GateRank 技术观察｜2026 年 10 月 18 日更新。本文整理今日机场圈与代理技术简报，并于北京时间下午复核官方 Release、版本间提交及相关 Issues。第三方复现结果均注明来源，GateRank 未独立运行复现程序。
今天值得关注的变化，可以归纳为两条主线：一是 sing-box 控制接口的实际监听范围可能超出配置者的预期；二是 Xray 昨日仍在开发分支中的多项修复，已经进入新的预发布版本。
先说结论：Xray-core v26.10.17 已发布，但仍是预发布版，不应写成稳定版；sing-box 的 IPv6 监听问题目前是附有复现的用户报告，不能写成官方已修复，更不能直接认定为已被利用的安全事件。
一、sing-box Clash API：配置 0.0.0.0，实际可能接受 IPv6 连接
10 月 17 日提交的 sing-box Issue #4642 报告：在 Linux 双栈环境中，将 experimental.clash_api.external_controller 设置为 0.0.0.0:1090，实际创建的监听器可能显示为 [::]:1090。
原报告的环境是 Alpine 3.24、sing-box v1.13.21。后续参与者还在当时的 testing 提交上，用最小配置验证了 IPv6 回环访问返回 HTTP 200。因此，这不是单纯的日志显示差异，而是在相关测试环境中确实接受 IPv6 连接。
为什么值得关注？
Clash API 是控制接口，不是普通代理入站。配置者如果认为 0.0.0.0 代表只监听 IPv4，并据此只设置 IPv4 防火墙规则，就可能遗漏 IPv6 访问边界。
报告指出，Clash API 使用 net.Listen("tcp", ...)，在支持 IPv4 映射 IPv6 套接字的系统上可能形成双栈监听；而 sing-box 入站监听会按地址选择网络类型。两种路径处理不一致，是这次报告的重点。
这不意味着所有 sing-box 用户都暴露了控制接口。 是否能被外部访问，还取决于操作系统、IPv6 地址与路由、防火墙、容器端口映射及接口鉴权。更不能仅因存在双栈监听，就推断已经发生未授权访问。
当前进展与建议
截至本次核验，该 Issue 仍为开放状态。参与者提供了个人分支补丁及修补前后真实套接字测试，但尚未确认官方合并或发布。
- 只需本机访问控制接口时，优先绑定明确的回环地址，而不是通配地址。
- 核对实际监听套接字，并分别检查 IPv4、IPv6 防火墙规则。
- 如确需远程管理，应限制来源地址、启用鉴权，并避免直接对公网开放。
- 不要为了追补丁，在生产设备上直接执行陌生账户提供的构建或脚本。
证据强度：中等。 官方仓库中的用户报告、源码分析和测试相互支持，但不是官方安全公告，也不是 GateRank 的独立复现。
二、Xray v26.10.17 已发布：昨天的多项修复进入预发布版本
Xray-core v26.10.17 于北京时间 10 月 17 日 23:32 发布，GitHub 的 prerelease 标记仍为 true。
这意味着，昨天的技术观察 中“相关修复已合并、尚未进入新发布版本”的描述，是当时的状态；今天应更新为“已进入 v26.10.17 预发布”。这不是稳定性认证，也不代表所有客户端已经更新内置核心。
根据 v26.10.10 至 v26.10.17 的版本间提交，本次版本包括：
- Lua 安全加固： 默认白名单沙箱、暂时禁用内联脚本，并增加安全检查。
- 出口网卡约束： 绑定指定接口失败后取消拨号，包括 TUN 等外部控制器相关路径，避免失败后继续走非预期出口。
- Hysteria 连接清理： 连接关闭时处理阻塞写入，并包含拨号取消和清理锁相关调整。
- Vision 兼容性： 纳入兼容 Go 1.27.3+ 的修复；不能据此宣布其他 Vision 性能报告也已解决。
- 底层网络实现： 包含 WireGuard、MASQUE 等路径切换至 Xray 自有轻量 TCP/IP 栈的变更。
上述内容由版本间代码记录确认，而不是仅根据 Release 页面是否有详细更新说明推测。
升级应关注“行为变化”，而不只是版本号
如果现有配置依赖 Lua 内联脚本，或指定了已经失效的网卡名，新版可能直接拒绝相关配置或连接。过去“还能连上”并不证明配置正确，新版“连接失败”也不一定意味着线路退化。
运营者应先备份配置，在少量节点或测试设备上验证脚本兼容、接口名称、长连接、上传中断、IPv4／IPv6 与回滚流程。普通用户若当前使用正常，没有必要仅因新闻就手动替换客户端内核。
证据强度：高。 发布状态与纳入的代码变更可由官方仓库核验；具体环境中的稳定性仍需自行测试。
三、XHTTP 连接堆积：报告者验证新版本恢复拨号合并
