Debian 13.6 发布

2026 年 7 月 11 日

Debian 项目宣布其稳定发行版 Debian 13（代号 trixie）的第六次更新。此小版本发布主要增加了安全问题的修正，以及一些针对严重问题的调整。安全公告已单独发布，并在可用处提供了引用。

请注意，此小版本发布并不构成 Debian 13 的新版本，仅更新了其中包含的部分软件包。无需丢弃旧的 trixie 介质。安装后，可以使用最新的 Debian 镜像将软件包升级到当前版本。

那些经常从 security.debian.org 安装更新的用户无需更新太多软件包，并且此类更新大多已包含在此小版本发布中。

新的安装镜像将很快在常规位置提供。

将现有安装升级到此修订版，可以通过将软件包管理系统指向 Debian 的众多 HTTP 镜像之一来实现。镜像的完整列表可在以下地址获取：

https://www.debian.org/mirror/list

值得关注的更新

fwupd 和安全启动 CA 过期

fwupd 已更新至上游版本 2.0.20，该版本能够更新安全启动证书颁发机构 (CA)、密钥交换密钥 (KEK) 和吊销 (DBX) 数据库。

大多数 PC 上默认安装并用于签署引导加载程序的 2013 UEFI 安全启动 CA 现已过期。因此，未来对 shim-signed 的更新可能导致系统在启用安全启动的情况下无法引导。

