openSUSE 项目的贡献者与开发者近期举行会议，协调面向 Leap 16 的基于 Git 的打包工作流，并讨论该流程今后如何应用于 Leap 发行版，而滚动发行版 Tumbleweed 仍需做一些工作才能完成过渡。

该工作流以 Gitea 作为界面平台，标志着开发向更透明、以软件包为中心的方向转变。项目记录的架构决策包括：采用 Git 作为唯一版本控制系统，使用拉取请求进行变更管理，并在各仓库间统一工作流。

所有官方发行版的软件包源码托管在 src.opensuse.org/pool。社区软件包使用名为 leap-x.y 的分支，例如 leap-16.0。源自 SUSE Linux Enterprise（也被称为 SUSE Linux Framework One(SLFO) 的软件包使用 slfo-main 或带版本的 slfo-x.y 分支。当一个软件包同时存在这两类分支时，贡献者应基于 leap-x.y 分支开展工作。

该项目依托多项自动化工具来管理工作流。workflow-pr 机器人负责拉取请求的生命周期，包括审核与合并。workflow-direct 机器人在可信开发项目有代码推送时同步子模块。obs-staging-bot 机器人在 Open Build Service 中创建隔离的测试环境，用于端到端验证。这些自动化工具的源码可在 AutoGits 仓库中获取。它们无需特殊权限即可运行，通常以普通用户身份在 Gitea 中运作。

项目鼓励贡献者使用标准工具：用于与 OBS 交互的 osc 客户端、处理大文件的 git-lfs，以及用于初始化新软件包仓库的 obs-git-init 都很实用。维护者列表、工作流配置和项目设置等直接存储在 Git 项目仓库中，由 obs-scm-bridge 服务按需生成 Open Build Service 元数据。git-obs 工具（属于 osc 软件包）作为与 Gitea 的交互接口，支持在终端直接调用 Gitea 的任意 API。

对于社区维护的软件包，工作流程为：Fork 仓库，在对应的 leap-x.y 分支中进行修改，然后提交拉取请求。拉取请求会自动关联构建结果以供验证。贡献者在提交前如需测试变更，可使用 osc fork 命令，该命令会创建个人分支并保留 OBS 项目结构。

出于认证要求，由 SUSE 维护的软件包遵循单独流程。不过，对这些软件包的公开变更请求应通过 code.opensuse.org 上的 Leap 功能跟踪器提交。提交内容会在每周的 Leap 功能会议上进行审核。

在此次会议期间，与会者讨论了过渡过程中遇到的挑战。有参会者指出，长期参与 openSUSE 的贡献者可能会对该工作流感到陌生，并提出了仓库初始化以及通过机器人复刻 OBS 前端功能复杂度的问题。另一位参会者则希望能更清晰地对应旧流程与新的基于 Git 的方案。

OBS 基础设施的核心贡献者强调，目标是让工作流透明且可复现。他邀请贡献者直接反馈问题，并指出在不涉及源码转换的情况下，应能实现二进制完全一致的构建。

与会者一致认为，需要改进工具以支持跨多个软件包的协同更新。

项目正寻求社区支持，以完成开发项目向基于 Git 工作流的迁移。Git 工作流文档可在 src.opensuse.org查看，反馈可通过 GitHub Issues 提交至 github.com/openSUSE/openSUSE-git。

已知问题包括：非协作者无法在软件包仓库的不同分支之间发起拉取请求。目前正在改进 Factory 的暂存工作流，最终也将过渡到 Git 工作流。

更多信息可查看最近更新的 Git 打包工作流 Wiki 页面。

原文：Community Refines Git Packaging Workflow，作者：Douglas DeMaio

openSUSE 项目在昨日（2 月 18 日）举办的线上会议后，推进了一套拟议的治理架构。本次会议召集社区成员共同探讨项目领导力框架的完善方向。

此次会议成效显著，参会者审议了项目治理机构的草案提案，其中包含技术指导委员会、社区与营销委员会、基础设施团队代表以及理事会。

该提案托管在 GitLab 平台，被设计为一份动态文档，欢迎社区通过反馈对其进行修订。

会议期间的讨论提议，技术指导委员会应在初期由 5 名成员组成，主席由委员会选举产生。该小组将借鉴 Fedora 的 FESCo 模式，建立用于审核和批准技术变更的清晰流程。技术指导委员会的决策将采用 +1 赞成、0 中立、-1 否决的投票机制。提案在无异议的情况下即可通过。若出现 -1 否决票，则需召开专门会议，由参会多数成员决定最终结果。反对意见必须附带清晰、书面的理由说明。

有关社区与营销委员会的讨论将聚焦于推广、宣传和社区发展。该委员会也可作为争议的初步升级处理机构。若该层面无法达成共识，相关事项将提交至理事会。

理事会的职责将以代表工作为核心，包括与 SUSE 协调、治理监督、冲突调解以及战略指导。随着时间推移，其运营职责可能会收窄，转变为类似监督机构的职能，处理商标事务、预算审批，并在必要时进行最终申诉裁决。

参会者强调，培育维护者尽责的良好文化依然至关重要，这也可能是新架构启动阶段最具挑战性的环节之一。

项目鼓励社区成员提交合并请求，以完善这份治理草案。

文档可在此处获取。组织者表示，相关讨论应通过对文本提交修改建议的方式进行。

目前尚未公布最终采纳的时间安排。项目贡献者将继续通过 GitLab 仓库及后续社区会议展开讨论。

原文：Community Advances Governance Proposal After Virtual Meeting，作者：Douglas DeMaio

openSUSE 项目已正式开启常规理事会选举的提名与候选人报名工作(https://lists.opensuse.org/archives/list/project@lists.opensuse.org/thread/MVYPHOGGKS3EPPR45EDGLY65CXM74WPB/)，投票环节定于 3 月 1 日启动。

因整理会员数据库工作有所延期，选举委员会现已确认，选举流程已回归正轨。本次项目成员将投票选出候选人，填补 openSUSE 理事会的两个空缺席位。

这两个空缺席位目前由 Shawn W. Dunn 和 Simon Lees 担任。

本次征集面向所有符合条件、有意为项目的社区建设、治理工作及对外代表事务提供指导的 openSUSE 会员。加入理事会，将获得直接参与塑造 openSUSE 问题解决方式、支持贡献者发展，并在开源社区中代表项目发声的机会。

提名与自主报名通道将开放至 2 月 28 日，候选人须为 openSUSE 现任会员。

投票将于 3 月 1 日启动，3 月 8 日截止，选举结果预计于 3 月 9 日公布。

有意参选的会员请将本人姓名、注册邮箱及 openSUSE 用户名，发送至邮箱 project@lists.opensuse.org 和 election-officials@lists.opensuse.org。

选举委员会鼓励社区成员积极参选，openSUSE 项目的发展，离不开愿意牵头引领、倾听意见并代表项目共同价值观的社区成员。

近期发布的一篇文章为有意参选 openSUSE 理事会的候选人提供了备选建议，文章可在 openSUSE 新闻网查阅。

原文：Calls for Board Candidates Moves Forward，作者：Douglas DeMaio

随着 2026 年 openSUSE 社区 理事会选举临近，Ish Sookun、Jeff Mahoney 和 Rachel Schrader 为上届当选成员，将继续履职 1 年。我们对他们进行了专访，并提出了一些问题。

1. 理事会主要负责什么工作？

Jeff 纸面上，理事会负责领导 openSUSE 项目。这听上去职责重大，但实际工作中，它的职能更加聚焦、也更有限。理事会不参与项目版本发布，也不管理项目基础设施，而是作为外部人员对接项目的联络窗口，协助调解冲突，处理商标等相关法律事务，并在需要时提供指导。

Rachel 从我目前的经历来看，理事会只是整个 openSUSE 社区的一部分。我们负责少数几项事务，例如版务处理的最终裁定、作为与 SUSE 公司对接的联络渠道，并在很多方面为社区内其他团队提供指导。

2. 是什么促使你站出来参选理事会？

Jeff 2024 年理事会选举时，主动竞选空缺席位的人很少，于是我想着自己不妨主动报名。我已经参与社区多年，也有一些想要提出的想法。项目当时需要志愿者，我便站了出来。

Ish 我是在第二次招募时才参选的。当 Lubos 联系我，希望提名我时，我立刻觉得这是一份荣幸。我非常感谢他的提名，也感谢 Johannes Segitz 作为附议人。

Rachel 上届选举期间，愿意主动为理事会服务的人并不多。在项目中其他几位活跃成员的鼓励下，我决定参选。

3. 请谈谈在任期间理事会遇到过的一项挑战

Jeff 在营造健康、远离不良风气的社区氛围，与过度管控、干涉过多之间，存在一条非常微妙的界限。提交到理事会的问题中，有些很容易判断，但另一些却牵扯个人过往、沟通方式差异以及各种细节。在这类情况中找到恰当的平衡点，是很有挑战性的。

Ish 我虽然知道理事会成员需要定期（线上）开会讨论项目事务，但没有意识到会有这么多非技术相关的议题需要处理。例如与“审核”相关的问题，我认为就很有挑战性，因为需要了解事件的来龙去脉、行为准则等。在这方面，我很依赖其他资深理事来帮助我完整理解事件背景。

Rachel 最直接也最头疼的挑战，是为所有人凑出一个都能参会的时间。我们的成员遍布全球，有些人必须早上 6 点起床参会，而另一些人则要到晚上 23 点才能加入。不过话说回来，只要大家都能到场并且高效开会，整体上就是一件好事。

4. 对于考虑参选的人，你有什么建议？

Jeff 如果你真心关心项目的健康发展，并希望推动一些积极改变，那就去参选。即便你已是长期贡献者，也需要向大家介绍你自己、你的贡献和你的想法。虽然选举不是人气比拼，但投票的人需要了解你是谁。时间投入并不算大，而你是在为项目的健康发展出力。

Rachel 拥有一定的线上公开形象很重要，让其他人了解你的技能、目标以及对你而言重要的事情。对于和 openSUSE 相关的内容，你可以在维基上创建个人页面，我认为这很有必要，也方便与他人分享。 我觉得保持与社区的联系也必不可少。只在后端打包、提交代码是一回事，但若想真正与社区建立联结，就应该在 Matrix、Discord 等不同平台上积极交流、帮助他人。

5. 无论是作为选民还是潜在候选人，openSUSE 成员该如何为即将到来的选举做准备？

Jeff 阅读这类访谈文章，找到你关心的议题，主动提问。如果你还在犹豫是否参选理事会席位，不妨问问自己：“为什么不能是我？”

6. 你还有什么想补充的吗？

Jeff 理事会并不是为 openSUSE 做贡献的唯一途径，甚至算不上最佳途径。技术与非技术贡献者，才是整个项目与社区的核心生命力。不进入理事会，也有很多方式可以参与贡献；但项目同样需要有担当的人加入理事会，来维持社区的健康发展。

Rachel 理事会的定位并非守门人，也不是项目成员想要做出积极改变、创建新事物时必须去寻求批准的机构。每个人都应清楚：是日常参与项目的普通成员构建了 openSUSE，是他们从零开始搭建起一切。在理事会任职是助力项目的一种好方式，但事实上，成就 openSUSE 的最重要的人，正是每一位普通社区成员。

openSUSE 是由真正关心这个项目的人共同打造的，下一个选举周期需要社区成员参与治理并协助选举工作人员。 如果你有意参选或协助选举工作，请邮件联系 board@opensuse.org。

问题由 Luboš Kocman 与 Douglas DeMaio 拟定。 后期整理与排版由 Gertjan Lettink 完成。

原文：openSUSE Board on Participation, Governance and Community，作者：Lubos Kocman

openSUSE 社区 成员将于 UTC 时间 2 月 18 日下午 3 点 30 分（北京时间 2 月 18 日晚 11 时 30 分）召开线上会议，讨论一份的治理框架提案，旨在让项目社区内部的决策流程更清晰。

本次会议可通过项目的 Jitsi 频道参与，会议召开前，项目方已发布一份最新提案草案，其中概述了项目在技术决策与社区决策管理模式上的架构调整。

该提案提议设立两个全新的治理机构：负责把控技术方向、解决技术争议的技术指导委员会，以及专注于社区发展与沟通平台建设的社区与营销委员会。

现有 openSUSE 委员会 将继续负责法律、财务及组织管理相关事务。

该治理框架旨在解决提案中所提及的非正式决策流程问题：这类流程往往更青睐时间充裕、毅力较强的参与者，而非遵循明确的议事规程。提案旨在搭建透明化的治理架构，同时保留维护者自主权与开放参与的核心原则。

拟设立的两个委员会均由社区选举产生的成员组成，任期为 2 年。在 FOSDEM 大会上针对该议题的部分反馈建议，将任期缩短至 1 年。提案建议，技术指导委员会设 7 至 9 名成员，社区与营销委员会设 5 至 7 名成员。

草案明确规定，所有内容均需经社区讨论、并获得委员会批准后方可生效。在初步讨论阶段结束后，相关反馈将被纳入修订草案，再由委员会与社区商议后续推进步骤。

讨论要点

• 委员会架构与规模：技术指导委员会是否应设 7 至 9 名成员、社区与营销委员会设 5 至 7 名成员，还是规模更小的委员会运行效率更高？

• 任期时长：委员会成员 2 年任期是否合适，还是项目应采纳 FOSDEM 会议讨论中建议的 1 年任期？

• 维护者自主权：新治理框架如何在保障项目整体推进的同时，确保技术决策不会凌驾于单个软件包维护者的管理权限之上？

• 过渡流程：在正式选举前的 6 个月过渡期内，应依据何种标准确定选民资格与选举流程？

• 冲突解决：提案中针对不同项目领域的技术争议与社区问题所设计的问题升级机制，是否清晰、公平？

贡献者可通过 评审提案 并在 邮件列表 发表评论，与社区就该议题展开互动。无法参会者也可通过 会议指定的共享笔记平台（Etherpad），列出希望参会者讨论的议题，参与会议相关交流。

