运维日报 · 8月17日

各位运维人早上好。过去24小时，Linux 内核 7.2 稳定版正式发布，带来了多项面向服务器和容器场景的性能提升；Gitea 高危漏洞 CVE-2026-59774 的野外利用风险持续加剧，自托管实例需立即处置；Kubernetes 1.37 进入最后冲刺阶段，rc.1 本周三发布。下面按四个方向梳理今日最值得关注的动态。

一、云原生与容器

Linux 7.2 稳定版正式发布：Cache-Aware Scheduling 默认启用，容器退出延迟降 18 倍

Linux 内核 7.2 于 8 月 16 日正式发布，这是 2026 年最重要的内核版本之一。最核心的新特性是 Cache-Aware Scheduling（CAS），该调度器默认启用，可将共享数据的任务优先放置在同一 Last-Level Cache（LLC）域内，显著减少缓存抖动。实测数据显示：MongoDB 吞吐提升 30%~100%，PostgreSQL 和 Valkey 等网络密集型负载也有明显收益。

对容器场景而言，7.2 的另一大亮点是容器退出/卸载延迟从 92138 毫秒压缩至 58 毫秒，提升约 18 倍，这对高频启停容器的 CI/CD 和 Serverless 场景极为友好。此外，/proc/filesystems 读取速度提升 444%，MGLRU 改进让 MongoDB 基准测试吞吐翻倍，pipe 实现重写带来 6%~48% 的吞吐提升。

运维人关注点：如果你运行的是现代多核 Intel/AMD 服务器，升级 7.2 后数据库和网络负载可能「免费」获得显著性能提升。建议先在 staging 环境验证 CAS 对特定 workload 的影响，再逐步推广生产环境。

来源：https://www.phoronix.com/news/Linux-7.2-Best-Features^[1]

Kubernetes 1.37 rc.1 本周三（8/19）发布，GA 倒计时 9 天

Kubernetes 1.37 发布进入最后阶段。根据官方时间表，rc.1 定于 8 月 19 日发布，GA 日期仍为 8 月 26 日。近期社区对 1.37 的一些「误读」进行了集中纠正，值得平台团队关注：

• nftables 不会成为默认 kube-proxy 后端：1.37 仅增加「未显式指定代理模式时的警告」，默认仍为 iptables，切换将在未来版本进行。
• containerd 1.x 支持移除实际发生在 1.36：1.37 只是彻底清理残留标志，真正不再支持 containerd 1.x 的是 1.36。
• SELinuxMount 默认开启是最可能导致故障的变更：共享卷在特权与非特权 Pod 之间可能出现 SELinux 拒绝访问，混合权限 workload（如 AI/ML 流水线）需优先审计。

此外，1.37 中静态 Pod 禁止引用 Secret/ConfigMap，此前依赖 secretRef 或 configMapRef 的静态清单需要提前改造。

运维人关注点：本周是 1.37 GA 前的最后验证窗口。建议立即执行以下只读检查：确认所有节点 stat -fc %T /sys/fs/cgroup/ 返回 cgroup2fs；检查 kube-proxy 模式配置；扫描 /etc/kubernetes/manifests 中的静态 Pod 是否引用了 API 对象。

来源：https://www.devoriales.com/kubernetes-1-37-what-actually-landed-before-code-freeze^[2]

二、DevOps 与 SRE

Gitea CVE-2026-59774 野外利用风险加剧：无需登录即可读取服务器任意文件

Gitea 自托管 Git 平台的高危漏洞 CVE-2026-59774（CVSS 9.8）近期持续发酵。该漏洞存在于 Org-mode 标记渲染器中，攻击者只需向任意公开仓库的 /markup 端点提交精心构造的 Org-mode 内容（如 #+INCLUDE: "/etc/passwd"），即可无需认证读取服务器上 Gitea 服务用户有权限访问的任意文件。

更危险的是，攻击者读取 app.ini 配置文件获取 INTERNAL_TOKEN 后，可通过注入恶意 Git Hook 进一步实现远程代码执行。该漏洞影响 1.22.1 至 1.27.0 所有版本，修复版本为 1.27.1。多家安全厂商已确认野外利用讨论活跃，Self-Hosted Weekly 将其列为「下周首要关注」。

运维人关注点：所有自托管 Gitea 实例应立即升级至 1.27.1。升级后还需审计日志中是否存在匿名 POST /markup 请求，并轮换 INTERNAL_TOKEN、OAuth 密钥、JWT 签名材料和数据库凭据。Cloud 托管实例已自动升级。

来源：https://thehackernews.com/2026/08/critical-gitea-flaw-let-unauthenticated.html^[3]

Linux 内核 8 月 CVE 积压清理：1086 个 CVE 集中发布，无 0day

Linux 内核 CNA 在 8 月 9 日至 15 日当周集中发布了 1086 个 CVE，数量约为正常周的 20 倍。需要强调的是，这是历史积压的批量释放，而非一周内发现上千个新漏洞。所有 CVE 均已在之前的稳定版本中修复，无 0day、无公开 exploit。