强烈建议用户按照以下指南，从系统 OEM 处应用 CA、KEK 和 DBX 更新：

https://wiki.debian.org/SecureBoot/CAChanges#What_should_I_do.3F

geoip-database 回退

由于许可原因，geoip-database 已回退到大约 2019 年 12 月的版本。因此，使用此数据库的应用程序可能会使用过时的分配信息。

较新版本的 geoip-database (GeoLite) 与 Debian 自由软件指南不兼容，因此无法分发。

强烈建议此数据的消费者直接获取 GeoLite 许可，并停止依赖 geoip-database 软件包。

杂项错误修复

此稳定更新为以下软件包添加了一些重要的修正：

软件包 原因
apache2 修复释放后使用问题 [CVE-2026-29167 CVE-2026-48913]；修复跨站脚本问题 [CVE-2026-29170]；修复缓冲区溢出问题 [CVE-2026-34355 CVE-2026-34356 CVE-2026-42536]；修复拒绝服务问题 [CVE-2026-42535 CVE-2026-44186 CVE-2026-49975]；修复越界读取问题 [CVE-2026-43951 CVE-2026-44185]；修复文件读取问题 [CVE-2026-44119]；修复缓冲区欠写问题 [CVE-2026-44631]
archlinux-keyring 更新密钥
awstats 防止在关键字统计时冻结
base-files 为此小版本发布更新
beets 修复 XSS 漏洞 [CVE-2026-42052]
calibre 修复不安全的电子书提取和资源路径处理 [CVE-2026-30853 CVE-2026-33206]；防止电子书查看器本地文件读取和 SSRF/数据泄露 [CVE-2026-33205]；避免不安全的目录规则评估；修正 XPath 和 SQL 查询处理；修复 reader-backend 端点路径规范化；改进异常诊断
cdebootstrap 使用更新的 xz-utils 重建
chrony 确保 if-up/down 钩子脚本成功退出
ckermit 默认阻止远程控制本地 kermit [CVE-2025-68920]；禁用不必要的 OpenSSL 版本检查
composer 修复对新 GitHub 令牌格式的支持 [CVE-2026-45793]
courier 修复 webadmin 中指向 imapd 和 imapd-ssl 的路径
curl 修复 bearer 令牌重定向泄露 [CVE-2025-14524 CVE-2026-3783]；修正 OpenSSL CA 缓存重用 [CVE-2025-14819]；修复 HTTP Negotiate 和代理连接重用 [CVE-2026-1965 CVE-2026-3784 CVE-2026-5545]；防止明文 STARTTLS 连接重用 [CVE-2026-4873]；修复 SMB 释放后使用和错误共享重用 [CVE-2026-3805 CVE-2026-5773]；清除重定向的主机/代理/netrc 凭据 [CVE-2026-6253 CVE-2026-6429]；防止陈旧 cookie 泄露 [CVE-2026-6276]；切换代理时清除代理 Digest 状态 [CVE-2026-7168]
dar 使用更新的 curl、libgcrypt20、openssl 重建
dcmtk 修复空指针解引用问题 [CVE-2022-4981 CVE-2025-14841]；修复内存损坏问题 [CVE-2025-2357 CVE-2025-9732 CVE-2025-14607]；修复命令注入问题 [CVE-2026-5663]；修复缓冲区溢出问题 [CVE-2026-10194 CVE-2026-12805]
debian-installer 提升 linux ABI 至 6.12.94+deb13；为小版本发布重建
debian-installer-netboot-images 从提议的更新重建
debusine 强制文件上传权限；限制工件关系创建/删除 [CVE-2026-11852]；强化 sbuild 仓库命令引用；拒绝不安全的 .dsc/.changes 校验和路径 [CVE-2026-11853]
deepdiff 修复类污染问题 [CVE-2025-58367]；修复拒绝服务问题 [CVE-2026-33155]
dhcpcd 修复内存安全问题 [CVE-2025-70102 CVE-2026-56113 CVE-2026-56114]；修复 IPv6 路由器通告信息泄露 [CVE-2026-56116]；修正控制套接字生命周期处理 [CVE-2026-56117]
distrobuilder 使用更新的 incus 重建
dolphin 修复沙箱逃逸问题 [CVE-2026-41525]
errands 修复对 CalDAV 服务器的 TLS 证书验证 [CVE-2025-71063]
execnet 禁用不可靠的构建时测试
fldigi 强制 LC_NUMERIC=C.UTF-8 以在 API 和 ADIF 日志文件中使用正确的小数分隔符
freecad 修复 fanuc 后处理器；修复在 arm64 上的构建失败
fwupd 为 2026 安全启动证书过渡启用 UEFI CA/db/KEK 更新；修复 UEFI PK/KEK/dbx 枚举；修复 Thunderbolt 控制器部署；修正固件更新回归；更新 fwupd 硬件支持和测试
gambas3 修复 Qt 组件加载
gdown 修复任意文件写入问题 [CVE-2026-40491]
geoip 恢复生成器脚本，geoip-database 依赖于此
geoip-database 回退到符合 DFSG 的版本
giflib 修复内存损坏问题 [CVE-2026-23868 CVE-2026-26740]
gimp 修复整数溢出问题 [CVE-2026-4154 CVE-2026-40915]
