GateRank 技术观察｜2026 年 10 月 17 日更新。本文合并 10 月 16 日技术简报，并补入截至 10 月 17 日北京时间下午复核到的官方进展。信息来自 Xray 官方仓库的合并记录、代码及问题讨论；尚未独立复现的测试结论会单独标注。
近两天，Xray-core 的变化集中在脚本安全、出口路由、连接回收和底层网络栈。对于机场运营者、客户端开发者和使用 TUN 的进阶用户，最重要的不是“又有新版本”，而是弄清楚：哪些修复已经进入开发分支、哪些还只是问题报告，以及它们是否影响自己的部署。
先说结论：Lua 安全加固、网卡绑定失败中止连接、Hysteria 阻塞写入回收，以及 Vision／REALITY 缓冲区兼容修复均已合并；但截至本文核验时，未见包含这些合并提交的新发布版本。 不应把“PR 已合并”写成“正式版已修复”，也不建议仅凭新闻把生产环境全部切换到开发构建。
一、先分清版本：发布标签、预发布与开发分支不是一回事
本次核验发现，Xray 的 v26.10.10 已有公开 Release，但 GitHub 将其标记为 Pre-release（预发布）；releases/latest 接口指向的非预发布版本则为 v26.3.27。因此，不能把 v26.10.10 笼统称为最新稳定版。
本文提到的近期合并变更位于 v26.10.10 之后的开发分支。客户端也可能内置不同版本的核心，或自行构建主分支：判断是否受影响，应同时查看客户端版本、实际 Xray 核心版本及构建来源，而不是只看软件名称。
作为同期背景，sing-box 官方发布列表中的稳定版为 v1.14.3，最新预发布为 v1.15.0-alpha.12；本次复核未见更晚发布。下述 Xray 问题不能直接推导为 sing-box 同样受影响。
来源：Xray Releases、sing-box Releases。
二、Lua 安全边界收紧：默认沙箱，暂时禁用内联脚本
北京时间 10 月 16 日，Xray 合并 PR #7136。这项变更的核心是收紧 Lua 脚本的执行边界，而不只是增加一个配置开关。
根据合并代码与说明，主要措施包括：
- Lua 默认运行在白名单沙箱内，只开放受限函数和库；
- 暂时禁用 Base64 内联脚本；
- 本地 Lua 文件在解析真实路径后检查
.lua扩展名； - 增加配置文件及 geodata 等资源相关检查，降低不同类型文件被交叉解释的风险；
- 已准备的特权签名与特权模式机制仍被禁用，不应照相关示例当作可用功能部署。
影响谁？ 主要是使用 Lua 功能、导入完整配置、维护订阅转换器或自行构建开发版的用户与开发者。普通用户无需因为这条消息就认定手里的订阅已经遭到攻击。
建议怎么做？ 检查现有配置是否依赖内联脚本、非标准脚本文件名或受限函数；升级前先在测试环境验证。不要导入来源不明的完整配置和脚本，也不要把“来自订阅”理解为“天然可信”。
证据边界： 安全加固措施可由合并代码确认；本文未据此确认存在已被利用的攻击事件，也不把沙箱描述为绝对安全。
三、TUN 与网卡绑定：从“失败后继续拨号”改为中止连接
10 月 15 日的 Issue #7160 报告：在 sockopt.interface 指定的网卡不存在时，Xray 可能只记录错误，随后继续以未绑定状态建立连接，最终由系统路由表决定出口。
报告者在 macOS 上使用 v26.10.10、v26.9.9 复现。这对多 VPN、动态虚拟网卡和 TUN 全隧道场景尤其重要：原本希望固定出口的连接，可能重新进入 TUN 形成回环，或走向非预期出口。其他平台的实际影响不能仅凭这次 macOS 测试一概而论。
