Linux全线安全补丁日:Python tarfile绕过、GStreamer堆溢出RCE、内核150+ CVE齐修

8月27日，AlmaLinux、Debian、Fedora、RHEL、Rocky、SUSE和Ubuntu同时推送大批安全更新，堪称近期规模最大的一次"补丁日"。

Python生态是本次重灾区。CVE-2026-59886影响pyasn1库，攻击者可通过构造畸形ASN.1 REAL值触发拒绝服务；CVE-2026-11940则直接命中Python 3.12和3.14的tarfile模块——文件解压过滤机制可被绕过，恶意压缩包能把文件写到目标目录之外。Node.js 24也未能幸免，CVE-2026-14257等四个CVE涉及SSRF和DoS，攻击向量是IP地址解析和brace-expansion库。

GStreamer的多媒体插件堆则暴露了一串堆溢出和释放后使用漏洞（CVE-2026-18295至18299），攻击者只需让受害者播放一个精心构造的MRF、PNG或RTP文件，即可实现远程代码执行。内核方面，AlmaLinux 10一次性修补约24个CVE（涉及DRM、加密、SMB客户端、调度器、SCSI等子系统），Debian更是清理了超过150个内核CVE，覆盖权限提升、拒绝服务和信息泄露。

这是典型的"周末前必须打"的补丁窗口。GStreamer的RCE尤其值得警惕——它在桌面Linux上被几乎所有媒体播放器使用，而在服务器侧也常被用于音视频转码流水线。Python tarfile绕过则意味着任何允许用户上传压缩包的Web应用都可能被写入任意路径。系统管理员应优先打内核和GStreamer补丁，Python和Node.js紧随其后。SUSE用户还面临大量内核热补丁需按序应用，建议优先处理内核再清理其他。