gnupg2 使用更新的 libgcrypt20 重建
gnustep-sqlclient 移除 Multi-Arch: same
graphite2 修复越界写入 [CVE-2026-50593]
horizon 修复项目中特殊字符的转义
ironic 修复来自配置模板的凭据转发 [CVE-2026-42997]；修复 IPMI 控制台命令注入 [CVE-2026-42510]；沙箱化 kickstart 模板渲染 [CVE-2026-44916]；防止来自文件特殊设备的 conductor 线程耗尽 [CVE-2026-44919]；限制不安全的文件镜像路径；改进镜像下载验证和校验和；修正 Redfish 电源、启动和固件工作流；修复检查规则验证和钩子失败；避免服务/部署状态卡住
isc-kea 修复拒绝服务问题 [CVE-2026-3608]
isenkram 处理 usr-merge 迁移中的 update-fw-list；更新生成的固件列表
keystone 修复 user_enabled_invert 的行为 [CVE-2026-40683]；防止未经授权的 EC2 凭据创建和删除 [CVE-2026-33551]
libapache-session-browseable-perl 改进熵源 [CVE-2026-8503]
libass 修复越界读取和写入问题
libbytes-random-secure-perl 修复 PRNG 中种子的错误使用 [CVE-2026-11625]
libcaca 防止溢出检查中的未定义行为 [CVE-2026-42046]
libcrypt-pbkdf2-perl 将默认哈希算法更改为 HMAC-SHA256，默认迭代次数更改为 600,000 [CVE-2026-9641]；使用 Crypt::URandom 生成盐 [CVE-2026-9638]；在 validate 中使用常量时间比较以避免时序攻击 [CVE-2017-20240]
libcrypt-urandom-perl 修复缓冲区溢出问题 [CVE-2026-2474]
libhtml-parser-perl 修复 _decode_entities 中的堆释放后使用 [CVE-2026-8829]
libnet-cidr-lite-perl 修复 IP/CIDR 解析器验证：拒绝非 ASCII 数字和尾随换行符 [CVE-2026-55190]；拒绝零填充的 CIDR 掩码 [CVE-2026-45191]
libreoffice 优雅处理 graphite2 中的失败
libslirp 修复内存泄露问题 [CVE-2026-9539]
libtasn1-6 修复缓冲区溢出问题 [CVE-2025-13151]
libvncserver 修复缓冲区溢出和越界写入 [CVE-2026-44988 CVE-2026-50538]
libxml-libxml-perl 修复越界读取 [CVE-2026-8177]
libxml2 修复 RelaxNG 包含递归限制 [CVE-2026-0989]；防止 XML 和 SGML 目录递归/资源耗尽 [CVE-2025-8732 CVE-2026-0990 CVE-2026-0992]；修复 xmllint shell 内存泄漏 [CVE-2026-1757]；修正 XML writer 和 Schematron 错误路径泄漏；避免 RelaxNG 验证释放后使用；更新回归测试
libxpm 修复越界读取问题 [CVE-2026-4367]
linuxcnc 清理模块名称
lxml-html-clean 修复过滤器绕过问题 [CVE-2026-28348]；修复标签注入问题 [CVE-2026-28350]
mesa 修复 WebGPU/SPIR-V 分配处理 [CVE-2026-40393]
miniupnpd 修复整数下溢问题 [CVE-2026-5720]
modsecurity 防止 hexDecode 处理中的拒绝服务 [CVE-2026-30923]；防止 SSN/CPF/SVNR 验证中的拒绝服务 [CVE-2026-42268]
mutt 修复缓冲区截断问题 [CVE-2026-43859 CVE-2026-43860 CVE-2026-43861]；修复对 imap_auth_gss 安全级别的错误处理 [CVE-2026-43862]；修复拒绝服务问题 [CVE-2026-43863]；修复空指针解引用问题 [CVE-2026-43864]
mxml 修复越界读取 [CVE-2026-5037]
nbconvert 修复任意文件读取/写入问题 [CVE-2026-39377 CVE-2026-39378]
neutron 修复标记策略绕过
nss 改进对 pk11uri_ParseAttributes 中转义序列的处理 [CVE-2026-12318]
ojalgo 减少构建时测试失败的频率
opencc 修复越界读取问题 [CVE-2025-15536]
openslide 修复可能的代码执行问题 [CVE-2026-48977]
php-guzzlehttp-psr7 修复 Host 权威验证 [CVE-2026-48998]；拒绝 URI 主机中的控制字符 [CVE-2026-49214]；强化 ServerRequest 全局变量处理；规范化全局标头值；在查询帮助程序中编码字面加号
php-league-csv 修复 PHP >=8.4.14 时的构建时测试
php-twig 安全更新
pillow 针对 CVE-2026-42310 的后续修复
poco 修复段错误 [CVE-2025-6375]
poetry 修复任意文件写入问题 [CVE-2026-34591]
poppler 修复无效签名创建问题
postfix 新的上游稳定版本；修复拒绝服务问题 [CVE-2026-43964]；在升级期间保持守护进程运行
protobuf 修复解析器递归限制 [CVE-2024-7254 CVE-2025-4565 CVE-2026-0994 CVE-2026-6409]
psd-tools 修复拒绝服务问题 [CVE-2026-27809]