最新进展：原简报中的“尚无合并修复”已经过时。 PR #7173 已于北京时间 10 月 16 日合并，网卡绑定失败会中止拨号，并修正包括 TUN 在内的外部控制器错误传递。此前的候选 PR #7161 则是关闭但未合并，不能混为同一个修复记录。
这是一种“绑定失败就拒绝连接”的保护行为，但也意味着：过去可能勉强连通的错误配置，在新逻辑下会直接连接失败。
运营者和进阶用户应检查网卡名称是否随重连变化，并测试 Wi-Fi／有线切换、企业 VPN 断开及虚拟网卡消失时的路由行为。不能只因为配置中写了 interface，就认定出口约束已经生效。
当前状态：修复已合并至开发分支，未见新发布版本；代码证据明确，原始复现范围有限。
四、Hysteria TCP 卡死：修复已合并，但不等于立即恢复
Issue #7169 描述了一类不易从“节点是否在线”判断的故障：Xray Hysteria 出站在上传目标停止读取后，写入可能阻塞于 QUIC 流控窗口。如果连接结束时仍不能释放这些流，后续 TCP 请求也会受到影响，而 UDP 数据报可能依旧正常。
这解释了为什么有些故障表现为“部分检测正常，但网页或新 TCP 连接持续卡住”。不过，这只是特定问题的症状特征，不意味着所有 TCP 卡顿都属于同一原因。
原简报中仍待审的 PR #7172，现已确认于北京时间 10 月 16 日合并：连接关闭时，如果仍有阻塞写入，就取消写入侧，让残留流有机会释放占用的连接级窗口。
需要保留一个重要限制：本地应用取消上传，并不意味着受阻会话一定立刻结束。 根据作者测试与补丁说明，恢复仍可能受会话空闲超时及服务端处理方式影响，不能宣传为“取消后瞬间恢复”或“所有 Hysteria 卡死已解决”。
使用 Xray Hysteria 出站的运营者可安排灰度测试，重点观察中断上传后的新 TCP 请求、长连接和 UDP 是否正常。临时重建受影响连接可能恢复服务，但不替代根因处理。
当前状态：开发分支已合并，未见新发布版本；效果依据作者测试，本文未独立复测。此处讨论的是 Xray 的 Hysteria 出站实现，不应扩大为所有 Hysteria 客户端的问题。
五、Vision 有两件不同的事：性能调查与开发版崩溃修复
1. 直拷贝切换异常仍应当作性能调查看待
Issue #7164 提供了详细日志和对照测试：在特定连续 TLS 记录与读取时序下，Vision 可能长时间停留在 padding 模式，未能进入直拷贝路径。
报告覆盖 v26.10.10，作者也测试了 v26.3.27。这对大文件上传、持续传输以及 CPU 资源较紧张的设备具有观察价值，但单一实验中的吞吐与 CPU 对比不能外推为所有用户的固定损失。
对于实际遇到高 CPU、吞吐异常的部署，应保留核心版本、传输方向和诊断日志，结合具体环境排查；不建议只看一张性能对照表就降级或更换协议。
2. Vision／REALITY 缓冲区兼容修复已经合并
另一件事是近期开发分支的崩溃兼容问题。Issue #7162 报告了近期 REALITY 更新后的服务端崩溃；PR #7176 已于北京时间 10 月 17 日合并，用于兼容不同 TLS 库内部缓冲区类型。关联讨论中有两名报告者反馈修复有效。
这项修复主要值得自行构建近期主分支的用户核查，不能据此认定所有已发布版本均会崩溃。
特别提醒：PR #7176 的缓冲区兼容修复，不等于 Issue #7164 所述的直拷贝切换性能问题已经解决。 两者涉及 Vision，但问题性质和证据链不同。
六、WireGuard 与 MASQUE 更换底层 TCP/IP 栈：先验证，再谈提速
北京时间 10 月 16 日合并的 PR #7156，让 WireGuard、MASQUE 的客户端和服务端路径转向 Xray 自有的轻量 TCP/IP 栈，而不再使用原先的 gVisor 数据路径。
