Linux 7.5 的合并窗口临近，围绕旧硬件兼容、虚拟 GPU、网络设备监控和图形驱动的上游补丁集中出现。安全与开发工具方面，PostgreSQL 一次性修复 52 个漏洞，Rust 1.100 完成长期等待的语言特性稳定化。自托管、固件和 AI 智能体身份基础设施也在补齐可验证性与运维边界。
一、Linux 内核与图形
OpenAI Codex 协助定位近二十年的 Radeon 旧驱动问题
面向 Linux 7.5 的新一轮 AMD 图形与计算补丁包含一项针对 R600 时代 Radeon 硬件的旧缺陷修复，相关问题的历史接近二十年。开发过程中借助了 OpenAI Codex 辅助定位。该改动仍处于内核上游补丁阶段，尚不能视为已经进入普通发行版。
Intel Xe 驱动准备虚拟 GPU 配置能力
Intel Xe 驱动正为 Linux 7.5 准备 SR-IOV provisioning 支持，用于配置虚拟 GPU 档案。若后续按计划合入，Intel 图形虚拟化将获得更细粒度的资源切分入口；当前仍属于开发中的内核支持。
Linux 7.5 将新增 AMD Pensando 网卡监控
即将进入 Linux 7.5 的 Ionic HWMON 驱动，将为 AMD Pensando 高速网络设备提供温度、电压和功耗监控。对运行这类网卡的数据中心用户而言，内核可暴露更多硬件健康数据，但功能仍要等待对应内核版本落地。
老款 ASUS Transformer 设备将改善 Linux 支持
Linux 7.5 正在改进约十年前 ASUS Transformer 二合一设备的兼容性，覆盖采用 NVIDIA Tegra 或 Intel Atom 平台的型号。相关支持计划随 2027 年的内核周期推进，重点在旧设备的平台适配，而非新增硬件能力。
Polo 1.0 为 MATE 带来新的 Wayland 合成器
Polo 1.0 发布，将 MATE 的 Marco 窗口管理行为迁移到基于 libweston 16 的 Wayland 合成器，并提供 Alt+Tab、窗口平铺、多工作区和多显示器支持。现有 X11 应用可通过 XWayland 运行，但 MATE 设置守护进程等组件仍未完全原生适配 Wayland；Polo 也不是 MATE 官方指定替代方案。
二、开发工具与安全
Rust 1.100 稳定 never 类型并强化 Cargo 供应链防护
Rust 1.100 正式发布，经过十年和多次尝试后，never 类型 ! 终于可用于泛型等任意类型位置，Infallible 同时成为其别名。该版本还稳定核心 Allocator API，并为 Cargo 加入依赖发布冷却、未使用依赖提示和更一致的构建缓存隔离；旧 edition 的 never-type fallback 行为变化可能要求少量项目调整代码。
PostgreSQL 集中修复 52 个安全漏洞
PostgreSQL 发布 18.7、17.12、16.16、15.20、14.25 和 19 RC2，共处理 52 个安全漏洞及 140 多个缺陷修复。披露的问题包括任意代码执行、行级安全策略绕过和内存信息泄露，数据库管理员应优先评估升级与回归测试。
NVIDIA 图形驱动首批两项漏洞公开，后续披露仍将继续
NVIDIA Linux 图形驱动公开了 NvRoot 与 ForgePtr 两项漏洞，并被描述为后续 25 项驱动安全问题披露的开端。相关风险对按切片租用 GPU 的云环境尤其值得关注；目前可核验的信息集中在漏洞名称、披露节奏和隔离风险，具体受影响版本与修复矩阵仍需以厂商公告为准。
Nginx Proxy Manager 2.17 收紧认证与证书处理
Nginx Proxy Manager 2.17 为认证端点增加限流，修复认证 oracle、证书私钥可能出现在 API 响应中的问题，并加强代理主机权限隔离。后端依赖更新覆盖 16 项安全通告中的 15 项；使用 EdgeDNS、Beget 或 Infomaniak DNS 插件的用户还需处理潜在的兼容性变化。
三、AI、标准与开放生态
Agent Name Service 进入 Linux Foundation 治理
Agent Name Service 已交由 Linux Foundation 以中立治理方式推进，参与机构增至 11 家，包括 GoDaddy、Cloudflare、Salesforce 和 DigiCert。该方案把 AI 智能体绑定到运营者控制的域名，通过证书、DNS 记录和公开日志验证身份与撤销状态；它只解决“谁在代表谁”，不替接收方决定智能体拥有哪些权限。
Khronos 探索高层远程卸载 API
Khronos 成立探索小组，评估为图形与计算任务设计高层远程卸载 API 的可行性。目标涉及跨设备调用远程算力，但目前只有探索方向，没有冻结规范、发布时间或兼容性承诺，短期内不应把它视为可用的统一远程 GPU 标准。
四、NAS、自托管与系统软件
Immich 3.4 增加 JPEG XL 与更细的自动化能力
Immich 3.4 为移动端加入 JPEG XL 解码，并允许服务端把 JXL 作为目标图像格式；工作流新增 EXIF 缺失/存在过滤和 OCR 完成后的自动整理。版本同时收紧共享链接、合作伙伴时间线、重复检测和相册成员信息的访问控制，并为 Restic 备份加入并行扫描和可选的 pigz 快速压缩。
TLP 1.11 重做电源配置并保护串口设备
TLP 1.11 将电源配置参数改为性能、平衡和节能三组后缀，同时保留旧名称的运行时转换，减少现有配置迁移阻力。新版本会按硬件能力依次选择平台电源档位，默认不再自动挂起 PL2303、CH34x 等 USB 串口设备，并修复部分联想非 ThinkPad 机型的充电状态读取问题。
Libreboot 26.11 转向完整 UEFI 并移除 GRUB 核心载荷
Libreboot 26.11 通过 MrChromebox EDK2 载荷转向完整 UEFI 支持，多数受支持主板只提供 EDK2 固件，并移除 GRUB、MemTest86plus 与 CSMWrap 核心载荷。旧系统若仍以 legacy BIOS 启动，必须先建立 EFI 系统分区并迁移启动方式，否则升级后可能无法启动；该版本还在多款 ThinkPad 和服务器主板上默认启用 TPM 2.0。
ReactOS 取得软驱、VMware 3D 与 SMP 开发进展
ReactOS 近期开发取得可用软驱支持、VMware 3D 加速和对称多处理方面的进展，部分功能已经落地，另一部分仍接近完成。项目持续补齐 Windows 驱动与应用兼容层，但这些进展尚不等同于面向生产环境的完整稳定版本。
本期观察
本期最需要立即行动的是数据库与驱动安全：PostgreSQL 的 52 项修复包含多类任意代码执行和权限绕过问题，NVIDIA 的漏洞披露也才刚刚开始。与此同时，Linux 7.5 的多项内容仍处于补丁和上游准备阶段，阅读时应把“计划进入内核”与“普通发行版已经可用”明确区分。
AI 正在同时进入代码维护和身份基础设施：一边辅助定位内核旧缺陷，一边通过 ANS 这类标准为智能体建立可验证身份。但身份可信并不等于行为可信，接收方仍需独立实施授权、最小权限和审计。
自托管软件的重点则从单一功能扩张转向安全默认值。Immich、Nginx Proxy Manager 和 TLP 都在收紧权限、保护密钥或减少误操作，升级前应重点检查插件兼容性、旧配置迁移和备份可恢复性。
