Debian 项目宣布发布其稳定发行版 Debian 13（代号 trixie）的第七次点更新 13.7，发布时间为 2026 年 9 月 12 日。本次点更新主要修正安全问题，同时包含少量针对严重问题的调整。安全公告已单独发布，并在可用处给出引用。
需要说明的是，点更新并不构成 Debian 13 的新版本，只是更新了其中部分软件包。无需丢弃旧的 trixie 安装介质；安装完成后，可以通过一个最新的 Debian 镜像仓库把软件包升级到当前版本。
经常从 security.debian.org 安装更新的用户不需要再更新很多软件包，因为这类更新大多已经包含在点更新中。
新的安装镜像很快会在常规位置提供。
将现有安装升级到此修订版本，只需把包管理器指向 Debian 众多 HTTP 镜像仓库之一。完整的镜像列表见：
https://www.debian.org/mirror/list
其他缺陷修复
本次稳定版更新为以下软件包加入了若干重要修正：
| 软件包 | 原因 |
|---|---|
| akonadi-search | 修复空输入导致的崩溃 |
| alsa-lib | 修复堆溢出问题 [CVE-2026-25068] |
| ansible-core | 新的上游稳定版发布；修复任意代码注入问题 [CVE-2026-11332] |
| at-spi2-core | 修复 atkversion.h 头文件以支持 C++ 链接 |
| audit | 增加对 riscv64 架构的支持 |
| auto-apt-proxy | 防止 apt-helper 调用递归进入 auto-apt-proxy；等待网络在线 |
| awffull | 修复访问量/页面统计 |
| base-files | 针对点更新进行更新；向 common-licenses 添加 AGPL-3.0、Artistic-2.0、BSL-1.0、CC-BY-3.0、CC-BY-4.0、CC-BY-SA-3.0、CC-BY-SA-4.0、GFDL-1.1 和 OFL-1.1 |
| bash | 使用更新后的 glibc 重新构建 |
| bcg729 | 修复除零错误 |
| bettercap | 修复 mysql.server 模块通过特制客户端握手导致的远程 DoS [CVE-2026-8276]；默认不再安装 systemd 服务 |
| bglibs | 使用更新后的 glibc 重新构建 |
| binwalk | 修复路径遍历问题 [CVE-2026-7179] |
| busybox | 使用更新后的 glibc 重新构建 |
| catatonit | 使用更新后的 glibc 重新构建 |
| cdebootstrap | 使用更新后的 glibc 重新构建 |
| chkrootkit | 使用更新后的 glibc 重新构建 |
| cinnamon | 修复 spices（小程序、桌面小部件、扩展和主题）的下载与更新 |
| condor | 使用更新后的 glibc 重新构建 |
| curl | 修复 OpenSSL 引擎加载的返回值；移除导致测试失败的尾部空白 |
| cyrus-imapd | 允许在没有 WebSocket/wslay 的情况下使用 JMAP EventSource；修复访问检查不足问题 [CVE-2026-47084 CVE-2026-47086 CVE-2026-47087 CVE-2026-47081 CVE-2026-47089 CVE-2026-47085 CVE-2026-47083 CVE-2026-47082]；修复越界读取问题 [CVE-2026-47088] |
| dar | 使用更新后的 glibc 重新构建；使用更新后的 curl 重新构建；修复 glibc Built-Using 回归 |
| dcmtk | 修复拒绝服务问题 [CVE-2026-35505 CVE-2026-44628 CVE-2026-50254]；修复路径遍历问题 [CVE-2026-50003 CVE-2026-52868] |
| debian-edu-config | 新的上游稳定版发布 |
| debian-edu-install | 跳过 Icinga 2 IDO MySQL dbconfig 设置 |
| debian-installer | 将 linux ABI 提升到 6.12.107+deb13；为点更新重新构建 |
| debian-installer-netboot-images | 针对 proposed-updates 重新构建 |
| dhcpcd | 修复 IPv6 邻居发现选项解析，丢弃带零长度选项的通告 [CVE-2026-14258] |
| dnsmasq | 修复缓冲区溢出问题 [CVE-2026-12725]；修复越界读取问题 [CVE-2026-12969] |
| docker.io | 使用更新后的 glibc 重新构建 |
| flask | 确保在会话访问时设置 Vary: Cookie [CVE-2026-27205] |
| fluidsynth | 修复缓冲区溢出问题 [CVE-2026-58264 CVE-2026-61714] |