原文：Community to Discuss New Governance Proposal，作者：Douglas DeMaio

仅剩12年，记录时间中的根本性限制威胁着未准备的计算机系统；2038 年问题（Y2K38）正在成为新的千年虫问题（Y2K），开源社区贡献者们正致力于创建可行的警告机制。

这种被称为错误日期逻辑的问题，在计算机系统中比人们想象的更为常见。openSUSE 正在通过早期测试、工具链改进和社区协作，积极识别并修复此类问题，以确保软件系统在 2038 年后仍能稳定运行。

在 2038年1月19日 UTC 时间 03:14:07，UNIX 纪元时间戳将超过有符号的 32 位整数最大值：2,147,483,647（0x7fffffff）。在此之后，仍依赖 32 位时间表示的系统可能会发生时间回滚，导致从细微的数据损坏到彻底崩溃等不同程度的故障风险。

距未来 32 位平台（如 i586 或 armv7）面临此问题的时间还剩 12 年，但现代 64 位系统也存在部分漏洞，正如多年前的 openSUSE 会议演讲中所揭示。

近期 openSUSE 开发者的测试表明，2038 年问题已经迫在眉睫且真实存在。通过将构建系统的时钟提前至 2038 年，大量软件包出现了编译失败或测试套件未通过的情况。受影响的软件包括版本控制工具、编辑器、编译器、Python 库、桌面工具包及系统组件。

在某些案例中，基础系统行为（如正常运行时间报告）都受到了影响。

尽管部分故障已得到修正，但测试中暴露的问题残余表明，32 位时间存储问题的渗透深度远超预期。

每次新增功能或代码重构时，若开发者默认使用 int 或 long 等类型而非更安全的 time_t、int64_t 或 long long，都可能重新引入这一问题。

此风险不仅限于应用程序层。广泛使用的协议（如 SOAP/XML-RPC 和 SNMP）仍采用 32 位值编码时间戳。其实现必须格外注意兼容性设计，确保在处理 2038 年后日期时不破坏互操作性。

测试工作本身依旧面临挑战，工具链优化被列为后续调整的重要方向。目前团队正探讨一项新方案：当代码中出现32位整数与时间相关类型的不安全转换时，编译器将主动触发警告。

Leap 16 默认禁用了 32 位（ia32）架构支持，因此本身不存在 2038 年问题风险，但测试结果显示，在后续的小版本更新中，仍需对受影响的 64 位相关模块进行修改。

对该议题感兴趣的开发者，可通过以下渠道参与讨论：

• openSUSE Factory 邮件列表
• Reddit 相关主题讨论帖

原文：Open-Source Community Tackling Y2K38 Epoch，作者：Douglas DeMaio

openSUSE Conference 2026 现已开放登记，即日起，欢迎大家提交演讲申请。

本次大会定于 6 月 25 日至 27 日在德国纽伦堡举办。Flock to Fedora（Fedora 项目大会） 将于 6 月 14 日至 16 日在捷克共和国布拉格召开，紧接着，DevConf.CZ 将于 6 月 18 日至 19 日在捷克共和国布尔诺举行。目前，上述所有开源开发者会议均已开启提案征集。随着多场大型活动在中欧各地陆续举办，6 月将成为大家出行交流、联络社区成员、对接开源开发者的绝佳时机。

4 月 30 日之前，大家均可提交演讲或研讨会提案，分享自己的专业知识。建议大家根据以下时长和主题方向准备并提交演讲内容：

演讲提交时长分类：

• 快闪演讲（10 分钟）
• 微演讲（30 分钟）
• 长时演讲（45 分钟）
• 工作坊（1 小时）

会议议题赛道设置：

• 云与容器
• 社区建设
• 嵌入式系统与边缘计算
• 前沿技术
• 开源技术
• openSUSE
• 开源商业：超越代码，迈向可持续发展赛道

志愿者若有意协助本次会议的组织工作，欢迎发送邮件至 ddemaio@opensuse.org 或参加每周举行的社区例会。

为保障由社区主导的活动持续免费向新晋贡献者开放，会议需要赞助商提供支持。企业可通过赞助方案查阅页了解赞助详情，或向 Geeko 基金会定向捐款以支持大会运营资金。

原文：Register, Submit a Presentation for oSC，作者：Douglas DeMaio

日惹首次在印度尼西亚承办 openSUSE 亚洲峰会至今，已然走过十载光阴——2026 年，我们将重返这片见证最初热潮的热土。

印度尼西亚在峰会发展史上有着独特地位：

• 2016 年，印度尼西亚于日惹举办首届 openSUSE 亚洲峰会
• 2019 年，峰会再度在巴厘岛成功举办，为社区呈上了一场难忘的盛会

若想重温 2016 年日惹峰会的热烈氛围，可前往 YouTube 观看这段简短的回顾视频。

我们满怀喜悦地宣布，2026 年 openSUSE 亚洲峰会将在印度尼西亚的文化核心——日惹举办。本届峰会是面向全地区 openSUSE 用户、贡献者及自由开源软件（FLOSS）爱好者的年度盛会，旨在搭建一个协作、学习与交流的平台，聚焦 openSUSE 及更广泛开源生态系统的相关经验与见解。

日惹常被称作“学生之城”，拥有数十所高等院校与充满活力的科技社区。这里的青年人才与浓厚学术氛围，为创新及开源技术的推广提供了肥沃土壤。除教育与科技领域外，日惹也是一座鲜活的文化遗产中心——拥有皇家宫殿、传统艺术，周边更坐落着婆罗浮屠、普兰巴南等世界著名寺庙地标。其深厚的文化魅力与现代创意、数字发展完美融合，相得益彰。

参会者不仅能参与富有启发性的会议、工作坊及社区活动——还能体验当地热情的待客之道、独特的美食以及浓厚的艺术氛围，这些都将让日惹成为难忘的记忆。 本届峰会预计于 2026 年 10 月 3 日至 4 日举办，演讲征集计划于 2026 年 6 月底截止。包括会场详情在内的更多信息将后续公布——敬请关注最新通知！

我们热切期待在日惹迎接你的到来，再次共庆 openSUSE。印度尼西亚见！🦎🌏

原文：openSUSE.Asia Summit returns to Yogyakarta, Indonesia!，作者：openSUSE Asia Summit Team

11 月 openSUSE Tumbleweed 的软件包更新节奏平稳，在全技术栈层面实现了用户可见的功能改进与深度技术漏洞修复。

Plasma 6.5.3 桌面环境与 KDE Gear 25.08.3 应用套件聚焦于 KDE 桌面及应用的稳定性优化与细节打磨；GNOME 49.2 则带来更流畅的会话运行表现、更少的程序冻结问题及更可靠的系统管控能力。该滚动更新版本同步完成了 Kernel Source 6.17.9、Mesa 25.3.0、PipeWire 1.5.83 等多项重要组件更新。本月安全修复同样覆盖广泛，涉及内核、X.Org Server、Firefox、grub2、OpenEXR 及多款网络组件。

若更新后出现任何问题，请务必通过 snapper 工具执行回滚操作。

如需查阅本月更新日志的详细内容，可访问 openSUSE Factory 邮件列表。

新功能和增强功能

Plasma 6.5.3 与 6.5.2：6.5.3 版本更新聚焦于桌面的细节优化与稳定性提升。KWin 获得多项修复，包括窗口截图的正确缩放、休眠后 DRM 处理的改进、X11 测试隔离的优化，同时解决了弹窗激活和模糊对比度问题。Breeze 与 breeze-gtk 修复了菜单和 GTK4 应用主题中的视觉故障，例如缺失的展开箭头和不正确的圆角半径。6.5.2 版本更新为 Discover 等核心组件提供了修复，该应用现在能在部分发行版上正确处理固件包。KWin 解决了崩溃问题、改进了屏幕录制清理机制、修复了 Xwayland 下的光标和剪贴板行为，并处理了 FPS 插件和截图工具的显示问题。其他修复包括 Plasma Addons 中面板小程序稳定性的提升、移动设备任务切换体验的优化、时区翻译的正确处理，以及 plasma-welcome 中日志功能的增强。

KDE Gear 25.08.3：Dolphin 解决了缩放重置、中键打开和分屏视图尺寸调整相关问题；Kdenlive 修复了与剪辑粘贴、监视器切换相关的崩溃问题，同时改进了图像序列检测和字幕样式设置。Kate 修复了其 LSP 插件中的焦点和文档处理问题；Itinerary 与 Kitinerary 新增了多款交通票据提取器（包括 葡萄牙铁路 和 维也纳交通公司）；KMail 减少了诈骗警告的误报率。其他更新包括 KDE Connect 中支持翻译的设置项、Kdenlive 中缺失 SVG 文件类型的修复，以及 Okular、NeoChat 和 KWalletManager 等应用的轻微界面优化与稳定性修复。

KDE Frameworks 6.20.0：这一最新框架版本改进了 KContacts 对 vCard 4 属性（如照片和逝世日期）的处理，同时优化了 KIO 对网络文件系统中回收站的检测能力。关键修复包括 KWallet 采用现代会话管理提升安全性、减少 KImageFormats 图像格式插件处理畸形文件时的崩溃情况，以及 Kirigami 中覆盖层和操作工具栏的用户界面一致性优化。该版本还通过移除过时的版本检查、改进 Extra CMake Modules 中的 CMake 模块策略，实现了与 Qt 6.8+ 版本的兼容适配。

Pillow 12.0.0：这一主要版本对 Python 图像处理功能进行了现代化升级，带来更优的性能、更简洁的 API 以及更新的编解码器支持，提升了日常图像处理和开发流程的可靠性。用户可受益于 libjpeg-turbo、libpng、FreeType 和 WebP 等更新后的图像库，这些库优化了格式支持能力与渲染质量。开发者则获得了更严格的类型提示、改进的测试机制，以及 ImageText 新功能和增强的 TIFF 处理能力。该版本不再支持 Python 3.9 及非常老旧的 FreeType 版本，因此旧版运行环境可能需要升级，但相应地，用户能获得一个速度更快、维护更完善的图像处理技术栈。

GNOME 49.2：此次更新显著减少了系统冻结情况，优化了窗口运行流畅度，同时提升了锁屏通知、网络指示器和键盘输入的可靠性。显示校准、离线更新和屏幕键盘功能也变得更加稳定。本月下旬，GDM 49.2、GNOME 控制中心 49.2.1 以及 gnome-session 49.2 均完成更新。若 Wayland 运行失败，自动登录功能现在会正确回退至 X11，避免了棘手的账户锁定问题；此外，控制中心在配置全局快捷键时也不再出现崩溃情况。计算器、Builder 和 Boxes 等应用清理了一些影响日常使用流程的长期存在的漏洞。

Orca 49.5：本次更新让日常浏览和打字时的屏幕朗读功能更清晰、更易用。用户会发现网页上重复语音播报的情况减少，冗余提示更少，应用和网站中可编辑表格的处理方式也更贴合使用习惯。输入密码的体验也得到优化，空格现在会被正确朗读，而非被静默忽略。

switcheroo-control 3.0：这一主要版本更新优化了混合显卡笔记本电脑对核显与独显的检测及切换逻辑，该改进直接影响游戏性能、电池续航和桌面流畅度。新 API 如今能稳定识别采用 AMD、Intel、NVIDIA 和 Nouveau 驱动的独显，减少了应用程序无法选择正确显卡的情况。由于支持通过 VK_LOADER_DRIVERS_SELECT 选择驱动，Vulkan 处理流程更为简洁，使得显卡密集型工具的运行表现更可预测。

GStreamer 1.26.8：本次更新修正了启用字幕时的色彩显示问题，减少了尺寸异常或子采样视频出现的故障，同时让流媒体或会议类应用中的封装处理和 RTP 传输更流畅。开发者可受益于更快的 pad 转发速度、更完善的 AAC 和 AV1 解析能力、优化的 WebRTC 死锁规避机制，以及更清晰的错误提示信息。

PipeWire 1.5.83：用户会发现该版本同步问题更少，蓝牙/HDMI 设备切换更稳定。流媒体传输表现也有所提升，尤其是基于 RTP 的工具和启用回声消除的应用。开发者获得了更清晰的格式解析错误提示、更灵活的多声道支持，以及 GStreamer 和 SPA 组件中更安全的重新协商逻辑。尽管这是一个候选版本，但仍保持完整的 ABI 兼容性。额外的修复措施减少了专业音频、游戏和桌面场景下出现的各类故障。

关键软件包更新

Kernel Source 6.17.9：此次更新为 AMD 和 Intel 显卡修复了休眠失败、显示异常及性能相关问题。存储系统与文件系统（NFS、SMB、exFAT、EROFS）的可靠性得到提升，减少了系统停滞和数据损坏的风险。网络与输入设备方面，针对 Wi-Fi、以太网及 HID 外设的定向漏洞修复已完成。Futex 和 输入输出内存管理单元（IOMMU） 的更新优化了内存处理机制，并解决了虚拟化场景下的边缘案例问题。