pupnp 修复 SSRF 端口混淆问题 [CVE-2026-41682]
pymdown-extensions 修复基于正则表达式的拒绝服务问题 [CVE-2025-68142]
pyopenssl 修复异常处理和连接取消 [CVE-2026-27448]；修复 DTLS cookie 回调中的缓冲区溢出 [CVE-2026-27459]
pytest-httpbin 禁用不可靠的构建时测试
python-daphne 修复拒绝服务问题 [CVE-2026-44545]；修复标头注入问题 [CVE-2026-44546]
python-django 更新测试套件以跟随 python3.13 的变化
python-dynaconf 修复服务器端模板注入问题 [CVE-2026-33154]
python-grpc-tools 修复 command.build_package_protos 中的 TypeError
python-handy-archives 修复 Zip64 的中央目录定位器结尾
python-idna 修复拒绝服务问题 [CVE-2026-45409]
python-iniparse 修复构建时测试中的竞态条件
python-jwcrypto 修复拒绝服务问题 [CVE-2026-39373]
python-markdown 适应 Python 的 html.parser 模块的变化
python-marshmallow 修复拒绝服务问题 [CVE-2025-68480]
python-memray 修复跨站脚本问题 [CVE-2026-32722]
python-virtualenv 修复检查时间/使用时间问题 [CVE-2026-22702]
python-webob 修复开放重定向问题 [CVE-2026-44889]
python-xmltodict 修复 XML 注入问题 [CVE-2025-9375]
python3.13 修复 SSL 对象消失时 SNI 回调中的崩溃；修复 ssl.SSLContext 对象中的引用泄漏；避免在共享 dict 时过早垃圾回收对象；修复 HTTP 客户端代理隧道标头或主机未拒绝 CR/LF 字节的问题 [CVE-2026-1502]；修复拒绝服务问题 [CVE-2026-3276 CVE-2026-9669]；修复转义不足问题 [CVE-2026-6019]；修复路径遍历问题 [CVE-2026-7774]；修复服务器端请求伪造问题 [CVE-2026-8328]
qemu 新的上游稳定版本；安全修复 [CVE-2024-6519 CVE-2026-2243 CVE-2026-3195 CVE-2026-3196 CVE-2026-3842 CVE-2026-3886 CVE-2026-3890 CVE-2026-41435 CVE-2026-41436 CVE-2026-41437 CVE-2026-41438 CVE-2026-41439 CVE-2026-41440 CVE-2026-5744 CVE-2026-5761 CVE-2026-5763 CVE-2026-6502 CVE-2026-8341 CVE-2026-48002 CVE-2026-48003 CVE-2026-48004 CVE-2026-48914 CVE-2026-48915 CVE-2026-6425 CVE-2026-8343]
qtmir 修复 Lomiri 渲染、缩放、焦点处理和会话崩溃问题；修正陈旧窗口和死表面清理；确保 Xwayland 应用程序继承 DISPLAY；改进 Asahi Linux 渲染提供程序选择
rauc 修复大包的不当签名 [CVE-2026-34155]
resource-agents 修复语法错误
rhino 修复拒绝服务问题 [CVE-2025-66453]
rlottie 修复越界读取问题 [CVE-2026-10305]；修复拒绝服务问题 [CVE-2026-47319 CVE-2026-47320]
rsync 拒绝过长的 HTTP 代理响应行 [CVE-2026-45232]
rtl-433 修复缓冲区溢出问题 [CVE-2025-34450]
ruby-css-parser 修复对远程 CSS 的 HTTPS 证书验证 [CVE-2026-44312]
rust-time 修复拒绝服务 [CVE-2026-25727]
samba 新的上游稳定版本
shim 新的上游版本；使用默认 gcc 构建；将 SBAT 吊销级别设置为 2025021800
shim-helpers-amd64-signed 更新至 shim 16.1-2~deb13u1
shim-helpers-arm64-signed 更新至 shim 16.1-2~deb13u1
shim-signed 确保与 2023 Microsoft UEFI CA 的安全启动兼容性；在安装前检查可能的启动问题；合并并验证多个 shim 签名；更新已签名的 shim 二进制文件
skanpage 修复数据泄露问题 [CVE-2025-55174]
smartdns 修复缓冲区溢出问题 [CVE-2026-1425]
squirrel3 修复沙箱逃逸 [CVE-2021-41556]
sshfs-fuse 添加 contain_symlinks 选项以防止符号链接逃逸攻击 [CVE-2026-47187]；拒绝通过括号括起来的挂载源进行主机名选项注入 [CVE-2026-48711]
starman 修复请求走私问题 [CVE-2026-40560]
symfony 安全更新
tigervnc 防止其他用户读取 x0vncserver 屏幕 [CVE-2026-34352]
user-mode-linux 使用更新的 linux 重建
vitrage 修复远程代码执行漏洞 [CVE-2026-28370]
wireless-regdb 新的上游稳定版本；更新多个国家的监管信息
wireshark 新的上游稳定版本；修复拒绝服务问题 [CVE-2026-9759]
xz-utils 修复缓冲区溢出问题 [CVE-2026-34743]