| glib2.0 | 修复越界访问问题 [CVE-2026-58010 CVE-2026-58011 CVE-2026-58012 CVE-2026-58013 CVE-2026-58014]；修复文件内容泄露问题 [CVE-2026-58015]；修复拒绝服务问题 [CVE-2026-15588]；修复整数下溢问题 [CVE-2026-58016]；修复越界写入问题 [CVE-2026-16118] |
| glibc | 修复缓冲区溢出/下溢问题 [CVE-2026-5928 CVE-2026-5450]；确保与 linux 7.0 头文件兼容 |
| gnupg2 | 使用更新后的 glibc 重新构建 |
| goaccess | 修复越界写入问题 [CVE-2026-54715]；修复拒绝服务问题 [CVE-2026-55768 CVE-2026-55777] |
| gpsd | 修复 gpsprof 命令以及 gnuplot 脚本生成中的代码注入 [CVE-2026-58459 CVE-2026-60122] |
| gzip | 修复不安全的临时文件处理问题 [CVE-2026-41991]；修复缓冲区溢出问题 [CVE-2026-41992] |
| imagemagick | 修复缓冲区溢出问题 [CVE-2026-56362 CVE-2026-56372 CVE-2026-56374 CVE-2026-61464]；修复内存泄露问题 [CVE-2026-56366 CVE-2026-56375 CVE-2026-61863 CVE-2026-61864 CVE-2026-61865 CVE-2026-61866 CVE-2026-61867 CVE-2026-61868 CVE-2026-61869 CVE-2026-61870 CVE-2026-61871 CVE-2026-61872]；修复释放后使用问题 [CVE-2026-56373 CVE-2026-61857 CVE-2026-61860 CVE-2026-61861]；修复拒绝服务问题 [CVE-2026-61465]；修复策略绕过问题 [CVE-2026-61858 CVE-2026-61859]；修复信息泄露问题 [CVE-2026-61862] |
| incus | 修复路径遍历问题 [CVE-2026-81500]；修复访问检查不足问题 [CVE-2026-81501] |
| integrit | 使用更新后的 glibc 重新构建 |
| libcap2 | 使用更新后的 glibc 重新构建 |
| libdatetime-timezone-perl | 更新到 Olson 2026c；加拿大艾伯塔省永久 -06；摩洛哥永久 00 |
| libdbd-csv-perl | 修复测试失败 |
| libhttp-tiny-perl | 修复 CRLF 校验问题 [CVE-2026-7010]；修复重定向时的凭据转发问题 [CVE-2026-7017] |
| libio-compress-perl | 修复头部解析问题 [CVE-2025-15649]；修复拒绝服务问题 [CVE-2026-48959]；修复 zipdetails 中的崩溃 [CVE-2026-48961]；修复代码执行问题 [CVE-2026-48962] |
| libmodule-cpants-analyse-perl | 修复与 Archive::Tar >= 3.08 的互操作性 |
| libmongocrypt | 修复缺少输入校验问题 [CVE-2026-81523] |
| libnet-cidr-set-perl | 修复 IPv4/IPv6 CIDR 解析校验 [CVE-2026-49940 CVE-2026-49941 CVE-2026-49942] |
| libnfs | 修复整数溢出 [CVE-2026-53689] |
| libraw | 修复越界读取问题 [CVE-2026-5342]；修复整数溢出问题 [CVE-2026-20884 CVE-2026-24450]；修复缓冲区溢出问题 [CVE-2026-20889 CVE-2026-21413 CVE-2026-24660] |
| libsdl2-image | 修复越界读取问题 [CVE-2026-35444]；提升解析器健壮性 |
| libsdl3-image | 修复越界读取问题 [CVE-2026-35444]；提升解析器健壮性 |
| libsocket-perl | 修复越界读取问题 [CVE-2026-12087] |
| libssh2 | 修复缓冲区溢出问题 [CVE-2026-58050 CVE-2026-66035 CVE-2026-58051]；修复双重释放问题 [CVE-2026-66032]；修复整数下溢问题 [CVE-2026-66033]；修复数据泄露问题 [CVE-2026-66034] |
| libvirt | 修复缓冲区溢出问题 [CVE-2026-18917]；修复记录注入问题 [CVE-2026-61477]；修复拒绝服务问题 [CVE-2026-61478]；修复权限提升问题 [CVE-2026-63622]；修复信息泄露问题 [CVE-2026-63623] |
| libwebsockets | 修复拒绝服务问题 [CVE-2026-10650]；修复越界写入问题 [CVE-2026-78161] |
| llvm-toolchain-22 | 新增软件包以支持 chromium 构建 |