OpenSSH 10.2p1：该更新提升了连接可靠性，同时增强了日常使用 SSH 协议用户的前瞻性安全性。通过修复 ControlPersist 终端相关问题，会话稳定性显著提升；代理或 PKCS#11 令牌的密钥处理逻辑也更趋一致。此外，QoS（服务质量）机制更智能：交互式会话响应速度更快，而文件传输则自动回落至正常网络优先级。OpenSSH 现已开始逐步淘汰安全性较弱的 SHA1 SSHFP 记录，并会在使用非后量子算法时发出警告，在不破坏现有配置的前提下，引导用户采用更安全的默认设置。

libvirt 11.9.0：此版本新增了主机模型模式，可精准显示 Hyper-V 中哪些优化功能处于激活状态，让 Hyper-V 的配置透明度媲美 GPU 相关设置；同时，Cloud Hypervisor 虚拟机终于支持网络接口热插拔。USB 控制器选择逻辑更智能，且在不同架构间保持一致性；NVMe 磁盘和 virtio 内存模型也获得了更简洁、更安全的配置选项。

Mesa 25.3.0 与 25.2.7：25.3.0 版本新增了 OpenGL 4.6 和 Vulkan 1.4 API 支持（具体取决于驱动），同时为多款驱动添加了视频编码、原子操作、健壮上下文处理及着色器功能相关扩展。大量驱动漏洞和特定游戏崩溃问题已得到修复。25.2.7 版本为《无主之地 4》(Borderlands 4)、《生化危机 4：逆命殊途》(RE4 Separate Ways)、《无人深空》(No Man’s Sky)、《无尽传奇 2》(Endless Legend 2) 和《半影：序曲》(Penumbra: Overture) 等游戏带来了稳定性与渲染效果的提升。视频编码流程、统一变量更新及 AV1 处理机制也变得更可靠。开发者可受益于更安全的 Vulkan 和 OpenGL 状态处理、修正后的修饰符，以及 ACO、RADV、PanVK 和 llvmpipe 组件的代码清理。尽管该版本未新增功能，但切实带来了更流畅、表现更可预测的 GPU 使用体验。

curl 8.17.0：此次更新修复了多个安全漏洞，包括 SFTP 主机验证缺陷和 Windows 路径遍历问题，让默认配置下的网络传输更加安全。用户和开发者还能享受到更稳定的 TLS 处理、更少的内存泄漏、更完善的套接字管理，以及优化后的 QUIC 和 HTTP/3 稳定性。

sdbootutil 1+git20251111.611edd1：该更新优化了系统启动管理流程，通过简化配置文件、修正软件包摘要信息、减少可能导致工具异常或使用混淆的 rpmlint 相关问题，让日常使用体验更可预测。此版本还增强了兼容性，可识别跟踪参数，并新增了一个 Snapper 插件以支持 CAP_SYS_CHROOT 权限，使基于快照的系统恢复机制更健壮。

coreutils 9.9：本次更新修复了 cp 和 tail 命令的性能回退问题，让压缩文件或大文件的处理更流畅；同时恢复了 cksum 和 basenc 对现代格式的正确处理逻辑。开发者和高级用户可受益于 numfmt 更安全的解析机制、更可预测的错误处理方式，以及 AVX512 架构系统上更快的 wc -l 执行速度。部分边缘场景（如 Ceph 快照目录或格式错误的压缩器脚本）的表现也变得更稳定一致。

fwupd 2.0.17：该更新减少了固件更新失败的情况，优化了扩展坞和各类设备的激活流程，并增强了对 Framework 智能辅助键盘、更多款 NVMe 固态硬盘等新款硬件的支持。底层层面，fwupd 新增了后量子签名支持、分阶段更新部署机制，优化了缓存处理和 EFI 解析逻辑，还修复了涉及英特尔显卡、扩展坞及嵌套固件镜像的多个崩溃问题。

crypto-policies 20250714.cd6043a：这套系统加密算法策略提供了更强的默认配置，扩展了后量子加密与混合加密支持，优化了 FIPS 模式表现，减少了不同工具间的策略不匹配问题。开发者可受益于更清晰的策略映射关系、更严格的加密套件启用规则，以及支持后量子密码学（PQC）技术栈的测试覆盖范围提升。

安全更新

curl 8.17.0：

• CVE-2025-10966：修复了中间人拦截相关漏洞。
• CVE-2025-11563：修复了一项被称为路径遍历问题的漏洞。

OpenSMTPD：

• CVE-2025-62875：修复了可能触发程序关闭并导致拒绝服务的漏洞。

Kernel Source 6.17.7：

• CVE-2025-40013：修复了高通 ASoC audioreach 驱动中存在的内核空指针解引用问题，该问题可能导致系统崩溃。
• CVE-2025-40028：修复了 binder 子系统中的一处漏洞，该漏洞可能造成内存损坏并引发拒绝服务。
• CVE-2025-40027：修复了文件系统中的一处问题，该问题可能导致内核出现异常行为。
• CVE-2025-40026：修复了 KVM x86 拦截检查缺陷，该缺陷可能导致客户机/主机处理逻辑异常。
• CVE-2025-40025：修复了缺失的健全性检查问题，可防止文件系统损坏。
• CVE-2025-40082：修复了 hfsplus 文件系统中的 slab 越界读取问题，避免潜在的系统崩溃。
• CVE-2025-40081：防止可能导致内存访问错误的整数溢出问题。
• CVE-2025-40080：将 NBD 套接字的使用限制为 TCP/UDP 协议，避免不安全的套接字操作。
• CVE-2025-40079：修复了 RISC-V 返回值中不正确的符号扩展处理问题。
• CVE-2025-40078：添加严格的读取边界检查，避免无效的内存访问。
• CVE-2025-40077：修复了左移溢出问题。
• CVE-2025-40076：确保 PCI R-Car 主机使用正确的 IRQ 域，避免中断路由错误。
• CVE-2025-40075：修复了错误的网络度量值查找问题。
• CVE-2025-40074：确保 IPv4 路由正确使用 dst_dev_rcu。
• CVE-2025-40073：在 drm-msm 中，当硬件块非必需时，防止无效的 SSPP 验证。
• CVE-2025-40072：在挂载命名空间查找时添加适当的返回值验证。
• CVE-2025-40071：修复了可能导致数据处理停滞的输入队列阻塞问题。
• CVE-2025-40070：修复了一处警告及不正确的注册行为问题。
• CVE-2025-40069：解决了 drm-msm 在 VM_BIND 错误处理过程中的对象泄漏问题。
• CVE-2025-40068：修复了可能导致内存损坏的整数溢出问题。
• CVE-2025-40067：确保当 BITMAP 数据不一致时，NTFS3 拒绝无效的索引分配。
• CVE-2025-40066：在 mt7996 WiFi 初始化过程中添加必要的 PHY 检查，防止无效操作。
• CVE-2025-40065：修复了 RISC-V KVM 中不正确的 HGATP 写入问题，确保模式设置有效。
• CVE-2025-40064：修复了设备命名空间查找过程中的网络代码问题。
• CVE-2025-40063：确保加密压缩代码中的分配操作一致，防止滥用。
• CVE-2025-40062：修复了空指针赋值问题。
• CVE-2025-40061：修复了可能导致系统崩溃的竞态条件问题。
• CVE-2025-40060：确保分配失败时正确返回 NULL。
• CVE-2025-40059：修复了 Coresight 驱动中不正确的返回值处理问题。
• CVE-2025-40018：防止在命名空间销毁过程中 IPVS 中 FTP 辅助程序过早注销。
• CVE-2025-40058：阻止在不支持一致性 DMA 的 VT-d 硬件上进行脏数据跟踪设置。
• CVE-2025-40057：为 PTP 中的 max_vclocks 添加上限，避免溢出或滥用。
• CVE-2025-40056：修复了 vhost-vringh 的 copy_to_iter 路径中不正确的返回值检查问题，该问题可能触发数据损坏。

Unbound 1.24.2：

• CVE-2025-11411：修复一处漏洞，规避潜在的 DNS 缓存投毒或域名劫持风险。

X.Org Server 21.1.21：

• CVE-2022-49737：修复竞态条件问题，避免引发程序崩溃或异常行为。
• CVE-2025-26594：修复可能访问已释放内存的问题，规避程序崩溃或代码执行风险。
• CVE-2025-26595：修复缓冲区溢出问题，规避内存损坏或程序崩溃风险。
• CVE-2025-26596：修复堆溢出问题，避免造成内存损坏，防止引发程序崩溃或被恶意利用。
• CVE-2025-26597：修复缓冲区溢出问题，规避内存损坏或拒绝服务风险。
• CVE-2025-26598：修复越界写入漏洞，避免覆盖内存，防止引发系统不稳定或被恶意利用。
• CVE-2025-26599：修复一处漏洞，避免引发程序崩溃或不可预测的异常行为。
• CVE-2025-26600：修复一处漏洞，规避潜在的内存损坏或拒绝服务风险。
• CVE-2025-26601：修复无效内存访问或服务器运行不稳定的问题。
• CVE-2025-49175：修复一处漏洞，避免导致服务器崩溃或资源滥用。
• CVE-2025-49176：修复一处缺陷，规避程序崩溃或被恶意利用的风险。
• CVE-2025-49177：修复一处缺陷，避免引发无效指针解引用或服务器运行不稳定。
• CVE-2025-49178：修复一处漏洞，避免触发无效内存访问或拒绝服务。
• CVE-2025-49179：修复缓冲区溢出缺陷，规避程序崩溃或内存损坏风险。
• CVE-2025-49180：修复内存处理漏洞，避免引发无效内存访问或服务器崩溃。
• CVE-2025-62229：修复可能导致显示服务器崩溃或运行不稳定的问题。
• CVE-2025-62230：修复一处漏洞，避免客户端注销资源时出现无效内存访问或拒绝服务。
• CVE-2025-62231：修复数值溢出漏洞，避免引发整数溢出问题。

grub2：

• CVE-2025-54771：修复可能导致内存损坏或引导加载程序崩溃的问题。
• CVE-2025-54770：修复可能触发引导加载程序崩溃的问题。
• CVE-2025-61662：修复可被恶意操纵的缺陷，避免导致启动过程崩溃或不稳定。
• CVE-2025-61663：修复存在内存损坏或启动失败风险的问题。
• CVE-2025-61664：修复可能导致引导加载程序不稳定或拒绝服务的问题。
• CVE-2025-61661：修复一处漏洞，避免恶意构造的 USB 硬件借此破坏内存、实现任意代码执行或攻陷启动过程。

openexr 3.4.3：

• CVE-2025-64181：修复处理特制 .exr 文件时可能引发程序崩溃或内存损坏的问题。
• CVE-2025-64182：修复一处漏洞，该漏洞可能导致越界操作，存在潜在代码执行风险。
• CVE-2025-64183：修复加载部分图像时影响安全性的问题，规避潜在的内存安全风险。

python313：

• CVE-2025-6075：修复导致 CPU 占用过高或性能下降的缺陷。
• CVE-2025-8291：修复特制 ZIP 文件可能被错误解析的问题，避免破坏归档完整性或引发异常行为。

Xen 4.20.1_08：

• CVE-2025-58149：修复一处虚拟机管理程序缺陷，该缺陷曾可能导致客户机访问内存。

python-Brotli 1.2.0：

• CVE-2025-6176：修复一处缺陷，该缺陷可能导致远程服务器遭受拒绝服务攻击。

Mozilla Firefox 145.0：

• CVE-2025-13021：修复一处边界检查缺陷，恶意网页可借此实现远程代码执行。
• CVE-2025-13022：修复另一处边界条件漏洞，该漏洞可被利用实现沙箱逃逸或任意代码执行。
• CVE-2025-13012：修复一处竞态条件漏洞，该漏洞被利用后可能导致数据损坏或内存安全受威胁。
• CVE-2025-13023：修复沙箱逃逸问题，避免攻击者突破浏览器沙箱限制。

建议用户更新至最新版本以缓解上述漏洞风险。

总结

Tumbleweed 在 11 月保持稳定的更新节奏，实现桌面体验优化与核心系统稳定性的双重平衡。Plasma 6.5.3、KDE Gear 25.08.3 及 GNOME 49.2 提升日常使用流畅度，而内核 6.17.9、Mesa 25.3.0 与 PipeWire 1.5.83 则强化图形、音频及硬件支持层面的性能表现。安全防护始终是重中之重，更新覆盖内核、引导加载程序、网络协议栈、浏览器及虚拟化等多个关键领域。

Slowroll 的更新

请注意，上述更新同样适用于 Slowroll 发行版，通常会在 Tumbleweed 快照发布后的 5 至 10 天 内推送。这一月度同步机制已稳定运行数月，能确保用户在获得可靠性的同时，也能及时接收功能与安全增强。Slowroll 的更新包会定期通过 openSUSE Factory 邮件列表 发布公告。

为 openSUSE Tumbleweed 做贡献

您可以通过订阅 openSUSE Factory 邮件列表 获取最新的快照更新信息。如果您希望参与贡献或深入技术讨论，该邮件列表是交流的核心平台。openSUSE 团队欢迎用户通过以下方式参与，包括提交错误报告、提出功能建议、参与社区讨论。

您的每一次反馈和贡献，都在帮助 Tumbleweed 变得更好。无论是报告错误、提出功能建议，还是参与社区讨论，您的参与都极具价值。

原文：Tumbleweed Monthly Update - November 2025，作者：Douglas DeMaio

本文为社区投稿作品翻译。

作为 openSUSE 创新者计划（openSUSE Innovator initiative） 发起人，同时也是 openSUSE 社区与英特尔创新者社区成员，我始终致力于将前沿技术带到 openSUSE Linux 发行版的全系列版本。