作者在 WSL2 和受控链路环境下给出了吞吐、CPU 及断链恢复的对照结果，显示部分测试场景有所改善。同时，新实现也存在固定窗口、ICMP 响应及连接 deadline 行为等差异。
因此，更准确的表述是：这是一项值得关注的底层实现替换，而不是所有公网线路都会提速的保证。 实际体验仍受出口带宽、丢包、延迟、设备性能和两端版本组合影响。
相关运营者应先验证新旧端互通、IPv4／IPv6、长时间传输、丢包、短时断链恢复以及现有监控是否正常，再决定部署范围。不建议直接在生产环境全量追更。
当前状态：已合并至开发分支，未见新发布版本；代码变更可确认，性能效果依据作者实验。
七、补充观察：XHTTP 经 Nginx HTTP/1.1 上游上传截断
10 月 16 日新增的 Issue #7180 报告，XHTTP stream-up 经 Nginx HTTP/1.1 上游转发时，大文件上传可能只到达部分内容。报告包含主分支自编译版及 v26.3.27 的测试，并提供本地复现及日志。
报告者的 HTTP/2 上游对照测试通过，但这还不足以确认所有部署的完整根因，也不能把一种配置调整写成官方通用修复。其测试中客户端与服务端角色位于同一进程，实际多机、CDN 和公网链路需要另外验证。
使用相关架构的服务应检查接收端实际字节数与文件完整性，不只看客户端显示“上传完成”。涉及上游协议或保活行为的配置调整，应先在测试环境评估超时等副作用。
当前状态：详细问题报告；本文未核实到已发布修复，未独立复现，不认定为普遍故障。
八、普通用户与机场运营者分别该做什么？
普通用户：先确认核心与症状，不必盲目追开发版
- 正常使用的客户端，无需仅因本文就立即更换核心或协议。
- 出现异常时，记录客户端版本与实际核心版本，区分节点故障、路由问题和客户端问题。
- 使用 TUN 或多个 VPN 时，重点留意切网、VPN 断线和网卡消失后的行为。
- 只从可信渠道更新客户端，不执行陌生脚本，不公开订阅链接或含凭据的日志。
运营者与客户端开发者：把升级做成可回滚的验证流程
- Lua：检查脚本形式、路径与沙箱兼容性。
- TUN：测试网卡绑定失败是否被正确传递，避免误判为普通线路中断。
- Hysteria：测试上传中断、会话回收与后续 TCP 请求。
- Vision／REALITY：分清开发版兼容修复和独立性能调查。
- WireGuard／MASQUE：验证新旧端组合与丢包、断链恢复表现。
- XHTTP／Nginx：用接收端完整性结果验证上传，而非只看发送进度。
升级前备份配置，在小范围环境验证并保留回滚方案。新闻中的“已合并”只是判断进展的一个节点，生产可用性还需要结合正式发布说明与自身测试。
结语：关注修复进度，也要守住证据边界
本轮 Xray 动态的主线，是收紧安全边界、让出口绑定失败更可控、改善异常连接回收，并调整底层网络实现。这些变化值得关注，但开发分支、预发布标签和待确认 Issue 的含义并不相同。
本文为技术动态汇总，不将单次测试泛化为全行业结论，也不将客户端问题、域名探测异常或未经核实的传闻等同于机场停运、跑路或大规模安全事件。
如果你希望进一步了解协议，可阅读 GateRank 的 Xray Reality + Vision 协议解读。选择服务时，可结合 机场排行 查看公开信息，或回到 机场榜首页 获取更多技术教程与风险观察。排行榜不能替代自身测试，也不构成对任何服务持续可用或绝对安全的保证。
资料与方法说明： 本文依据官方仓库原文、PR 合并状态及部分合并代码整理；性能和故障复现来自各报告者，GateRank 本文未独立运行复现程序。日期按北京时间表述，版本状态以 2026 年 10 月 17 日下午核验结果为准；后续发布与修复请继续以官方来源为准。本文不声称已全面覆盖 X 公开帖子或所有机场运营公告。
继续阅读