| lua-geoip | 修复 geoip 降级后构建失败 |
| lwip | 修复 SNMPv3 认证缓冲区溢出 [CVE-2026-8836] |
| lxc | 修复内存泄露问题；修复使用当前版本 runc 运行嵌套容器的问题 |
| mbedtls | 修复签名算法注入问题 [CVE-2026-25834]；修复 PSA 随机数生成器克隆问题 [CVE-2026-25835]；修复校验不当问题 [CVE-2026-34872]；修复客户端冒充问题 [CVE-2026-34873]；修复空指针解引用问题 [CVE-2026-34874]；修复缓冲区溢出问题 [CVE-2026-34875]；修复校验绕过问题 [CVE-2026-34876] |
| milib | 处理未捕获的异常 |
| mongo-c-driver | 修复缺少输入校验问题 [CVE-2026-81524] |
| mrtg | 修复权限提升问题 [CVE-2026-72694] |
| node-lodash | 修复原型污染问题 [CVE-2025-13465 CVE-2025-13465]；在 _.template 中校验 imports 键 [CVE-2026-4800] |
| onionshare | 在禁用文件上传时阻止 Receive 模式写入文件 [CVE-2026-54707]；在没有文件上传时阻止创建空文件夹 [CVE-2026-54706] |
| opencryptoki | 修复权限提升问题 [CVE-2026-23893]；修复越界读取问题 [CVE-2026-40253] |
| openssl | 新的上游版本 |
| openvpn-dco-dkms | 修复对端拆除时的释放后使用 |
| org-roam | 添加缺失的 elpa-emacsql-sqlite 依赖 |
| patool | 修复路径遍历漏洞 [CVE-2026-29509] |
| pcre2 | 修复若干越界访问问题 |
| perl | 修复重定向时的凭据转发问题 [CVE-2026-7017]；修复符号链接提取问题 [CVE-2026-42496]；修复硬链接提取问题 [CVE-2026-42497]；修复越界读取问题 [CVE-2026-12087 CVE-2026-57432]；修复正则表达式匹配错误问题 [CVE-2026-13221]；修复头部解析问题 [CVE-2025-15649]；修复 CRLF 校验问题 [CVE-2026-7010]；修复缓冲区溢出问题 [CVE-2026-8376]；修复拒绝服务问题 [CVE-2026-48959]；修复 zipdetails 中的崩溃 [CVE-2026-48961]；修复代码执行问题 [CVE-2026-48962]；修复有符号整数溢出问题 [CVE-2026-57433] |
| php-guzzlehttp-psr7 | 修复 HTTP 起始行解析中的 CRLF 注入 [CVE-2026-55766] |
| proftpd-dfsg | 修复 SQL 注入问题 [CVE-2026-44331]；修复缓冲区溢出问题 [CVE-2026-53994 CVE-2026-63090]；修复整数溢出问题 [CVE-2026-63091] |
| pyasn1 | 修复拒绝服务问题 [CVE-2026-59884 CVE-2026-59885 CVE-2026-59886] |
| python-ecdsa | 防止处理截断 DER 时抛出异常 [CVE-2026-33936] |
| python3.13 | 修复 dict.clear() 处理内嵌值时的释放后使用，解决上一版本引入的回归；修复注入问题 [CVE-2026-0864]；修复文件覆盖问题 [CVE-2026-11940]；修复拒绝服务问题 [CVE-2026-11972 CVE-2026-6879]；修复 tar 文件中用户/组 ID 的处理错误 [CVE-2026-4360] |
| qemu | 新的上游稳定版发布；修复整数溢出问题 [CVE-2026-15264]；修复安全启动绕过 [CVE-2026-16288]；修复无限循环 [CVE-2026-16457]；修复缓冲区溢出问题 [CVE-2026-17516 CVE-2026-50626 CVE-2026-58581 CVE-2026-58582 CVE-2026-63110]；virtio-gpu：拒绝带有过短/截断控制头的请求 [CVE-2026-18054]；修复释放后使用问题 [CVE-2026-50624 CVE-2026-63322 CVE-2026-63323]；修复越界写入问题 [CVE-2026-61402]；hw/uefi：添加 post_load 检查 [CVE-2026-61404]；修复拒绝服务问题 [CVE-2026-61405 CVE-2026-61406]；修复内存泄露问题 [CVE-2026-61476]；修复越界读取问题 [CVE-2026-63109 CVE-2026-63320 CVE-2026-65928 CVE-2026-65929 CVE-2026-66021]；修复 9pfs 只读 O_TRUNC/O_APPEND 绕过问题 [CVE-2026-63318]；virtio：在 set_features_ex 中使用掩码后的特性 [CVE-2026-63321]；virtio-net：qemu_bh_new_guarded 使用了错误的 DeviceState，绕过 MMIO 重入保护 [CVE-2026-66022] |