随着神经网络处理单元（NPU）设备的问世，在无需依赖专用图形处理器（GPU）的情况下运行大语言模型（LLM）和生成式人工智能应用已成为现实。基于这一技术进展，我们启动了为 openSUSE 生态系统将英特尔 NPU 驱动打包为 RPM 格式的工作。经过此番协作攻关，openSUSE 创新者计划荣幸地向社区宣布，该软件包已正式发布。

英特尔神经网络处理单元（NPU）是一款推理加速器，自英特尔® 酷睿™ Ultra 系列处理器（前称 Meteor Lake）起集成于处理器内部。该单元可支持人工神经网络负载在处理器上直接实现高效、低功耗的运行。

该神经网络处理单元（NPU）集成于处理器核心芯片中，专为高能效执行神经网络矩阵运算而设计。其架构可与中央处理器（CPU）和图形处理器（GPU）形成互补，能够为开放式神经网络交换格式（ONNX）模型、计算机视觉处理流程、量化模型，以及 CPU+GPU+NPU 协同运行的混合模型运算提供智能负载分流能力。

参与本项目是一件极具成就感的事，因为我们深知其将对未来各类应用产生深远影响。作为开源社区的一份子，我们肩负着普及前沿技术、助力缩小数字鸿沟的责任，本次软件包的交付正是朝着这一目标迈出的又一重要步伐。

如需了解更多信息，请访问 software.opensuse.org！

原文：Intel NPU Driver Now Available in openSUSE Versions，作者：Alessandro de Oliveira Faria

openSUSE Tumbleweed 近期调整了通过 YaST 进行安装时的默认启动加载器，将其从 GRUB2 更换为 GRUB2-BLS。

这一变更延续了 MicroOS 开启的技术趋势，即采用兼容启动加载器规范的启动加载器。MicroOS 所使用的 systemd-boot 是由 systemd 项目提供的一款体积小巧且运行高效的启动加载器。

此次变更的原因之一是简化新功能的集成流程。其中就包括基于 systemd 工具的全盘加密功能，该功能可在设备具备 TPM2 或 FIDO2 令牌的情况下调用这类硬件完成加密验证。

什么是GRUB2-BLS

GRUB2-BLS本质上仍是GRUB2，只是在其基础上移植了来自 Fedora 项目的若干补丁，这些补丁使其具备了对启动加载器规范中 Type #1 启动项的兼容性。Type #1 启动项是存储在 /boot/efi/loader/entries 目录下的小型文本文件，启动加载器会读取这些文件来生成初始启动菜单。

每个Type #1 启动项文件中都包含了内核、initrd 的引用，以及启动系统时会用到的内核命令行参数。用户可直接编辑这些文件，也能通过bootctl、sdbootutil等工具对其进行管理。

在 GRUB2 的下一个版本（2.14 版）中，这些补丁将被正式纳入项目本体，届时对终端用户而言，整个升级过程会是完全透明的。

需要注意的是，openSUSE 部署 GRUB2-BLS 的方式与传统 GRUB2 存在差异：GRUB2-BLS 会以单个 EFI 二进制文件的形式被安装（复制）到 /boot/efi/EFI/opensuse 目录下，该二进制文件会内置所有所需资源（如模块、配置文件、字体、主题及图形资源等），而这些资源在传统 GRUB2 中原本是存放在/boot/grub2目录下的。

安装流程

好消息是，借助最新版本的 YaST，GRUB2-BLS 的安装过程已实现自动化。用户只需按照默认步骤完成操作，最终系统便会基于 GRUB2-BLS 构建。

安装程序首先会建议创建一个容量约 1GB 的大容量 ESP 分区，这是一项必要配置，因为所有内核文件和 initrd 如今都将存放于 /boot/efi/opensuse-tumbleweed 路径下的 FAT32 格式 ESP 分区中。

当然，用户也可在安装期间选择其他启动加载器，比如传统 GRUB2 或 systemd-boot。具体操作可在安装建议流程末尾出现的“安装设置”界面中完成：只需点击“启动”标题链接，即可从中选择所需的启动加载器。

全盘加密

当使用 BLS 系列启动加载器时，用户如今可基于 systemd 为系统配置全盘加密（FDE），该操作可在“建议分区”界面中完成：只需点击“引导式设置”，并在“分区方案”选项中勾选“启用磁盘加密”即可。

在此之后，用户可设置 LUKS2 加密密码，还能按需注册 TPM2 或 FIDO2 密钥等安全设备。对于笔记本设备，建议采用 TPM2+PIN 的组合方式完成系统注册：TPM2 会先校验系统是否处于健康（可信）状态，即验证从固件到内核的整个启动流程中所涉及的组件是否为预期版本、有无被篡改；校验通过后，TPM2 会要求用户输入 PIN 码或密码，而 YaST 会将该验证信息与 LUKS2 密钥槽中录入的密码进行绑定。

用法

在 GRUB2-BLS 环境下，grub2-mkconfig、grub2-install 这类 GRUB2 工具将不再适用，且多数工具已无使用必要。启动项由启动加载器动态生成，因此无需再手动生成 GRUB2 配置文件；而启动加载器的安装操作也简化为将新的 EFI 文件复制到对应路径即可。

系统升级流程同样实现了自动化，会通过 snapper 插件或 SUSE 模块工具自动调用 sdbootutil update 完成。若系统采用 btrfs 文件系统，整个管理流程会由该底层架构透明化处理，与传统启动加载器的运维逻辑保持一致。

如需修改内核命令行，可直接编辑启动加载器配置，也可先修改 /etc/kernel/cmdline 文件，再调用 sdbootutil update-all-entries 命令，将修改同步到当前快照对应的启动项中。

关于全盘加密（FDE）配置的管理方法，可前往 openSUSE 维基 查阅更多详情。

原文：GRUB2-BLS in openSUSE Tumbleweed is now the default，作者：Alberto Planas

这一天终于到来了。树莓派 5 用户现在可以期待 openSUSE Tumbleweed 提供的完善支持。

这不仅仅是 U-Boot 层面的支持，远比这更多。这得益于多方的辛勤付出——包括 SUSE 硬件适配团队、树莓派、Ideas on Board、Linaro 等机构的众多工程师，以及 Linux 和 U-Boot 子系统维护者，还有许多耐心审核我们补丁的工程师。

很多人可能会疑惑，为何树莓派 5 设备迟迟未能在树莓派 OS 之外的系统上获得支持；现在，他们无需再为此困惑了。

关于启动流程

首先，我们来重点说明简化后的系统级启动架构差异。

在树莓派 OS 中，设备 EEPROM 中存储的固件会直接运行厂商开发的 Linux 内核。

在 openSUSE 中，我们使用 GRUB2。但 GRUB2 本身需要机器具备 UEFI 固件接口才能定位启动文件。因此，openSUSE 采用了广泛使用的 Das U-Boot 引导程序来提供这些接口。

这种软件组合在 (open)SUSE 产品中运行良好，但这也意味着我们必须为 U-Boot 和 Linux 内核添加树莓派 5 缺失的相关功能。

树莓派 5 新硬件增强特性

在硬件方面，树莓派 5 与前几代设备相比存在一些显著差异。

树莓派 5 之前的所有型号中，所有控制器（如 USB、以太网、SPI、I2C、GPIO、CSI 等）均集成在主 SoC（BCM2835、BCM2836、BCM2837、BCM2710、BCM2711）中，且不同代际 SoC 中的这些控制器大致相同。因此，在 U-Boot 和 Linux 中为它们添加支持相对直接简单。

而树莓派 5 则发生了重大变化：新增了一款名为 RP1 的“南桥”芯片，上述所有控制器均集成于该芯片中。RP1 通过 PCIe 总线与主 SoC（BCM2712）相连。

幸运的是，有一点保持不变：MicroSD 卡控制器仍属于主 SoC 的一部分。因此，除了 SD 控制器内部的一些细微差异外，在 U-Boot 和 Linux 中为其添加支持相对容易。

BCM2712 SD 控制器的初始 U-Boot 支持

添加树莓派 5 的最小化启动支持

这让人们认为 openSUSE 已可在该设备上运行。

但这仅仅是漫长征程的开始。

让我们回到 PCIe 部分。旧款树莓派也具备 PCIe 根复合体，但与树莓派 5 的根复合体存在细微差异。因此，为了让 U-Boot 或 Linux 能够访问所有关键控制器设备，我们必须在 U-Boot 和 Linux 内核中添加相关支持。这一功能通过以下补丁集实现：

为 BCM2712 添加 PCIe 支持

Linux 内核中还纳入了其他几项重要内容：

• 新增对新型 MSI-X 中断外设的支持

• 为 BCM2712 片上系统添加引脚控制驱动支持

• 新增对 RP1 提供的时钟的支持

• 实现对树莓派 RP1 GPIO 的支持

当 PCI Express 驱动能够正常工作，且 Linux 可以识别连接到 PCIe 根复合体的设备后，我们还需移植用于处理全新 RP1 芯片的驱动——该芯片集成了 USB、以太网等控制器。但这项工作难度不小，因为各方对于该驱动的实现方式存在诸多不同看法。但最终，我们成功将该驱动合并至内核：

新增对树莓派 RP1 PCI 设备的支持

至此，Linux 已能识别挂载在 RP1 芯片后的各类设备。 当然，这些控制器（例如以太网控制器）与 BCM2711 上的同类控制器存在些许差异，因此需要一套全新的补丁来适配：

新增对树莓派 RP1 以太网控制器的支持

显然，要让该设备达到可用状态，还需要大量其他补丁。 以下仅列出其中极小一部分：

目前，openSUSE Tumbleweed 可从 SD 卡正常启动，直至通过 HDMI 输出进入图形化桌面环境。

启动至 Tumbleweed 后，你可正常使用以下功能：

• 以太网
• 无线网络（WiFi）
• 蓝牙
• USB
• HDMI
• ……

后续规划

U-Boot 有望很快新增对 BCM2712 PCIe 根复合体控制器的支持，这将为设备带来从磁盘启动的能力。以太网控制器的相关修复也在推进中。

增强树莓派 5 支持

由于 USB 是通过 PCIe 总线连接至 RP1 芯片的，目前 U-Boot 暂不支持 USB 功能。这意味着你无法在 U-Boot 或 Grub2 中使用 USB 键盘（因为 Grub 依赖 U-Boot 提供的 EFI 实现）。敬请耐心等待后续更新。

准备工作

在开启树莓派 5 运行 openSUSE 的体验之旅前，请确保你的设备已完成最新的 EEPROM 固件更新。

若你刚拿到的树莓派 5 尚未安装任何系统，可通过树莓派镜像烧录工具（Raspberry Pi Imager）制作一张包含 EEPROM 更新程序的 MicroSD 卡；也可直接在树莓派 5 已有的系统镜像中运行以下命令完成更新：

sudo rpi-eeprom-update -a
sudo reboot

切勿跳过 Debug Probe

若你在测试镜像时发现树莓派 5 卡在 U-Boot 阶段，遇到此问题的并非你一人。该已知问题正通过以下编号追踪：

boo#1250992。

当前的解决方案仅为临时规避措施，该问题预计很快会被修复。

在树莓派 5 上调试 openSUSE 时，使用调试探针能帮你节省大量时间，避免诸多麻烦。此外，它也是后续开展嵌入式项目时一款实用的常备工具。

树莓派 5 相关补丁极简清单

• 新增 DRM HDMI 编解码器框架

• 新增对 BCM2712 HVS（硬件视频缩放器）的支持

• 新增对 BCM2712 / 树莓派 5 显示硬件的支持

• 新增对 BCM2712 看门狗的支持

• 新增树莓派 RP1 ADC（模数转换器）支持

推荐尝试的镜像

现在，你可以在树莓派 5 上运行大多数与树莓派 4 兼容的 Tumbleweed 设备镜像；若你偏好不可变系统，也可选择 MicroOS。 openSUSE Leap 和 Leap Micro 目前暂未纳入适配范围，但预计将在后续版本（2026 年末发布的 16.1 和 6.3 版本）中获得完整支持。

开始前，请确保已连接 Debug Probe。 随后，从 openSUSE Tumbleweed 设备镜像库 中选择一款树莓派镜像写入 MicroSD 卡，即可启动使用。

若你不确定选择哪款镜像，Tumbleweed Arm 树莓派 GNOME 镜像 是稳妥之选。

xzcat image.aarch64.raw.xz | dd of=/dev/sda bs=1M status=progress conv=fsync; sync

若遇到任何问题，强烈建议通过 openSUSE Arm Matrix 频道 咨询，或 订阅 openSUSE Arm 邮件列表。此外，你也可以通过 forums.opensuse.org 咨询 general openSUSE 相关问题。 如需了解更多 ARM 平台相关信息，可访问 openSUSE ARM 门户。

为何在树莓派 5 上运行 openSUSE

官方树莓派 OS 提供了简洁的桌面体验，但它主要面向桌面使用场景，默认并未包含容器等功能。

借助 SUSE 的硬件适配工作，你现在可以在树莓派上获得完整的 openSUSE 体验。就我个人而言，我喜欢搭配使用 Cockpit 与自动更新功能，甚至还在我的树莓派上通过容器运行了私人 openSUSE 镜像和 Nextcloud AIO。

