AUR 大量孤儿包被投毒

近日，有大量 AUR 孤儿包被多名新注册用户接管，并增加 npm 依赖、在安装时通过安装脚本（.install）或者 pacman hook 执行 # npm install atomic-lockfile 操作以运行恶意代码。该 atomic-lockfile 包亦是于近日上传至 npm registry。

一旦安装有问题的软件包，恶意代码将以 root 权限安装并运行，收集至少包括浏览器、Shell 命令历史记录、各种应用程序中的凭据等信息，并将其上传。恶意代码也会利用 ebpf 程序隐藏自身。建议受影响的用户重装系统并重置所有网络账户密码和各类密钥、凭据。

如果 pacman.log 表明未曾安装过 npm、或者在多天以前已经卸载 npm，则应当未受影响。

用户从 AUR 安装软件时请注意审阅构建脚本。另外及时卸载从官方仓库移出的、不再需要的依赖包，比如 libgdata。

另：[archlinuxcn] 仓库中的包未受影响。感谢 chaotic-aur 的通知。

aur-general 邮件列表的相关讨论之一： https://lists.archlinux.org/archives/list/[email protected]/thread/FGXPCB3ZVCJIV7FX323SBAX2JHYB7ZS4/
一份供参考的分析报告： https://ioctl.fail/preliminary-analysis-of-aur-malware/

涉事的 npm 包已经被清除，但相似的投毒仍在进行，现在使用的依赖包是 bun。

正在进行中的 AUR 软件包投毒事件

目前，Arch 用户软件仓库（AUR）中出现了大量恶意的软件包被接管和更新的情况。
我们正在积极追踪现有的恶意提交，并努力阻止新的恶意提交被推送。在此期间，在更永久的解决方案出台之前，用户可能会在以下方面遇到问题：
■在 AUR 上创建新账户
■推送软件包更新
■接管或创建新软件包
我们继续建议所有 AUR 软件包的用户在更新时仔细审查所有的 PKGBUILD 和安装脚本变更，特别是在这段时期。如果您发现正在使用的软件包有可疑的提交，请通过 aur-general 邮件列表联系 Arch 团队并提供更多信息。

https://www.archlinuxcn.org/active-aur-malicious-packages-incident/

使用 amdgpu 与 linux 包的用户可能在近期遇到 mpv 卡死的情况，具体来说是当 mpv 配置了 vo=gpu-next 时，在使用 mpv 播放视频后一定概率会很快出现“窗口无响应”，并且 mpv 进程陷入 D 状态，运行 dmesg | grep --after-context=4 "#PF" 能看到类似以下内容的输出：

#PF: error_code(0x0000) - not-present page
Oops: Oops: 0000 [#1] SMP NOPTI
CPU: 4 UID: 0 PID: 100 Comm: kcompactd0 Not tainted 7.1.1-2-cachyos #1 PREEMPT(full)
RIP: 0010:amdgpu_hmm_invalidate_gfx+0x22/0xb0 [amdgpu]

除此以外，浏览器也可能突然出现上面的情况。该问题已有报告。受影响的用户可先暂时回滚到旧版本的内核，或切换到 linux-lts，也可以暂时切换到 archlinuxcn 仓库的 linux-lily（>= 7.1.3-2）。

linux 7.1.4.arch1-1 已经包含此补丁。

virtualbox-ext-vnc >= 7.2.12-2 升级需要手动干预

之前我们安装该软件包内容的方式会导致 pacman 没有跟踪部分文件（即在安装脚本中使用 VBoxManage extpack install ... 进行安装）。为了解决系统升级过程中遇到的问题，你可以选择以下任意一种方法进行处理：
■ 在升级系统前先卸载 virtualbox-ext-vnc，升级完成后重新安装它。
■ 在升级系统前，以 root 权限运行 VBoxManage extpack uninstall 'VNC' 命令。
■ 指示 pacman 本次升级覆盖已有文件：

pacman -Syu --overwrite '/usr/lib/virtualbox/ExtensionPacks/VNC/*'

https://www.archlinuxcn.org/virtualbox-ext-vnc-7212-2-requires-manual-intervention/