| refpolicy | 启用 usbguard SELinux 策略并修复其限制；修复 PAM 登录记录、chromium 剪贴板、pulseaudio、systemd-nspawn/passwd-agent、dhcpc/ntp 以及 sympa 文件标记的 SELinux 策略 |
| rsyslog | 修复拒绝服务问题 [CVE-2026-19654]；omfwd 回归修复：避免输出错误的活跃目标变更日志消息；修复缓冲区溢出问题 [CVE-2026-78002 CVE-2026-61548] |
| rust-cbindgen-web | 新增软件包以支持浏览器构建 |
| rustc | 修复文档合并并修复 32 位 ARM 平台上的构建；修复 tar 头部处理和一个解包漏洞 [CVE-2026-33055 CVE-2026-33056]；修复 cargo 凭据泄露和缓存投毒 [CVE-2026-5222 CVE-2026-5223] |
| rustc-web | 新增软件包以支持浏览器构建 |
| samba | 新的上游稳定版发布 |
| sash | 使用更新后的 glibc 重新构建 |
| sbsigntool | 修复中间证书校验 |
| sg3-utils | 修复缺失的 sg_inq 输出字段 |
| snapd | 使用更新后的 glibc 重新构建 |
| socat | 修复缓冲区溢出问题 [CVE-2026-56123] |
| spip | 安全修复 |
| sqlite3 | 修复 FTS5 处理损坏记录的问题 [CVE-2026-11822 CVE-2026-11824] |
| squid | 修复越界读取问题 [CVE-2026-33515] |
| tini | 使用更新后的 glibc 重新构建 |
| transmission | 修复点击劫持问题 [CVE-2026-38978] |
| tripwire | 使用更新后的 glibc 重新构建 |
| tsocks | 使用更新后的 glibc 重新构建 |
| tzdata | 新的上游稳定版发布；更新艾伯塔省和摩洛哥的时区数据；更新闰秒数据 |
| u-boot | 修复 BOOTP/DHCP 缓冲区越界读取 [CVE-2024-42040]；修复 FIT 签名校验绕过 [CVE-2026-46728] |
| unixodbc | 修复 dlclose() 时的内存泄露 |
| user-mode-linux | 使用更新后的 linux 重新构建 |
| wolfssl | 修复摘要、MAC 和 AES-GCM 校验 [CVE-2026-5194 CVE-2026-6329 CVE-2026-6331 CVE-2026-55967]；修复 PKCS7 边界、溢出和证书处理 [CVE-2026-6094 CVE-2026-6678 CVE-2026-6681 CVE-2026-7511]；确保证书校验 [CVE-2026-55960 CVE-2026-55961 CVE-2026-6450 CVE-2026-6731]；修复 TLS 握手状态和算法 [CVE-2026-55962 CVE-2026-6092 CVE-2026-6325] |
| xapian-core | 修复缺失的转义 |
| xfsprogs | 避免在其他服务中记录不必要的权限拒绝日志 |
| zsh | 使用更新后的 glibc 重新构建 |
安全更新
本次修订为稳定发行版加入了以下安全更新。安全团队已为其中每一项更新发布了公告：
| 公告 ID | 软件包 |
|---|---|
| DSA-6381 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6382 | postfix |
| DSA-6383 | imagemagick |
| DSA-6385 | pgextwlist |
| DSA-6386 | opam |
| DSA-6387 | chromium |
| DSA-6388 | libxfont |
| DSA-6389 | ntfs-3g |
| DSA-6390 | chromium |
| DSA-6391 | roundcube |
| DSA-6392 | tiff |
| DSA-6393 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6394 | firefox-esr |
| DSA-6395 | bind9 |
| DSA-6396 | chromium |
| DSA-6397 | pdns-recursor |
| DSA-6398 | webkit2gtk |
| DSA-6399 | wordpress |
| DSA-6400 | exim4 |
| DSA-6401 | samba |
| DSA-6402 | hplip |
| DSA-6403 | nss |
| DSA-6404 | expat |
| DSA-6405 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6406 | php8.4 |
