浏览器、系统、发行版这几天都在轮流清证书，顺手把系统更新打满，就是最实在的应对。
相关阅读
- 一家 CA 的私钥居然是「4」：eMudhra 证书事件，半个互联网连夜换锁
- Ubuntu 26.10「Stonking Stingray」发布：GNOME 51，核心工具全换成 Rust
- Debian 13「Trixie」现行版全解析：内核 6.12、APT 3.0，Debian 12 用户该升了
信息来源：Linux Compatible（Fedora 45 第二次 NO-GO，11 月 3 日新目标）、XDA Developers（eMudhra 事件与 Fedora 45 跳票）；文中判断为本站观点。
发表评论