2026 年 10 月 24 日｜GateRank 技术动态
本期重点关注 sing-box 1.14.4 的证书、SSH 与配置兼容性变化，以及 Xray 26.10.21 的一项特定 REALITY 握手回归报告。前者已进入正式发布版本，后者目前仍属于公开 Issue 与参与者测试证据，不能混为“官方已确认并修复”。
一、sing-box 1.14.4 正式发布：关注证书集合和 SSH 权限检查
GitHub 官方 Releases 显示，sing-box v1.14.4 于北京时间 10 月 24 日 09:04 发布，未标记为预发布。同期发布的 v1.15.0-alpha.13 则明确标记为预发布，普通用户无需仅为这些更新切换至 alpha 版本。
官方发布说明仅写明“Fixes and improvements”。进一步核对 v1.14.3 至 v1.14.4 的代码差异，可以确认以下变化：
- 内置 Mozilla 证书集合调整：移除了 emSign ECC Root CA - C3、emSign ECC Root CA - G3、emSign Root CA - C1 三张根证书，同时还有其他证书集合调整。这里的结论针对 sing-box 内置集合，不等同于所有操作系统证书库已经同步更新。
- Tailscale SSH 权限检查增强：切换本地用户前增加身份与权限检查；Linux 路径中明确检查 CAP_SETUID 与 CAP_SETGID。受限容器及以非 root 身份运行的部署需要注意权限与服务行为。
- SSH 依赖更新：gliderssh 依赖版本发生变化。相关 Unix 套接字转发安全边界应结合官方依赖变更进一步核查，不把依赖升级直接等同于已发生攻击。
建议：使用内置证书库或 Tailscale SSH 的部署优先安排受控升级，验证证书链、SSH 登录与用户切换授权。上述代码证据不证明旧版已遭利用，也不意味着所有部署均受同一种漏洞影响。
来源：sing-box v1.14.4 发布页、官方版本差异。
二、配置兼容性变化：selector、urltest 重复节点标签会报错
对于机场订阅转换器、配置生成器及使用自动测速组的用户，1.14.4 的重复标签检查值得在升级前处理。
版本差异显示，selector 和 urltest 组新增重复节点标签校验，发现重复项时返回 duplicate tag 错误。若生成的组成员列表含有重复标签，配置初始化可能因此失败。这里指组内成员标签重复，不应扩展理解为不同组之间不能引用同一节点。
同版 DNS 客户端还调整了缓存命中路径：配置了响应检查器时，缓存响应也会接受相应检查，不再仅因命中缓存而跳过。使用地址过滤、DNS 分流或乐观缓存的配置，需要验证缓存命中和重新查询时的实际行为。
升级前建议：
- 备份原配置与当前可用版本，确认回退方案。
- 对 selector、urltest 的组内成员列表去重，检查订阅转换器输出。
- 使用对应版本的配置校验功能，确认无初始化错误。
- 小范围验证 DNS 分流、自动切换和真实业务连接，再扩大部署。
这些变化主要涉及正确性和兼容性，不能据此宣称普遍提速，或保证升级后所有节点都更稳定。
三、Xray 26.10.21：特定目标可能触发 REALITY 握手回归
10 月 23 日提交的 Xray-core Issue #7243 报告：在 v26.10.21 中，当目标返回空的 TLS EncryptedExtensions 时，真实认证连接可能报出 padding: -4 并失败，而未认证的普通探测仍可能正常。
另一位参与者随后给出了独立本地复现与修改前后对照：其回环环境中，未修改版本在空 EncryptedExtensions 目标上失败，使用本地修改后的版本恢复；另外两类对照目标保持成功。
截至本次发稿复核，该 Issue 仍为开放状态；我们未核实有针对该问题的上游正式修复版本。 这些材料属于报告者和参与者的测试，不是 GateRank 自行完成的实验，也不应表述为维护者已经确认所有受影响范围。
对机场运营者的直接启示是：端口在线、目标探测正常，不等于真实认证连接可用。 升级后的验收应包含实际客户端认证、请求转发与日志检查。遇到该错误时，应先排查是否符合该 Issue 描述的目标兼容性条件，并关注上游处理，而不是直接认定为线路封锁或机场故障。
同时，v26.10.21 的官方发布说明包含紧急证书安全更新，并说明此前 v26.10.10、v26.10.17 已被撤版。因此，不建议为解决兼容性问题而盲目回退到安全更新前版本。
来源：Xray-core Issue #7243 及测试讨论、Xray v26.10.21 官方发布说明。
证据范围与行业观察
本期复核了两项目官方 GitHub Releases、sing-box 版本差异，以及上述 Xray Issue 正文与评论。证书、组内重复标签和 DNS 检查属于官方代码证据；REALITY 回归属于公开问题报告与参与者测试，证据层级不同。
本期没有形成可独立核实的重大机场退出或行业安全事件结论。公开 X 帖子与行业搜索覆盖有限，不能将“未核实到重大事件”写成“全行业没有风险”，也不将单一网站自动探测异常直接等同于机场跑路。
用户选择服务时，可结合 机场榜首页 的公开信息，以及服务商公告、实际连接与自身使用需求综合判断。本篇为版本与兼容性动态，不构成对任何机场、客户端或协议绝对安全、长期可用的保证。
继续阅读