值得庆贺的时刻

为庆祝 SUSE Hardware Enablement 团队的辛勤付出，我们已向好友 Dale from LowTechLinux 和 Liam from The Register 赠送了 Raspberry Pi 5 入门套件及 Debug Probe，邀请他们向社区分享初体验。

我们还为上周末 openALT.cz 活动的参会者 Tomáš 带来了惊喜——他在我们的 openSUSE Quiz 中脱颖而出，赢得了 Raspberry Pi 5 和 Debug Probe。 这款问答应用被全球 openSUSE 展位工作人员广泛使用，如今新增了“openSUSE Arm”专区，帮助参与者深入了解 openSUSE 在 Arm 领域的相关工作。

敬请持续关注我们的 Raspberry Pi 5 硬件兼容性页面。 待 Raspberry Pi 5 的 USB 启动和 PCIe 功能完全就绪后，我们将分享更多更新内容。

原文：SUSE delivers Raspberry Pi 5 support，作者：Ivan Ivanov 和 Lubos Kocman

10月，openSUSE Tumbleweed 的软件包更新持续保持快速节奏，几乎每天都有快照发布，带来桌面环境、开发工具和核心系统组件的关键软件升级。

KDE Gear 25.08.2 和 Plasma 6.5 对 KDE 桌面进行了优化，提升了性能、可访问性和稳定性；而 GNOME 49.1 则通过改进会话处理和输入可靠性优化了用户体验。此外，还推出了 Kernel Source 6.17.5、Mesa 25.2.5 和 PipeWire 1.5.81 等主要更新。其他值得关注的软件包更新包括 PHP 8.4.14、curl 8.16.0、ClamAV 1.5.1 和 GStreamer 1.26.7。

与往常一样，若出现任何问题，请务必使用 snapper 进行回滚操作。

如需了解本月更新日志的更多详情，请访问 openSUSE Factory 邮件列表。

新功能和增强功能

KDE Gear 25.08.2： 此版本修复了 Dolphin 的视频预览崩溃问题，以及 Kdenlive 在特效、滤镜任务和序列片段方面的崩溃问题。Itinerary 和 Kitinerary 通过新增脚本和更稳定的解析功能，扩展了对交通和预订服务的支持。其他亮点包括：修复了 Okular 保存带密码保护文件时的崩溃问题；优化了 KClock 和 KWeather 的运行行为；解决了 Keysmith 中的二维码权限问题。NeoChat 改进了推送通知功能，Tokodon 优化了交互布局，而 K3b、Akonadi 和 KMime 等后端库则进行了兼容性和性能更新。

GNOME 49.1： 此版本对多款 GNOME 应用进行了更新，包括错误修复、无障碍性改进和翻译更新。亮点包括：计算器中的汇率显示修正；控制中心的界面和输入处理优化；GNOME 软件的更新通知增强。数独游戏解决了 RTL 输入漏洞，系统监视器修复了内存泄漏和元数据问题。原名为 gnome-tour-minimal 的软件包已重命名为 opensuse-welcome，并新增了捐赠页面，包含指向 GNOME 基金会和 Geeko 基金会的链接。GDM 修复了外壳锁定漏洞，并为删除 / 和 /home 增加了安全检查（现已在生产版本中运行），同时纠正了 Wayland 可用性检测问题。GNOME Characters 通过别名支持改进了语言处理，并修复了 IBus 检查、Flatpak 语言列表和活动窗口跟踪方面的问题。GNOME Session 通过修复僵尸进程泄漏、解决 gnome-session-inhibit 中的选项解析回归问题，以及优化 DBUS_SESSION_BUS_ADDRESS 的检测方式以提升在 systemd 外的运行效果，提高了会话可靠性。

File Roller 44.6： 此次更新改进了归档文件处理，并修复了多个格式特定问题。它能正确解析 LHA 列表，解决大型 RAR 文件的错误，恢复 7zip 归档文件的正确跟随链接行为。更新还允许通过 Unarchiver 打开 StuffIt 文件，修复“新建归档”和“提取”对话框中的灵敏度问题，并纠正压缩过程中的目录检测。同时也更新了翻译内容。

Plasma 6.5： 此版本带来了更流畅、更直观的使用体验。亮点包括自动明暗主题切换并搭配匹配的壁纸、固定剪贴板项目以及圆角窗口。可用性方面有所提升，如改进的 Wi-Fi 共享（包括密码共享）、更智能的音频静音功能，以及从登录界面直接进入休眠状态。无障碍功能新增了灰度滤镜、屏幕阅读器的 Caps Lock 提示，并修复了光敏闪烁问题。KRunner 引入了模糊搜索，便签功能更加灵活，Wayland 桌面可重新排序。Discover 速度更快，支持 Flathub 一键安装；Spectacle 可录制弹窗，表情符号选择器的可用性也得到优化。性能方面，启动速度更快、HDR 调校更佳，并支持叠加平面以实现高效的全屏播放。Plasma 6.5 仿佛是 KDE 历经 29 年不断完善而成的桌面体验。本月还发布了 Plasma 6.5.1 bug 修复更新。此次更新修复了 Discover 的崩溃问题，纠正了 Breeze-GTK 中的窗口角落渲染问题，并对 KWin 进行了多项稳定性改进。该 bug 修复更新还解决了 KRDp 用户管理、Spectacle 截图时间戳方面的问题，并确保 Plasma Firewall 中防火墙界面的正常运行。

Mesa 25.2.4： 3D 图形包修复了 AMD 和 Intel 显卡的问题，解决了《最终幻想 XVI》《精英危险》和《荒野召唤：垂钓者》等游戏中的崩溃问题。Intel Xe2 硬件受益于修正后的显示缓冲区处理，AMD 用户则在跨统一块的着色器编译方面获得了更高的可靠性。Vulkan 视频解码和 SPIR-V 着色器处理得到改进，屏幕关闭期间的内存管理也更为完善。

curl 8.16.0： 此版本修复了两个安全问题，即 CVE-2025-9086 和 CVE-2025-10148。新功能包括 --follow、--out-null 和 --parallel-max-host 选项，重试选项的十进制值，以及 DNS 解析的负缓存功能。TLS 1.2 现已成为默认最低版本，WebSocket 支持 CURLOPT_READFUNCTION。众多修复改进了 cookie 处理、OpenSSL 集成、QUIC/HTTP3 支持以及 WebSocket 稳定性。这些变化共同增强了 HTTP、SMTP 和 TLS 用例中的安全性、性能和开发者灵活性。

QEMU 10.1.1： 该模拟器修复了 RISC-V 的向量扩展处理以及压缩指令的 IOMMU 表限制问题，同时 SPARC 获得了更灵活的指令解码能力。通过改进后复制过程中的错误处理，迁移稳定性得到提升。内存管理经过强化，地址空间销毁更清晰。构建和测试基础设施也得到优化，以确保编译和 CI 运行更顺畅。

ClamAV 1.5.1： 这个恶意软件检测包修复了 PE 和 TNEF 文件的处理问题，提高了 ZIP、RAR、OOXML 和 OLE2 文档处理的准确性，并改进了图像的模糊哈希处理。此次更新还提高了嵌入式文件检测的限制，优化了 VBA 签名匹配。该软件包新增了 HTML/PDF 的 URI 元数据提取、访问时排除的正则表达式支持、使用 .sign 文件进行 CVD 签名、对弱哈希的类 FIPS 限制，以及 ClamD 中的新管理控制功能。

PHP 8.4.14： 此次更新修复了属性处理绕过问题、闭包中的崩溃问题以及数组标志不一致问题。curl、GD、MySQLnd、Soap、SimpleXML 和 Zip 等关键模块的稳定性得到提升，同时解决了 Opcache 和 JIT 相关的竞争条件问题。

关键软件包更新

Kernel Source 6.17.0 至 6.17.5： Linux 内核 6.17.5 对 Btrfs、Ext4 和 F2FS 文件系统进行了稳定性改进，修复了 CIFS/SMB 和 NFS 协议处理问题，并为 Realtek 和 Intel 硬件提供了多项声卡驱动兼容性调整。图形相关更新解决了 AMDGPU 和 Xe 显卡驱动的问题。6.17.3 版本的更新包含网络功能优化，涉及广播模式下的绑定配置、USB 传输溢出问题，以及多个 Wi-Fi 驱动相关漏洞。该版本还修复了 AMDGPU、ext4、KVM、ksmbd 和龙芯架构 BPF 中的崩溃与内存处理问题，同时修补了多个驱动（USB、PCI、RPC 和输入设备）中的空指针解引用漏洞。6.17.2 版本新增了对新型 USB 串口设备（SIMCom 8230C）和蓝牙设备（D-Link AX9U）的支持，同时调整了 Wi-Fi 驱动以避免 RTL8192/8188 适配器出现冲突。Rust 子系统的文档和驱动引用得到修正，配置更新优化了控制台默认设置和 FIPS 处理逻辑，最终提升了系统可靠性、硬件兼容性和安全性。6.17.0 版本更新了配置项，包括启用 DEBUG_WX 以加强内存保护，以及优化特定平台的 HID 设备支持和调试选项。文档工具已调整以适配废弃的 Python 接口，hvc_console 中的串口控制台处理通过更可靠的写入行为得到改进。

iproute2 6.17： 这款高级网络工具包的更新引入了对新网络属性的支持，包括 netns-immutable、mcast_reprobes 以及邻居设备的 extern_valid 标志。它在网桥工具中新增了 mdb_offload_fail_notification 功能，在 devlink-rate 中添加了 tc-bw 选项。颜色显示处理经过优化，能更好地适配深色背景。

python311 3.11.14： 此次安全更新强化了解析功能和归档文件处理能力。html.parser.HTMLParser 已对齐 HTML5 标准，修复了多个标签、属性和注释的解析问题，并关闭了与复杂度相关的漏洞。捆绑的 Expat 库解决了内存安全隐患，tarfile 模块现在会验证非负偏移量，以防止恶意构造的归档文件攻击。

gpg2 2.5.13： 此版本修复了合规性和安全性问题，包括带密码的 OCB 模式处理、重复密钥检测、cv25519 加密前缀，以及第三方签名中潜在的 SHA1 降级风险。它通过对未验证输出报错来改进签名验证，将 gpgsm 加密/解密切换至 KEM 接口，并修复了证书锁定故障。密钥箱处理经过优化，提升了锁定安全性和压缩安全性。其他更新包括支持 LDAP 密钥服务器上传、修复 PIN 码更改问题，以及为处理共享冲突增加私钥删除重试机制。

Mesa 25.2.5： 此次更新解决了 Intel Arc 显卡在《奇迹时代 4》中的渲染错乱问题，修复了 AMD RADV Vulkan 驱动中损坏的管线缓存，并解决了旧款 Intel 硬件上的测试失败问题。该版本还纠正了高通 Adreno 显卡上的遮挡查询问题，改进了 Vulkan 渲染通道中 3D 图像视图的处理，并修复了内存泄漏。

Mutter 49.1 及 49.1.1： 此次更新提升了 Wayland 的稳定性、输入处理和窗口管理能力。Wayland 相关修复包括更好地处理无效或空几何形状、弹出窗口重新定位后始终发送配置事件，以及允许指针跳转前要求先进行指针交互。49.1.1 版本修复了部分 Xwayland 客户端中菜单失效的问题。输入可靠性通过正确的修饰键状态检查得到增强，同时还优化了渲染效果、性能表现和帧时钟调度。其他修复涵盖 udev 内存泄漏、备用光标大小调整以及手势处理崩溃问题。

AppStream 1.1.1： 该软件包新增了禁用手册页创建的选项，通过显式字符串引用和 UTF-8 测试覆盖优化了 YAML 处理。已完全移除对 Qt5 的支持，相应清理了构建系统和规格文件。

SDL3 3.2.24： 此版本修复了多个输入和渲染问题，包括 Steam 手柄相关崩溃以及摄像头被误检测为操纵杆的问题。修正了 VMware 中的鼠标捕获功能和分离线程内存处理逻辑。渲染功能新增支持最多 8 色目标绑定，信框模式（Letterboxing）现已采用纯色填充，提升了一致性。

SELinux Policy 20251006： 此次更新增强了 SSH 策略，支持 /usr/libexec/ssh 路径、wtmpdb 日志记录和新的默认上下文，同时优化了 guest 和 xguest 域的会话处理。策略现在允许 valkey-server、blueman、geoclue、apcupsd 和 nfs-generator 等服务使用额外的套接字或文件系统属性。改进了 Kdump 和 EFI 访问权限，虚拟客户机（virt guests）可根据条件读取主目录中的证书。

webkit2gtk3 2.50.1： 该更新优化了 webkit2gtk3 和 webkit2gtk4 两个版本。修复了 Instagram 上音频播放失效的问题，纠正了分数变换（fractional transforms）相关的渲染异常。解决了 s390x 架构下的构建问题以及禁用视频功能时的编译错误，同时修复了多个崩溃和渲染问题。包含针对 CVE-2025-43343 的关键安全补丁，是 GTK 4.1 和 6.0 后端推荐的稳定性与安全性升级版本。

WirePlumber 0.5.12： 此版本新增单声道音频配置支持、节点移除时自动静音 ALSA 设备的功能、全新通知 API 模块，以及扩充后的 wpctl 手册页（man page）。修复了权限门户（permissions portal）中的关闭竞争条件，避免异步操作期间无效设备导致崩溃，同时解决了 device-info-cache 中的日志错误，优化了设备钩子处理逻辑。添加补丁以抑制重新注册或移除钩子时的调度器错误。