此前追踪的 Xray Issue #6797 出现重要后续。北京时间 10 月 18 日上午，报告者表示，v26.10.17 随 x/net 依赖升级恢复了拨号合并，其测试不再需要额外使用 http2legacy 构建标签。
这次测试使用官方 Linux 64 位构建，目标服务器完成 TCP 建连后，不响应 TLS ClientHello；客户端发起 500 个并发会话。报告给出的峰值连接数为：
- v26.10.10：无论
maxConnections设置为 1、2 还是 3，峰值均达到 500。 - v26.10.17：对应设置下，峰值分别为 1、2、3。
报告者还提供了 packet-up 模式的补充结果。这些数据支持“在该受控测试中，连接上限行为得到恢复”，但不支持“所有网络环境都提速”或“所有内存问题都已解决”。
修复在哪里？
根据报告，上游 x/net 恢复了拨号合并，相关修改随 v0.60.0 发布；Xray 的版本间提交则确认依赖已由 v0.59.0 升至 v0.60.0，随后升至 v0.61.0。
因此，这次跟进不应继续机械重复早期讨论中的“必须等待新的 Go 发布”或“必须额外使用构建标签”。但“无需标签”的实测结论仍应明确归属于报告者，不包装成 GateRank 的独立验证。
使用 XHTTP 且遇到握手卡住、连接数量异常或连接堆积的用户，可以在可回滚环境中测试新预发布版本，同时观察连接数、失败重试和内存占用。若存在 Nginx 上传截断等其他问题，应单独排查，不能把不同 Issue 混成一项通用修复。
证据强度：中等。 官方依赖变更明确，效果数据来自报告者的受控测试。
来源：10 月 18 日测试评论、版本间代码对比。
四、XDRIVE 有破坏性配置要求：先核验面板生成逻辑
10 月 17 日合并的 Xray PR #7182 已进入 v26.10.17。与普通错误修复不同，这项变更会影响旧配置能否加载。
PR 说明明确要求，XDRIVE 使用带 VLESS Encryption 的 VLESS，且不使用 flow；客户端必须通过复用承载相关流量，并满足对应复用参数约束。不满足加密或复用要求的旧配置将停止加载。
同时，服务名称改为 google-drive。旧的 Google Drive 名称暂时仍兼容，但会产生弃用警告；面板和订阅生成器应核查是否仍在输出旧名称。
谁需要优先检查？
- 使用 XDRIVE 传输的机场运营者和自建服务用户。
- 自动生成 Xray 配置的面板、订阅转换器及客户端开发者。
- 通过自动化任务直接替换核心、但没有先检查配置的维护者。
建议先在测试环境执行配置校验，再检查客户端与服务端组合、VLESS 加密与复用参数、面板生成内容及启动日志，确认后再安排小范围升级。不能只替换二进制文件，就假定旧配置会原样工作。
本文仅确认已合并且进入发布标签的配置要求；不把尚未核验合并与发布状态的 XMUX／HTTP/3 扩展写成该版本已有能力。
证据强度：高。 官方 PR 正文、合并状态与版本间记录一致。
五、今天该做什么：先排查暴露面，再安排灰度升级
普通用户： 先确认客户端内置的实际核心版本。若不使用控制 API、XHTTP 或 XDRIVE，不需要因为这些消息立即改动所有配置。只从可信渠道更新，不公开订阅地址和含凭据的日志。
机场运营者与进阶用户： 优先核对控制接口是否意外接受 IPv6 访问；再针对 Xray 新预发布版安排灰度，重点验证 Lua、接口绑定、异常连接清理和 XDRIVE 配置。升级前保留旧核心与配置备份，升级后同时看启动日志、连接数及实际业务表现。
面板与客户端维护者： 在界面上区分稳定版、预发布和开发构建；对破坏性配置要求增加提示，而不是只提供“一键更新内核”。
本次没有足够证据支持新增“机场跑路”或大范围行业故障的结论。域名探测失败、个别用户连不上和客户端核心问题，不应直接转写成某家机场停运。
结语：修复进度变了，证据边界不能丢
今天相较昨天最明确的变化，是 Xray 多项已合并修复进入了公开预发布版本；sing-box 则新增需要核查的控制接口监听报告。对实际部署而言，前者意味着可以更方便地安排版本验证，后者提醒我们不要只凭配置中的地址文字判断真实暴露面。
进一步阅读可查看昨日 Xray 动态汇总。选择服务时，可结合机场排行中的近期公开信息，或回到机场榜首页查看技术教程与风险观察。榜单不能替代自身测试，也不构成对任何服务持续可用或绝对安全的保证。
资料与方法说明： 本文基于 2026 年 10 月 18 日北京时间下午读取的官方 GitHub Release、版本间提交、PR 与 Issues 整理。性能及故障测试来自各报告者，GateRank 未独立复现；未全面覆盖 X 公开帖子、所有 Discussions 或机场运营公告。版本状态、补丁合并与后续修复请继续以官方来源为准。
继续阅读