| DSA-6407 | incus |
| DSA-6409 | libgd2 |
| DSA-6410 | libssh |
| DSA-6411 | aom |
| DSA-6413 | libde265 |
| DSA-6414 | udisks2 |
| DSA-6415 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6416 | jq |
| DSA-6417 | libheif |
| DSA-6419 | dnsdist |
| DSA-6420 | pdns |
| DSA-6421 | pdns-recursor |
| DSA-6423 | kitty |
| DSA-6424 | xen |
| DSA-6425 | openjdk-21 |
| DSA-6427 | wordpress |
| DSA-6428 | libyaml-syck-perl |
| DSA-6429 | caddy |
| DSA-6430 | postfix |
| DSA-6432 | flatpak |
| DSA-6433 | xdg-dbus-proxy |
| DSA-6434 | lemonldap-ng |
| DSA-6435 | spip |
| DSA-6437 | apr-util |
| DSA-6438 | postgresql-17 |
| DSA-6439 | zip |
| DSA-6440 | unzip |
| DSA-6441 | python-httplib2 |
| DSA-6442 | util-linux |
| DSA-6443 | docker.io |
| DSA-6444 | neutron |
| DSA-6445 | ironic |
| DSA-6446 | expat |
| DSA-6447 | librabbitmq |
| DSA-6448 | spip |
| DSA-6449 | swift |
| DSA-6450 | srt |
| DSA-6451 | firefox-esr |
| DSA-6452 | designate |
| DSA-6453 | libgit2 |
| DSA-6454 | sabnzbdplus |
| DSA-6456 | spip |
| DSA-6457 | openjdk-21 |
| DSA-6458 | gst-plugins-bad1.0 |
| DSA-6459 | libnet-dns-perl |
| DSA-6460 | openjdk-25 |
| DSA-6462 | zfs-linux |
| DSA-6463 | webkit2gtk |
| DSA-6464 | erlang |
| DSA-6465 | openssl |
| DSA-6466 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6467 | freecad |
| DSA-6468 | emacs |
| DSA-6469 | xrdp |
| DSA-6470 | gimp |
| DSA-6471 | wireshark |
| DSA-6472 | bubblewrap |
| DSA-6473 | libdbi-perl |
| DSA-6474 | cockpit |
| DSA-6475 | suricata-update |
| DSA-6477 | linux-signed-amd64、linux-signed-arm64、linux |
| DSA-6478 | starlette |
| DSA-6479 | roundcube |
| DSA-6480 | keystone |
| DSA-6481 | firefox-esr |
| DSA-6485 | tryton-modules-company、tryton-modules-marketing-automation、tryton-modules-marketing-email、tryton-server |
| DSA-6486 | libde265 |
Debian 安装器
安装器已更新，以包含点更新合入稳定版的修复。
相关链接
本次修订中发生变更的软件包完整列表：
https://deb.debian.org/debian/dists/trixie/ChangeLog
当前稳定发行版：
https://deb.debian.org/debian/dists/stable/
稳定发行版的拟议更新：
https://deb.debian.org/debian/dists/proposed-updates
稳定发行版信息（发行说明、勘误等）：
https://www.debian.org/releases/stable/
安全公告与信息：
https://www.debian.org/security/
关于 Debian
Debian 项目是由自由软件开发者组成的协会，他们志愿投入时间和精力，以制作完全自由的 Debian 操作系统。
联系信息
如需了解更多信息，请访问 Debian 网页 https://www.debian.org/，发送邮件至 [email protected]，或通过 [email protected] 联系稳定版发布团队。