GStreamer 1.26.7： 该更新优化了 cea608overlay 的处理逻辑。扩展了 RTP 处理能力，新增线性音频负载器/解负载器，并修复了 RTSP 交错模式下的保活问题。其他修复包括 MPEG-TS 中的 Opus 相关问题、编辑服务中的内存泄漏、优化 threadshare 延迟、改进复用器的 EOS 处理，以及完善内省注解。

PipeWire 1.5.81： 这是即将发布的 1.6 分支的首个候选版本，仍与早期 1.0.x 至 1.4.x 版本保持 API 和 ABI 兼容性。该版本重构了链路协商系统，以实现更优的默认匹配；改进了循环锁定机制，增加优先级反转处理，提升实时性能并让控制流解析更安全。新增功能包括 MIDI 2.0 片段支持、针对助听器的蓝牙 ASHA 支持，以及降低延迟的 ALSA 优化。

Binutils 2.45： 此更新推出了版本化的 libsframe.so.2，扩展了 RISC-V 和 ARM 架构支持，新增了全新指令和预定义汇编器符号。x86 架构方面，新增对英特尔 Diamond Rapids AMX、AVX10.2 以及兆芯（Zhaoxin）新指令的支持；s390 工具现已支持 SFrame v2 和 “z17” 处理器。该版本修复了多个安全问题。

安全更新

Binutils 2.45：

• CVE-2025-1149：修复了处理特定输入时的内存泄漏问题。
• CVE-2025-1150：修复了特定条件下可能导致资源耗尽的内存泄漏问题。
• CVE-2025-1151：一处内存处理问题可能导致泄漏或系统不稳定。
• CVE-2025-1152：另一处泄漏类问题会影响链接行为，可能削弱系统稳健性。
• CVE-2025-1153：恶意构造的输入可能导致内存损坏。
• CVE-2025-1176：严重漏洞，在特定构造条件下可能导致内存损坏或程序崩溃。
• CVE-2025-1178：恶意链接操作可能触发内存安全问题。
• CVE-2025-1179：另一处内存安全漏洞，在特定构建/链接流程中可能被利用。
• CVE-2025-1180：修复了一处被归类为“有问题”的缺陷，该缺陷可能影响链接行为和系统稳定性。
• CVE-2025-1181：一处漏洞可能导致错误链接或工具崩溃。
• CVE-2025-1182：修复了可能影响工具链的问题，若被利用可能产生广泛影响。
• CVE-2025-3198：一处被归类为有问题的漏洞，可能导致链接错误或工具失效。
• CVE-2025-5244：修复了可能影响链接和构建完整性的安全缺陷，建议进行更新。
• CVE-2025-5245：修复了影响核心链接功能的漏洞，该漏洞可能导致崩溃或意外行为。
• CVE-2025-7545：修复了导致链接失败的内存安全问题。
• CVE-2025-7546：修复了另一处内存安全/泄漏漏洞，该漏洞可能损害构建可靠性和系统完整性。
• CVE-2025-8224：修复了可能在构建/链接过程中被利用的漏洞。
• CVE-2025-8225：修复了另一处可能导致链接不稳定或工具链失效的缺陷。
• CVE-2025-11083：修复了影响链接组件的漏洞，该漏洞可能影响系统构建和完整性。
• CVE-2025-11495：一处与链接逻辑相关的缺陷，可能导致崩溃或意外行为。

Unbound 1.24.0：

• CVE-2025-11411：一处漏洞可能允许攻击者注入伪造的 DNS 名称服务器记录，诱使 DNS 解析器更新委派信息，进而导致域名劫持。

java-21-openjdk 21.0.9.0：

• CVE-2025-53066：修复了一处漏洞，该漏洞可能允许未授权攻击者通过网络获取关键数据的未授权访问权限。
• CVE-2025-61748：修复了一处缺陷，该缺陷可能允许未授权攻击者通过网络 API 访问，对可访问数据执行未授权的更新、插入或删除操作。
• CVE-2025-53057：修复了一处弱点，该弱点可能允许未授权攻击者远程创建、删除或修改关键数据。

gimp：

• CVE-2025-10925：修复了栈溢出漏洞，攻击者可构造恶意图像，文件被打开时执行代码。
• CVE-2025-10922：修复了堆溢出漏洞，该漏洞可能允许通过恶意文件实现远程代码执行。
• CVE-2025-10920：修复了越界写入漏洞，特制图像可能导致程序崩溃或允许攻击者运行任意代码。

curl 8.16.0：

• CVE-2025-9086：修复了一处缺陷，该缺陷可能导致 curl 崩溃，或允许恶意网站意外覆盖“安全”Cookie。
• CVE-2025-10148：修复了一处可预测模式漏洞，该漏洞可能允许恶意服务器诱骗代理将恶意内容视为合法内容，并污染其缓存。

Bind 9.20.15：

• CVE-2025-8677：修复了一处缺陷，该缺陷可能导致 DNS 解析器遭遇拒绝服务攻击。
• CVE-2025-40778：攻击者可向解析器缓存注入伪造 DNS 记录，将后续查询重定向至恶意目标。
• CVE-2025-40780：伪随机数生成器存在弱点，攻击者可预测 DNS 请求的源端口和查询 ID，从而更容易实施缓存投毒攻击。

qt6-svg 6.10.0：

• CVE-2025-10728：SVG 文件渲染图形模块存在缺陷，会导致递归渲染，进而引发栈溢出和程序崩溃。
• CVE-2025-10729：图形模块中存在释放后使用漏洞，可能导致程序崩溃或其他内存损坏问题。

python-ldap 3.4.5：

• CVE-2025-61911：当 escape_mode=1 时，向 assertion_value 参数传入恶意构造的 list 或 dict，会跳过特殊字符转义，攻击者可能借此操纵 LDAP 过滤器。
• CVE-2025-61912：客户端可能在向 LDAP 服务器发送请求前发生故障，导致客户端拒绝服务。

webkit2gtk3/4 2.50.1：

• CVE-2025-43343：存在内存处理缺陷，恶意构造的网页可能导致进程意外崩溃，攻击者或可借此破坏软件运行或获取更深层次访问权限。

libsoup：

• CVE-2025-11021：存在一处缺陷，攻击者可构造带有特殊格式过期日期的 Cookie，触发超出预期范围的内存读取，可能泄露敏感信息。

libxslt：

• CVE-2025-11731：存在一处缺陷，可能将文档节点错误视为元素节点，导致类型混淆、意外内存读取，甚至引发程序崩溃（拒绝服务）。

python311 3.11.14：

• CVE-2025-8194：CPython 的 tarfile 模块存在缺陷，处理带有负偏移量的恶意构造 tar 归档文件时，可能导致无限循环或死锁，进而引发拒绝服务。
• CVE-2025-6069：存在一处漏洞，可能触发二次复杂度问题，通过消耗过量 CPU/时间放大拒绝服务攻击效果。

open-vm-tools 13.0.5：

• CVE-2025-41244：修复了虚拟机内的一处漏洞，攻击者可利用该缺陷获取同一虚拟机的 root（管理员）权限。

Ruby 3.4.7：

• CVE-2025-61594：修复了一处漏洞，该漏洞曾可能允许通过恶意构造的 URI 泄露认证信息。

poppler：

• CVE-2025-52885：修复了一处漏洞，向量调整大小时可能产生悬空指针，进而导致内存损坏或程序崩溃。

ImageMagick 7.1.2.7：

• CVE-2025-62171：32 位系统上的 BMP 图像解码器存在缺陷，可能触发整数溢出，导致潜在的程序崩溃或拒绝服务。

samba：

• CVE-2025-10230：存在命令注入缺陷，未授权远程攻击者可借此执行任意命令。
• CVE-2025-9640：存在一处漏洞，用户可能读取残留内存内容，进而导致敏感数据泄露。

Mozilla Firefox 143.0.3、144.0：

• CVE-2025-11152：存在一处漏洞，可通过内存损坏实现远程代码执行。
• CVE-2025-11153：编译错误可能允许攻击者执行任意代码。
• CVE-2025-11708：浏览器媒体子系统存在释放后使用漏洞，攻击者可借此导致应用崩溃或执行代码。
• CVE-2025-11709：存在一处缺陷，网页可能在特权进程中触发越界读写，存在数据泄露或代码执行风险。
• CVE-2025-11710：被攻陷的 Web 进程可通过恶意进程间消息，导致特权浏览器进程泄露部分内存。
• CVE-2025-11711：存在一处浏览器漏洞，允许修改本应不可写的 JavaScript 对象属性。
• CVE-2025-11712：网页可利用 OBJECT 标签的 type 属性（无内容类型标头时）覆盖浏览器行为，可能引发跨站脚本攻击（XSS）。
• CVE-2025-11714：修复了近期浏览器版本中的一系列内存安全漏洞，这些漏洞可能导致崩溃或代码执行。
• CVE-2025-11715：新增多项内存安全修复，覆盖浏览器/Thunderbird 栈中的多个组件，降低被利用风险。

建议用户更新到最新版本以缓解这些漏洞带来的影响。

总结

Tumbleweed 以近乎每日发布快照的节奏迎来了 10 月的结束，此次更新既优化了桌面体验，又强化了底层系统安全。Plasma 6.5、KDE Gear 25.08.2 和 GNOME 49.1 与内核 6.17、Mesa 25.2.x 及 PipeWire 1.5.81 同步推送，同时 PHP、curl、QEMU、GStreamer 和 Binutils 等开发工具与平台工具也带来了经过验证的安全修复。

Slowroll 的更新

请注意，上述更新同样适用于 Slowroll 发行版，通常会在 Tumbleweed 快照发布后的 5 至 10 天 内推送。这一月度同步机制已稳定运行数月，能确保用户在获得可靠性的同时，也能及时接收功能与安全增强。Slowroll 的更新包会定期通过 openSUSE Factory 邮件列表 发布公告。

为 openSUSE Tumbleweed 做贡献

您可以通过订阅 openSUSE Factory 邮件列表 获取最新的快照更新信息。如果您希望参与贡献或深入技术讨论，该邮件列表是交流的核心平台。openSUSE 团队欢迎用户通过以下方式参与，包括提交错误报告、提出功能建议、参与社区讨论。

您的每一次反馈和贡献，都在帮助 Tumbleweed 变得更好。无论是报告错误、提出功能建议，还是参与社区讨论，您的参与都极具价值。

原文：Tumbleweed Monthly Update - October 2025，作者：Douglas DeMaio

第 25 届黑客周期间，有一个项目旨在回应社区反馈，将 YaST 中广受欢迎的配置功能引入 Cockpit 和系统角色，这是朝着弥合 openSUSE Leap 16.0 中 YaST 弃用后留下的差距迈出的一步。

这个名为《将 YAST 的功能引入 Cockpit 和系统角色》（Bring to Cockpit + System Roles capabilities from YAST） 的倡议，直接回应了部分用户对熟悉的桌面和系统管理工具消失的担忧。作为向现代化、自动化友好型基础设施转型的一部分，Cockpit 已在 Leap 16.0 中引入。

许多长期用户正确地指出，YaST 的关键功能仍有缺失，但 Leap 的新篇章 需要一个现代化的 YaST 继任者，而不是独自另起炉灶；当这些改进在社区间共享并得到完善时，其发展会更加强劲。

该黑客周项目的相关工作将于 12 月 1 日启动。若有人希望推进这些功能，可继续参与实现清单的开发。

已被弃用的 YaST 长期以来是该项目的标志性工具之一，其提供的多项配置和安装功能尚未纳入新版 Cockpit。放弃 YaST 的转型过程经过了大量研究和审慎考量。尽管 YaST 与项目的品牌标识紧密相连，开发团队仍全面评估了哪些功能和模块是核心必需的。目前，这些 Cockpit 的功能缺口仍在通过社区贡献以及与系统角色的持续整合逐步填补。

该项目的目标是在系统角色中实现服务配置，然后在其上层搭建 Cockpit 界面，让管理员能够直接操控。对于已配置现有资源的场景，预计将开发特定的 Cockpit 模块来处理相关交互。

若有人希望参与此项工作，项目已发布缺失功能及建议实现的详细表格供贡献者参考。贡献者可通过项目的黑客周页面跟踪进度并开展协作。

黑客周始于 2007 年，现已成为项目开源文化的核心支柱。众多如今已融入 openSUSE 生态系统的工具均源自黑客周，例如 openQA、Weblate 和 Aeon Desktop。黑客周还孕育了后来发展为广泛使用的产品的项目——ownCloud 及其衍生项目 Nextcloud，均起源于十多年前的一个黑客周项目。

如需了解更多信息，请访问hackweek.opensuse.org。

原文：Hack Week Project Aims to Bridge YaST, Cockpit Gaps，作者：Douglas DeMaio

对于管理车队的公司而言，每一分钟都至关重要，而像 openSUSE 这样的 Linux 发行版则是此类运营的可靠支柱。

从印度尼西亚的安保巡逻到菲律宾的维修车辆，借助由 openSUSE Leap 提供支持的云平台，如 Ntrack 的 GPS 车辆跟踪系统，车队可以实现实时监控。

如 Leap 16 这样的版本可用于 GPS 车辆跟踪等场景，这也是该发行版的众多应用案例之一。

车辆跟踪系统处理来自 Teltonika、Concox、Atrack 等公司生产的第三方 GPS 物联网设备的原始数据。每个设备通过 3G、4G 和 5G 网络每分钟发送一次信号，形成持续的位置数据流。这些数据通过 RabbitMQ 进入队列，并存储在基于 Leap 服务器构建的 PostgreSQL 数据库集群中。