按分支升级目标版本如下（如已应用上周补丁则大部分已覆盖）：

• 5.10 LTS → 5.10.261+
• 5.15 LTS → 5.15.212+
• 6.1 LTS → 6.1.178+
• 6.6 LTS → 6.6.145+
• 6.12 LTS → 6.12.97+
• 6.18 LTS → 6.18.40+
• 7.1 stable → 7.1.5+

运维人关注点：本周的批量 CVE 本质是「补票」，但提醒各团队建立内核版本跟踪机制。建议将 uname -r 与上述目标版本比对纳入日常巡检，优先处理网络可达和无线/蓝牙相关 CVE。

来源：https://www.techveda.live/2026/08/15/linux-kernel-cves-15-aug-2026^[4]

三、AI 与运维结合

Dynatrace Autonomous SRE Agent 本月正式上线：从「提供答案」到「自动执行」

Dynatrace 宣布其 Autonomous SRE Agent 将于 2026 年 8 月正式上线，标志着可观测性平台从「AI 辅助分析」向「自主运维执行」迈出关键一步。与依赖概率输出的传统方案不同，Dynatrace 强调其智能体基于确定性因果 AI，每一步行动都扎根于实时环境上下文，确保透明、可审计、可治理。

产品包含三大核心组件：

• Autonomous SRE Agent：自动触发事件调查，关联已有 investigation 并补充洞察。
• Cloud SRE Agent：跨 AWS、Azure、GCP 协调修复活动，汇总为统一可审计记录。
• Agent Builder：无代码自定义 AI 智能体，扩展至企业独特工作流。

Dynatrace 提出「crawl-walk-run」渐进路径：先信任因果 AI 定位根因，再引入人工审批的修复自动化，最后逐步过渡到真正自主执行。

运维人关注点：AI SRE Agent 的 2026 年现实是「调查能力强、自治修复需谨慎」。建议从「仅调查」模式起步，建立可观测数据质量基线后，再按「爆炸半径」逐步开放可逆的低风险操作（如重启服务、清理队列），高影响变更（网络策略、数据操作）保留人工审批。

来源：https://dynatrace.com/news/press-release/autonomous-operations-enterprise-ai^[5]

AI 辅助补丁引发内核质量隐忧：Linus 称「new normal」

Linux 7.2 开发周期中一个值得关注的现象是 RC6 成为历史上最大的 RC6，commit 数量创纪录。Linus Torvalds 直言，其中相当一部分来自 AI/LLM 生成的补丁，他将此称为「new normal」。统计显示约 29% 的近期代码变更带有 "Fixes:" 标签，意味着近三成提交是在修复上游引入的问题。

问题的核心在于：AI 工具确实能更快发现内核中的真实 bug，但生成的补丁质量参差不齐——足够通过自动化检查，却需要大量人工审查时间来验证和清理。维护者带宽是有限的，当近三分之一的提交都是「修自己刚引入的问题」时，代码质量回归或审查管道承压的信号值得关注。

运维人关注点：AI 辅助开发已不可逆转，但「AI 生成 + 人工把关」的治理模式需要同步建立。对于运行自定义内核或 out-of-tree 驱动的团队，建议在升级到 7.2 前预留更充分的回归测试周期。

来源：https://byteiota.com/linux-kernel-72-whats-new^[6]

四、安全漏洞与补丁

Windows AFD.sys 零日 CVE-2026-68820：Lazarus 在野利用，CISA KEV 8/25 截止

微软 8 月 Patch Tuesday 修复的 CVE-2026-68820（Windows AFD.sys WinSock UAF）已被确认遭 Lazarus 组织在野利用，攻击链属于「Operation Dream Job」。利用成功后攻击者会加载 FudModule rootkit。CISA KEV 收录该漏洞，联邦机构修复截止日期为 8 月 25 日。

运维人关注点：仅剩 8 天修复窗口。建议立即部署 KB5042945 及相关累积更新，同步在 EDR 中狩猎 FudModule 相关 IoC。未打补丁的 Windows Server 和客户端均受影响。

来源：https://www.rescana.com/post/active-exploitation-alert-critical-gitea-cve-2026-59774-lets-unauthenticated-attackers-read-server-files-and-gain-rce^[7]

一句话总结

Linux 7.2 带来了值得期待的性能红利，Gitea 漏洞和 Windows AFD.sys 零日则再次提醒我们：自托管服务的攻击面需要持续收紧。K8s 1.37 进入最后 9 天倒计时，节点兼容性检查比功能清单更紧迫。

关注「运维日报」，每日 8 点获取运维圈最新动态。点击下方「在看」分享给团队，一起少走弯路。

引用链接