安全更新

此修订版为稳定版本添加了以下安全更新。安全团队已为这些更新中的每一个发布了公告：

公告 ID 软件包
DSA-6250 chromium
DSA-6256 php8.4
DSA-6266 nghttp2
DSA-6267 thunderbird
DSA-6268 ffmpeg
DSA-6270 postgresql-17
DSA-6271 gsasl
DSA-6273 chromium
DSA-6274 linux-signed-amd64, linux-signed-arm64, linux
DSA-6277 openjpeg2
DSA-6278 nginx
DSA-6279 redis
DSA-6280 netatalk
DSA-6281 gnutls28
DSA-6282 rsync
DSA-6283 firefox-esr
DSA-6284 pdns
DSA-6285 bind9
DSA-6286 evince
DSA-6287 chromium
DSA-6288 thunderbird
DSA-6289 openvpn
DSA-6290 nss
DSA-6291 haproxy
DSA-6292 haveged
DSA-6293 krb5
DSA-6294 libgcrypt20
DSA-6295 linux-signed-amd64, linux-signed-arm64, linux
DSA-6296 spip
DSA-6297 samba
DSA-6298 imagemagick
DSA-6299 kdenlive
DSA-6300 node-shell-quote
DSA-6301 roundcube
DSA-6302 starlette
DSA-6303 varnish
DSA-6304 unbound
DSA-6305 linux-signed-amd64, linux-signed-arm64, linux
DSA-6307 kitty
DSA-6308 nagios4
DSA-6309 exim4
DSA-6311 php-twig
DSA-6312 symfony
DSA-6313 dovecot
DSA-6314 swift
DSA-6315 cyborg
DSA-6316 chromium
DSA-6318 gst-plugins-good1.0
DSA-6319 yelp
DSA-6321 ceph
DSA-6322 frr
DSA-6323 apache2
DSA-6324 request-tracker5
DSA-6325 chromium
DSA-6326 nginx
DSA-6328 tomcat10
DSA-6329 tomcat11
DSA-6330 strongswan
DSA-6331 keystone
DSA-6332 okular
DSA-6333 mistral
DSA-6334 poppler
DSA-6335 openssl
DSA-6336 jackson-core, jackson-databind, jackson-dataformat-smile
DSA-6337 chromium
DSA-6338 libdbi-perl
DSA-6339 libinput
DSA-6340 neutron
DSA-6341 ironic, python-oslo.messaging
DSA-6342 jpeg-xl
DSA-6343 librabbitmq
DSA-6344 chromium
DSA-6345 libgd-perl
DSA-6346 libreoffice
DSA-6347 bird2
DSA-6348 gsasl
DSA-6349 atril
DSA-6350 firefox-esr
DSA-6351 thunderbird
DSA-6352 chromium
DSA-6353 gst-libav1.0
DSA-6354 libconfig-inifiles-perl
DSA-6355 linux-signed-amd64, linux-signed-arm64, linux
DSA-6356 imagemagick
DSA-6357 pillow
DSA-6358 libhttp-daemon-perl
DSA-6359 gst-plugins-good1.0
DSA-6360 squid
DSA-6361 ffmpeg
DSA-6362 gst-plugins-bad1.0
DSA-6363 python-urllib3
DSA-6364 chromium
DSA-6365 libssh2
DSA-6366 sogo
DSA-6367 dnsdist
DSA-6368 pdns
DSA-6369 pdns-recursor
DSA-6370 incus
DSA-6371 xorg-server
DSA-6372 tor
DSA-6373 lxd
DSA-6374 nginx
DSA-6375 fastnetmon
DSA-6376 openvpn
DSA-6377 php8.4
DSA-6378 chromium
DSA-6379 bird3
DSA-6380 mediawiki
DSA-6384 chromium

Debian 安装程序

安装程序已更新，包含了此小版本发布中纳入稳定版的修复。

链接

此修订版中已更改的软件包的完整列表：

https://deb.debian.org/debian/dists/trixie/ChangeLog

当前的稳定发行版：

https://deb.debian.org/debian/dists/stable/

对稳定发行版的提议更新：

https://deb.debian.org/debian/dists/proposed-updates

稳定发行版信息（发布说明、勘误等）：

https://www.debian.org/releases/stable/

安全公告和信息：

https://www.debian.org/security/

关于 Debian

Debian 项目是一个自由软件开发者的协会，他们自愿投入时间和精力，以生产完全自由的操作系统 Debian。

联系方式

如需更多信息，请访问 Debian 网页 https://www.debian.org/，发送邮件至 <[email protected]>，或联系稳定版发布团队 <[email protected]>。