一位在项目邮件列表上分享其用例的开发人员表示：“它为数据库集群和系统监控提供了出色的支持，确保了数据层的可靠故障转移和可扩展性。该系统每秒处理 50 至 100 个数据包，而 openSUSE 保障了其稳定性。”

Ntrack 平台将这些数据包转化为车队运营商可采取行动的洞察数据。该平台基于 Leap 构建，提供实时跟踪、路线规划、驾驶员行为分析、地理围栏和报告等功能。

开发人员 Edwin 表示，这些应用案例已覆盖爪哇岛和巴厘岛的与私人安保相关的车队、菲律宾的电信维修车辆以及印度尼西亚各地的公司车辆。

诸如 Ntrack 之类的 GPS 跟踪系统，是该发行版为全球关键任务应用提供支持的又一例证；Leap 16 的延长生命周期提供了企业信赖其技术基础设施所需的可靠性和可升级性。

openSUSE 项目的成员正努力展示人们对 openSUSE 的使用方式。如果您有 Leap 16 的应用案例想要分享，请在项目邮件列表上发表评论。

原文：Leap Keeps Fleets on Track，作者：Douglas DeMaio

九月，openSUSE Tumbleweed 的软件包更新进入稳定节奏，快照几乎每日发布。这些更新为滚动发布版用户带来了新功能、性能改进以及重要的安全修复。

本月快照中更新的软件包包括 GnuPG 2.5.12、文件归档工具 7-Zip 25.01、文本编辑器 Vim 9.1.1706 以及 内核源码 6.16.5 等。

随着 GNOME 49 和 Plasma 6.4.5 的推出，桌面体验得到显著提升。KDE Gear 25.08.1 为核心应用程序带来了全面修复。本月更新的其他软件包还有 QEMU 10.1.0、libvirt 11.6.0、tuned 2.26.0、GStreamer 1.26.6、Mesa 25.2.2 等。

与往常一样，若出现任何问题，请务必使用 snapper 进行回滚操作。

如需了解本月更新日志的更多详情，请访问 openSUSE Factory 邮件列表。

新功能和增强功能

GNOME 49：Tumbleweed 中更新了多个 GNOME 49 软件包。部分变更包括：用 Showtime 取代 Totem 成为新的默认视频播放器，用 Papers 取代 Evince，以实现现代化、功能丰富的文档查看体验。日历 应用现在完全支持键盘操作，且允许用户导出日程。网页 应用增强了广告拦截功能、支持 OpenSearch 集成，并新增网站专属菜单。远程桌面现在支持多点触控和虚拟显示器。全新的 HDR 壁纸提升了视觉保真度，而锁屏媒体控制、快捷设置中的“免打扰”模式以及重启/关机选项则提高了易用性。两款新应用加入 GNOME Circle：麻将游戏（Mahjongg）和词典应用 Wordbook，后者由 WordNet 提供数据支持。

KDE Gear 25.08.1：Dolphin 现在滚动速度更快，切换选择模式或创建文件夹时不会崩溃，且仅在清空回收站成功时播放提示音。KMail、Akregator、KAddressBook 通讯录、KOrganizer 及其他 PIM 工具，在启动时不再显示过时的“新增功能”界面。Ark 和 KTorrent 已修复问题，分别避免了不必要的通知和过度的文件写入。文本编辑器 Kate 修复了多个崩溃问题（尤其在会话处理和外部工具集成方面），且在 Flatpak 环境中运行更流畅。Kdenlive 稳定性显著提升，包括修复删除片段、应用特效或打开项目时的崩溃问题。Itinerary 优化了航班和预订信息的处理；Konqueror 在 Wayland 环境中运行更流畅，侧边栏菜单显示正常；Okular 现在签署 PDF 时会使用正确的默认文件名。Neochat、Tokodon 和 KRDc 远程桌面工具等其他应用，也分别修复了链接处理、图片复制和连接 URL 保存相关的问题。

Plasma 6.4.5：Discover 软件中心现在重新打开消息时，会正确启用“删除设置”按钮。面板自定义体验更流畅，编辑时对 Esc 键的响应更准确；桌面文件夹视图重新排列图标时，不再出现图标错位问题。系统设置（KCMs）有多项修复，包括字体更改通知正常显示、通知配置页面优化，以及时区选择器的焦点交互更流畅。KWin 窗口管理器 优化了显示处理，通过 UUID 更精准识别输出设备，且在 Wayland 环境中实现了更可靠的色彩管理。

KDE Frameworks 6.18.0：此次 KDE 更新确保 Dolphin、KMail、Ark 等 KDE 应用运行更流畅。Breeze 图标主题进行了优化，移除过时、非标准尺寸的图标及第三方应用图标，提升了视觉一致性。KIO 和 KArchive 等核心库优化了文件操作处理、改进后台线程中的缩略图加载，并增强了对畸形归档文件处理时的安全性。Kirigami（用于 Itinerary 和 Plasma Mobile 等应用的自适应界面框架）修复了导航组件的布局问题，并通过优化焦点处理提升了可访问性。其他更新包括：多个框架的代码质量检查得到加强，以及 KTextEditor 的漏洞修复。

OVMF edk2-stable202508：此更新将依赖项升级至 OpenSSL 3.5.1 和 Oniguruma 6.9.10，引入独立 MM 支持，并添加带有 UUID-GUID 转换的 FF-A 内存管理。硬件和架构支持得到扩展，包括 ARM GICv5、RISC-V PEI 启动以及改进的异常处理。已移除旧版 UGA 支持，且增强了 QEMU TLS 和 TPM2 处理以提升稳定性。该版本还带来了众多 USB、SMM 和 CPU 热插拔修复，更好的构建系统集成（包括 mingw-w64），并默认启用 x64 OVMF 的 iSCSI 启动功能。

tuned 2.26.0：此更新增加了对 MMC 设备的支持，改进了热插拔处理，并增强了核心计算、变量继承以及对不支持插件的日志记录。这个用于监控和自适应调优的守护进程的电源管理配置文件，现在使用 med_power_with_dipm 替代 min_power，以在保持节能的同时防止潜在的数据丢失。其他改进包括网络延迟调优、调度器性能检测和 sysfs 监控。

7-Zip 25.01：这个文件归档工具更新通过改变提取归档文件时处理符号链接的方式来提高安全性。性能得到提升，bzip2 压缩速度提高 15–40%，deflate（zip/gz）压缩速度略有提升，达到 1–3%。归档兼容性增强，对 ZIP、CPIO 和 FAT 格式的支持更好。解决了一些安全问题，包括修复对畸形 RAR 归档的错误处理以及特定畸形复合文件归档导致的崩溃问题。

libvirt 11.6.0：此版本引入了多项新功能，包括一个可独立于主机计算基准 CPU 的标志、对 QEMU TLS 优先级字符串更精细的控制、默认禁用 s390 域的已弃用 CPU 功能以及 QEMU 的 RBD 命名空间支持。arm 和 RISC-V 的默认设置现在使用 virtio-scsi 而非 lsilogic。其他改进包括丢弃粒度设置、更好的 NSS 调试以及放宽 TLS 证书要求。

udisks2 2.10.91：此版本改进了存储管理，包括 LUKS 头备份、创建加密设备时设置标签的能力以及对额外 PBKDF 选项的支持。用户现在可以对 BitLocker 卷使用密钥文件，为 MD RAID 指定元数据版本，并利用新的 Btrfs 方法获取和设置默认子卷 ID。挂载选项得到扩展，增加了用于 ISO9660、f2fs 和 ext3/ext4 文件系统的新标志。

polkit 126：在这个版本中，可从 /etc/、/run/ 和 /usr/local/share 读取操作，新的 LogControl1 协议允许动态更改日志级别。Duktape 简化了依赖项，并取代了 mozjs。翻译扩展到了斯洛文尼亚语和印地语。

关键软件包更新

GnuPG 2.5.12：此更新为 GnuPG 增加了新的灵活性并修复了多项问题。发送到 LDAP 服务器的密钥现在会预先刷新，除非通过新选项禁用；新增的 --[no-]auto-key-upload 设置可控制自动上传。压缩处理得到改进，对 7z 输入禁用了默认压缩。在 --edit-key:addkey 中增加了对 Kyber 变体的支持，并修复了复合 PQC 和 ECC 算法的回归问题。

Vim 9.1.1706：此更新解决了缓冲区溢出、空指针解引用和弹出窗口行为异常等问题。教程新增了关于文本对象和特殊寄存器的章节，同时更新了过时的翻译和文档以提高清晰度。补全逻辑、命令处理和测试覆盖范围也得到了优化。

Mesa 25.2.2：此版本对图形堆栈进行了重要更新和清理。移除了旧版组件以及相关软件包（如 Mesa-gallium、Mesa-libd3d、Mesa-libOpenCL 和 libxatracker），体现了向现代 API 和驱动程序的转变。更新包括刷新 NVK 的 Rust crate、改进构建要求，以及修复 crate 校验和不匹配的问题。

sudo 1.9.17p2：此更新修复了一个罕见问题，该问题可能导致 sudo 在伪终端中运行命令时向所有系统进程发送 SIGHUP 信号。另一项修复解决了在支持 ptrace_readv_string() 的 Linux 系统上，使用 intercept 和 intercept_verify 选项且带有极大参数或环境变量时出现的崩溃问题。配置脚本现在在没有 mandoc 的系统上也能正确支持 mdoc 手册页。此外，/usr/etc/sudoers 的权限默认值已修正。

Postfix 3.10.4：此版本修复了 postscreen 中存在已久的问题，包括进程重启后的套接字错误以及可能阻塞新进程的缓存锁定问题。TLS 处理更加稳健，修正了对旧版参数的支持，并防止了 tlsproxy 中的空指针崩溃。更新减少了数据库文件更改时不必要的进程重启，移除了过时的 OpenSSL 引擎依赖，并通过忽略明确标记为不需要加密的消息来清理 TLS 报告。

GStreamer 1.26.6：此更新增强了字幕处理、decodebin3 标签处理、HLS 指令解析和 fallbacksrc 关闭行为的稳健性。硬件和格式支持得到扩展，包括 V4L2 对 WVC1/WMV3 的支持、Vulkan 解码器修复，以及通过 librespot 0.7 实现的 Spotify 集成更新。新的 threadshare 元素改进了同步和性能，而 videorate 在仅丢弃模式下效率更高。

fwupd 2.0.14、2.0.15 和 2.0.16：2.0.15 更新现已支持富士康 SDX61 调制解调器、Jabra Evolve2 子设备以及 NVIDIA ConnectX-6/7/8 网卡。子设备还可以继承父设备的命名前缀，以便更清晰地识别。修复了多个漏洞，包括不使用 --force 的固件报告、Firehose 调制解调器擦除、Goodix 设备枚举以及 BnR MTD 硬件的版本控制处理。2.0.14 更新增加了灵活性，允许固件更新忽略网络连接要求、UEFI 胶囊设备选择不使用 Capsule-on-Disk，以及插件在更新期间访问固件版本。众多修复提高了可靠性，包括更好地处理调制解调器设备、Lexar NVMe 版本控制、Synaptics RMI 初始化、UF2 解析和 ThunderBolt 重定时器检测。更新的硬件支持扩大了 fwupd 在现代系统和外设中的应用范围。

内核源码 6.16.5、6.16.6、6.16.7、6.16.8：6.16.8 更新在文件系统、网络和驱动程序方面提供了广泛的稳定性和安全性修复。Btrfs 解决了配额统计信息泄漏和子卷删除竞争问题，而 NFS 和 NFSv4.2 改进了 O_DIRECT 操作的序列化和权限处理。6.16.7 更新增加了对新记录漏洞（CVE-2025-40300）的缓解措施，将保护扩展到较旧的 Intel CPU，启用条件 IBPB，并在 STIBP 与 SMT 一起禁用时发出警告。tar-up 工具已现代化，改用标准 tar 命令，确保一致的所有权、排序以及与 Tumbleweed 的兼容性。6.16.6 更新修复了 Btrfs 的多个竞争条件，以提高 inode 日志可靠性，同时音频和 USB 支持通过编解码器修复和更好地处理 Focusrite 设备得到改进。网络和无线驱动程序针对 cfg80211、iwlwifi、brcmfmac 和 mt76 芯片组进行了大量补丁更新，解决了使用后释放漏洞、竞争条件和扫描稳定性问题。6.16.5 更新解决了设备树、网络、跟踪和 I/O 处理中的内存泄漏、竞争条件和使用后释放漏洞。增强功能包括提高并发访问下的 SMB 客户端可靠性、改进音频编解码器控制、修复 HID 和 Intel quicki2c 驱动程序，以及优化 io_uring 工作进程管理。MSM 和联发科的图形驱动程序获得稳定性更新，而蓝牙的断开连接处理和数据包跟踪更加稳健。

SELinux 策略 20250909：此更新完善了 SELinux 规则，以提高与常见服务和系统组件的兼容性。GDM 现在可以创建密码锁定文件并在 systemd userdbd 目录中绑定套接字，而 nsswitch 域允许通过 Unix 套接字连接到 XDM。其他更新包括启用 gnome-remote-desktop 与 tabrmd 的通信、允许 nm-dispatcher 插件读取 pidfs 属性，以及允许 chronyc 使用 setgid/setuid。