AUR 正遭遇新一轮投毒攻击。已知的投毒方式是在包中添加一个可执行文件（如配图所示），并在 PKGBUILD 中以 root 权限执行。

目前还没有官方通报，但可能有上百软件包被投毒。看起来官方正在清理被投毒的包，并暂时禁止了接管孤儿包（package adoption）。

更新 openssh 后 sshd 需要手动重启

由于打包变化叠加上游变化，openssh 更新到 10.4p1-3 后有可能不会自动重启、并且无法接受新的连接。请最近更新服务器时记得手动重启 sshd 服务。

www.archlinuxcn.org 、 wiki.archlinuxcn.org 、 forum.archlinuxcn.org 及邮件服务正在维护。

wiki.archlinuxcn.org 、 forum.archlinuxcn.org 和邮件服务已经恢复。

www.archlinuxcn.org 也已于夜里恢复服务。此次维护所有中断服务均已恢复。

AMD 显卡用户谨慎升级 linux-firmware-amdgpu 20260910-1。有多位用户报告该版本固件导致了启动问题。

AMD 显卡的 KDE 用户谨慎升级 ddcutil 3.0.0-1。有多位用户报告该版本在 KDE 上会导致显卡出现问题。

https://gitlab.archlinux.org/archlinux/packaging/packages/linux-firmware/-/work_items/52
https://github.com/rockowitz/ddcutil/issues/629

ddcutil 3.0.1-1 已修复后一个问题。

linux-firmware-amdgpu 20260910-2 已修复前一个问题。

mkinitcpio >= 42 更新在基于TPM2解锁LUKS的设备上可能需要手动干预

从包版本 42-1 起，mkinitcpio 的 systemd 挂钩现在也包括了 systemd-pcrosseparator.service 服务（按照 systemd v261 的计划）。
这会影响 PCR 值 0-7、9 和 12-14 的测量。如果您配置了 systemd 钩子，并且使用的 LUKS 分区解锁依赖于这些值，您需要重新 enroll 所使用的 TPM2。
如需指导，当使用固定值时，请参考 systemd-cryptenroll(1)，或 ArchWiki 上的 systemd-cryptenroll 文章。当依赖自定义策略并禁用了 systemd-pcrlock-make-policy.service 时，请参考 systemd-pcrlock(8)。

https://www.archlinuxcn.org/mkinitcpio-42-requires-manual-intervention-for-tpm2-based-unlocking-of-luks-devices/

eMudhra 中间证书泄露，请尽快更新/处置。
PHP 被发现严重远程代码执行漏洞，请准备好今晚更新。

Arch Linux 已更新 php 8.5.12-1。

升级到 php ≥ 8.5.12 和/或 php-legacy ≥ 8.3.36 以避免远程代码执行漏洞

PHP在版本号 8.5.12 和 8.3.36 之前的版本存在 CVE-2026-109618 和 CVE-2026-109619 漏洞，可导致远程代码执行。
我们强烈建议任何用之前版本的PHP公开暴露PHP程序的系统都尽快升级到最新版本（php ≥ 8.5.12 和 php-legacy ≥ 8.3.36）。

https://www.archlinuxcn.org/update-to-php-8512-andor-php-legacy-8336-to-prevent-remote-code-execution/

更新到 ca-certificates-mozilla ≥ 3.131.1-1 以避免中间人攻击

在2026年10月20日，已表明eMudhra中间CA提供的多个证书已遭破解。
受影响的证书已经在 ca-certificates-mozilla ≥ 3.131.1-1 中删除或吊销。
若不更新证书包，系统将面临被中间人（MitM）攻击的风险。因此，我们强烈建议所有人立即升级系统。

https://www.archlinuxcn.org/update-to-ca-certificates-mozilla-31311-1-to-prevent-man-in-the-middle-attacks/

openssl 4 已经进入软件仓库

本次大版本变更涉及 soname 变化（libssl.so.3 → libssl.so.4, libcrypto.so.3 → libcrypto.so.4），所有依赖它的软件包需要重新编译，包括 AUR helper。请勿部分更新系统。如果系统更新后遇到不能找到 libssl.so.3 或 libcrypto.so.3 之类的报错可以尝试先安装 openssl-3 包过渡，然后手动更新所有来自 AUR 的包。 [archlinuxcn] 中的包也正在重新编译，如果遇到需要重新打包的包请告知我们。

也可以考虑在下次更新系统时顺便装上 openssl-3 包（pacman -Syu openssl-3）以防御性地应对尚未重新构建的软件。