SETools 4.6.0：seinfo 工具现在可显示给定类型允许的角色，新增的 sechecker 模块能确保内核模块保持只读状态。同时引入了对 nlmsg 扩展权限的支持。在底层，代码库已实现现代化改造，包括改进质量检查、扩展单元测试以及移除已弃用的方法。打包方式已更新为使用 pyproject.toml，优化了依赖项处理，并在构建过程中实现自动化测试执行。

QEMU 10.1.0：VFIO 现在支持为 SEV-SNP 和 TDX 客户机提供透传功能，迁移功能则新增了 multifd 后复制加速、优化的预复制以及 IPv6 RDMA 支持。QEMU 客户机代理可通过新命令查询 Windows 虚拟机负载。架构更新包括：ARM 新增 CPU 特性和主板、ARM virt 主板支持嵌套虚拟化与 CXL、龙芯架构（LoongArch）支持内核内中断控制器、RISC-V 新增 ISA 扩展与昆明湖（Kunminghu）CPU 支持，以及 Microblaze 架构支持字节序选择。此外，该版本还包含大量修复与弃用项。

CUPS 2.4.14：此次打印服务更新修复了两个漏洞：一是 AuthType Negotiate 相关的身份验证绕过漏洞（CVE-2025-58060），二是导致远程拒绝服务（DoS）的空指针解引用漏洞（CVE-2025-58364）。同时引入了新的 print-as-raster 属性，可强制作业以光栅格式输出，以规避打印机固件的 PDF 处理问题。其他改进包括：修复重启后的作业清理、订阅处理、IPP/PPD 选项解析、内存泄漏，以及调度器事件报告问题。2.4.14 版本还附带一个热修复，确保本地化模板与 CUPS 网页界面（Web UI）页面正确安装，提升整体可靠性。

安全更新

内核源码 6.16.7：

CVE-2025-40300：Linux 内核虚拟化层中存在的一个漏洞，可能允许受限制内存中的数据泄露到用户进程中，从而潜在地暴露敏感信息。

Python：

CVE-2025-8194：Python 的 tarfile 模块中存在一个高严重性的拒绝服务（DoS）漏洞，精心构造的带有负偏移量的 tar 归档文件可能导致无限循环或死锁。

Mesa 25.2.2：

CVE-2023-45913：图形驱动程序中存在一个缺陷，当显示系统在处理窗口时发送意外信号时，可能导致崩溃，并引发应用程序不稳定或拒绝服务。

CUPS 2.4.14：

CVE-2025-58060：在 CUPS（打印系统）中，当身份验证配置为“Basic”以外的方式时，系统可能会忽略“Basic”身份验证头并完全跳过密码验证，从而允许任何人绕过身份验证。

CVE-2025-58364：在 CUPS 中，对打印机配置数据的不安全处理和验证可能导致空指针错误，使整个本地网络中的打印服务崩溃（拒绝服务）。

Xen 4.20.1_04：

CVE-2025-27466：更新计时器引用区域时可能发生空指针解引用缺陷，潜在地导致虚拟机监控程序或客户机环境崩溃。

CVE-2025-58142：上述问题的一个变体，假设合成计时器页面始终被映射，这可能在传递计时器消息时导致空指针解引用，引发不稳定性。

CVE-2025-58143：存在一个竞争条件，可能让客户机触发对仍在使用中的内存的释放，导致信息泄露或内存损坏。

ImageMagick：

CVE-2025-57807：64 位系统上的该软件包存在一个的缺陷，可能导致程序在安全内存区域之外写入数据，从而引发崩溃或让攻击者有可能执行代码。

libssh 0.11.3：

CVE-2025-8114：存在空指针解引用问题，攻击者可借此导致客户端或服务器崩溃。

CVE-2025-8277：存在内存未正确释放的缺陷，可能导致内存逐渐耗尽并潜在引发崩溃。

7zip 25.01：

CVE-2025-53816：7-Zip 的 RAR5 处理器中存在堆缓冲区溢出问题，因在已分配堆缓冲区外写入零值所致，会导致内存损坏和拒绝服务（DoS）。

CVE-2025-53817：7-Zip 中存在一个相关安全问题（与 CVE-2025-53816 属于同一软件包），SUSE 的 7zip 更新中已对此进行修复。

libqt5-qtwebengine 5.15.19：

CVE-2024-10229：SUSE 的更新中修复了 libQt5Pdf 中的安全问题。

CVE-2024-10827：SUSE 的维护版本中修复了 libQt5Pdf 中的另一个漏洞。

CVE-2024-12694：同一 SUSE 安全更新中还包含了 libQt5Pdf 的又一个漏洞。

CVE-2025-0436：同样被列为 SUSE 安全公告中 libQt5Pdf 的问题之一。

CVE-2024-11477：包含在 SUSE 对 libQt5Pdf 的安全修复中。

CVE-2025-0996：Android 上 Chrome 浏览器界面（地址栏）中存在一个欺骗漏洞，精心设计的 HTML 页面可操纵 URL 栏。

CVE-2025-1426：如摘要所述，GPU 中存在堆缓冲区溢出问题，包含在 SUSE 的 libQt5Pdf 安全公告中。

tiff：

CVE-2025-8961：该工具中存在一个缺陷，可能允许本地用户破坏内存，潜在导致崩溃或不稳定。

Expat 2.7.2：

CVE-2025-59375：存在一个漏洞，一个小型的特制文档可能迫使解析器分配大量内存，潜在导致崩溃或拒绝服务。

Mozilla Firefox 143.0：

CVE-2025-10527：Firefox 的 Canvas2D 图形组件中存在一个使用后释放漏洞，可能允许沙箱内的代码突破限制并执行恶意操作。

CVE-2025-10528：同一图形区域（Canvas2D）中存在一个无效指针/未定义行为问题，同样可能导致沙箱突破。

CVE-2025-10529：浏览器布局代码中存在一个弱点，在特定条件下可能让页面违反同源限制（即读取或影响来自其他源的数据）。

CVE-2025-10530：Android 版 Firefox 的 WebAuthn（网页认证）组件中存在一个欺骗问题，攻击者可操纵用户界面或凭据行为。

CVE-2025-10531：Web 兼容性/工具方面存在缓解控制绕过问题，可能导致某些保护措施被跳过。

CVE-2025-10532：JavaScript 的垃圾回收边界存在错误，可能导致内存越界访问或破坏。

CVE-2025-10533：SVG 组件中存在一个整数溢出漏洞，在特定输入下可能导致内存破坏。

CVE-2025-10534：网站权限用户界面中存在一个欺骗问题，可能诱使界面显示误导性的权限状态。

CVE-2025-10535：Android 版 Firefox 的隐私组件中存在信息泄露/缓解措施绕过问题，可能导致数据泄露。

CVE-2025-10536：缓存/网络逻辑中存在一个缺陷，可能导致意外的数据暴露。

CVE-2025-10537：一系列内存安全漏洞（涉及多个组件），可能导致内存破坏或任意代码执行。

建议用户更新到最新版本以缓解这些漏洞。

总结

2025年9月对于 openSUSE Tumbleweed 而言是内容丰富的一个月。从 GNOME 49 和 KDE Gear 25.08.1 带来的重大桌面体验改进，到 Linux 内核、QEMU 等组件在底层的关键升级，本月的更新充分体现了 Tumbleweed 对提供可靠、经过充分测试的滚动发布版的承诺。建议用户及时更新，以充分享受这些改进带来的体验。

Slowroll 的更新

请注意，上述更新同样适用于 Slowroll 发行版，通常会在 Tumbleweed 快照发布后的 5 至 10 天 内推送。这一月度同步机制已稳定运行数月，能确保用户在获得可靠性的同时，也能及时接收功能与安全增强。Slowroll 的更新包会定期通过 openSUSE Factory 邮件列表 发布公告。

为 openSUSE Tumbleweed 做贡献

您可以通过订阅 openSUSE Factory 邮件列表 获取最新的快照更新信息。如果您希望参与贡献或深入技术讨论，该邮件列表是交流的核心平台。openSUSE 团队欢迎用户通过以下方式参与，包括提交错误报告、提出功能建议、参与社区讨论。

您的每一次反馈和贡献，都在帮助 Tumbleweed 变得更好。无论是报告错误、提出功能建议，还是参与社区讨论，您的参与都极具价值。

原文：Tumbleweed Monthly Update - September 2025，作者：Douglas DeMaio

社区用户正为 openSUSE Leap 的下一个长期版本做准备，与此同时，他们也在踊跃分享 openSUSE 等 Linux 发行版如何为其项目或兴趣提供支持。

像 Leap 16 这样的版本可用于航空追踪，这也是该发行版的多个应用场景之一。

一位 openSUSE 用户在 项目邮件列表 上写道：“我自 2018 年起就开始向 FlightRadar24 提供数据，几年前又开始向 OpenSky Network 和 Plane Finder 发送数据。我的监测平均距离约为 170 海里。”

该用户名为 Malcolm，他在密西西比三角洲地区将 openSUSE 用作这些高科技空中交通监测系统的核心支柱。

FlightRadar24、OpenSky Network 和 Plane Finder 会从全球各地的 ADS-B 接收器收集并共享实时航空器数据，用户可借此在交互式地图上追踪航班。

Malcolm 使用搭载 Intel Celeron J4125 处理器的迷你主机，搭配 26 英寸 ADS-B 天线、滤波器与放大器，并依托 openSUSE 的可靠性，每天能追踪超过 2,000 架航空器。

这套系统基于 x86_64 硬件运行，同时一台 Raspberry Pi 3 兼任 GPS 时间服务器，确保系统与本地网络保持同步。systemd 服务负责管理各追踪网络提供的各类软件包。Leap 版本的稳定性以及长期的维护与安全支持，使其成为用户部署和使用的理想发行版。

此类案例凸显了将影响 Leap 16 版本发布的各类应用场景。作为一款衔接社区驱动开发与企业级可用性的发行版，Leap 16 预计将服务于更广泛的使用场景。从物联网设备、实验室环境，到生产服务器及专业爱好者的定制化系统，Leap 16 标志着该发行版全新生命周期计划的开启。

openSUSE 项目成员正致力于展示人们如何使用 openSUSE，或计划如何采用 Leap 版本。若你有关于 Leap 16 的应用场景想要分享，可在 项目邮件列表 上发表评论。

用户还可通过 survey.opensuse.org 平台，就 Leap 16 版本的发布提供反馈意见。

原文：openSUSE Leap Ready for Liftoff，作者：Douglas DeMaio

CA / CS / JA / LT / SV / ES / ZH-TW

2025 年 10 月 1 日，openSUSE 项目成员非常荣幸地宣布 openSUSE Leap 16 正式发布。

作为我们固定发行版社区 Linux 系统的重要版本更新，该版本搭载了全新的软件栈，并引入了无可比拟的维护与安全支持周期、全新的安装程序以及简化的迁移选项。

“供应商和开发者应重点关注 Leap 以及 Leap Micro，并将其视为解决方案的目标平台，” 发行经理 Lubos Kocman 表示，“用户可免费获得 24 个月的维护与安全更新，目前没有其他社区发行版能提供如此长期的免费支持。”

作为社区支持的平台，Leap 16 将在未来数年推动开源领域的开发突破与实际应用解决方案的落地。该版本支持 2038 年安全标准，且默认禁用 32 位（ia32）支持。不过用户可手动启用该支持，进而通过仍依赖 32 位库的 Steam 平台畅玩游戏。此外，Leap 16 的硬件要求已更新：当前最低需支持 x86-64-v2 CPU 架构，这类架构的处理器通常是 2008 年及之后推出的产品。使用老旧硬件的用户可通过 迁移工具 切换至 Slowroll 或 Tumbleweed 版本。

Leap 16 以 SUSE Linux Enterprise Server（SLES） 为基础构建，整合了社区发行版与企业发行版的代码，实现了源码与二进制文件的一致性。用户可从 openSUSE Leap 16 无缝 迁移 至 SLES 16；开发者则可借助 openSUSE Leap 进行工作负载的创建、测试与运行，以便后续部署到 SLES 平台。

Leap 16 预装了全新的 Agama 安装程序，相比已废弃的基于 YaST 的安装程序，它能提供更现代化的设置体验。此外，Leap 16 还在包管理器 Zypper 中支持并行下载功能，可加快软件安装与更新速度。

此次重大版本更新也让迁移过程变得更简便。全新的 openSUSE 迁移工具 支持用户从 Leap 15 无缝升级至 Leap 16，同时也可迁移至 Slowroll、Tumbleweed 或 SLES 版本。

Leap 16 标志着全新生命周期计划的启动。除非项目方做出战略调整，否则预计将持续推出年度次要版本，直至 2031 年发布 Leap 16.6 版本；Leap 16 的后续版本则预计于 2032 年推出。该项目旗下的不可变服务器发行版 Leap Micro 也将采用相同的更新时间表。

此次发布的版本以 SELinux 作为 Linux 安全模块（LSM）。而 AppArmor 仍作为可选方案，用户可在安装完成后手动选择启用。Leap 中与 AppArmor 及 32 位支持相关的变更，为用户提供了一段过渡适应期。

随着自动化、容器化、系统工具和硬件加密的成熟，在未来十年Leap 16向最终版本演进的过程中，将会有更多的进步。

鼓励希望为 Leap 16 开发的人员参加每周一的功能评审会议。

Leap 16的已知错误可以在项目的维基页面上找到。

在 survey.opensuse.org 可上留下关于Leap 16发布的反馈。

原文：Next Chapter Opens with Leap 16 Release，作者：Release Team