开源漏洞分析、CVE 跟踪、补丁验证和临时安全遏制工具
维护的目录，而非通用的零日漏洞修补器。 本项目跟踪与 Anthropic/Claude 研究相关的公开披露安全修复，以及单独来源的 2026 年 10 月厂商公告。 它包含针对 CVE-2026-98432 的带署名的原创 Linux 上游补丁、针对专有或签名产品的厂商更新参考、一个跨平台的只读版本下限检查器，以及一个可选的、仅限 Linux 的临时运行时控制，并带有明确的回滚机制。
不进行任意内核或二进制修改，不自动下载补丁，不进行漏洞利用测试，也不声称覆盖所有操作系统或所有 Anthropic 发现。 可选的、经明确批准的 Linux 运行时 MPTCP 遏制是本工具包引入的唯一可执行更改。如果不存在经过验证的厂商修复或受支持的版本，正确的结果是未知 / 需人工审查，绝不是“已修补”。
如需最简单的说明，请打开 简易安装。 选择你的设备并按照其编号步骤操作。你不需要在手机上安装 Python。在电脑上，仅当运行本仓库的可选离线检查工具时才需要 Python 3.11–3.15。
| 设备 | 最快捷的安全步骤 | 可选遏制措施 |
|---|---|---|
| Windows | 设置 → Windows 更新 → 检查更新 → 重启 | 管理员审查 HTTP.sys HTTP/3 暴露情况；并非二进制补丁 |
| Mac | 系统设置 → 通用 → 软件更新 | 限制 Safari JavaScript；并非完整的 WebKit 修复 |
| iPhone / iPad | 设置 → 通用 → 软件更新 | 在 Apple 更新前避免不受信任的浏览 |
| Android / Pixel | 设置 → 系统 → 系统更新；同时检查 Google Play 系统更新 | 避免不受信任的 USB 主机；并非设备锁屏修复 |
| Linux | 使用你发行版的签名安全更新，然后重启 | 可选的、受监督且可逆的 MPTCP 功能开关（仅限 Linux） |
| Chrome | Chrome → 帮助 → 关于 Chrome → 重新启动 | 限制 V8 优化或停止使用过时的 Chrome |
| 其他 / 不受支持 | 使用原始设备厂商发布的安全更新 | 不存在通用的跨操作系统二进制补丁 |
从笔记本电脑/台式机操作指南（无需 root/管理员权限）：
python scripts/quickstart.py guide --os linux
python scripts/quickstart.py guide --os windows
python scripts/quickstart.py guide --os macos
python scripts/quickstart.py guide --os android
每份指南都提供：在做出任何更改之前 → 简单步骤 → 如何验证临时控制措施 → 如何用厂商修复替换它。 如果某个配置文件无法被证明合理，该命令会返回 no verified profile。
一个可执行的临时控制措施： Linux MPTCP 运行时禁用。 它仅在执行单独的、明确的管理员命令后修改当前命名空间，创建有限的回滚状态，并且不会修补内核，也不会在重启后持久保留。参见 Emergency containment。 所有其他临时操作均为 manual guidance，而非未签名的二进制文件。
不要将安装命令成功视为证据。 请分别记录以下各项：
docs/VALIDATION.md 包含确切的命令和一份证据工作表。对于某些
产品（包括 Android 的未映射链条和厂商回移植的内核），
在没有厂商证明的情况下，结果必须保持为 unknown / manual review。
辅助厂商交接，适用于具有已发布、可比较版本 下限的产品（示例使用现有的 MSRC 公告）：
python scripts/vendor_handoff.py CVE-2026-33096 --os windows --version 10.0.22631.6936 --vendor-advisory-reviewed --active-version-confirmed --smoke-test-passed
这些标志是操作员确认，而非自动检测。最强的结果是 READY_FOR_CHANGE_REVIEW，绝不会是自动回滚或声称具备漏洞利用抵抗能力。没有经过验证的发布基线的操作系统版本会被保留，等待供应商手动确认。
不会为未披露的缺陷编造代码补丁。 Anthropic 的披露仪表板中的大多数条目没有暴露足够的技术数据，无法编写或验证一个合法的修复。内核/设备的“通用热修复”无法仅凭 CVE 名称或哈希化的披露信息安全地合成。在可用的情况下，使用有来源支持、可逆的遏制措施；否则隔离或停止使用受影响的服务。
data/containments.json 目录包含十个有条件的、有限的暴露面缩减指南。这些并不构成 CVE 修复。只有在源代码、可复现的漏洞、受支持的版本、回归测试、回滚和审查都已确立之后，才会接受新的自动补丁。参见贡献规则。
可选的只读平台清单可识别发行版家族（包括 Debian/Ubuntu、Fedora/RHEL、SUSE、Arch、Alpine、Void、Gentoo、NixOS 和 Fedora Atomic）、架构、有限的固件上下文，以及常见编程语言工具链的存在情况。它不会执行工具链或包管理器、安装补丁，也不会认证固件。
python3 scripts/platform_inventory.py --json
python3 scripts/catalog.py inventory
当发行版未知或仅通过 ID_LIKE 报告父发行版时，该工具拒绝推荐父发行版的更新命令。Android、WSL、容器、Linux 服务器、嵌入式硬件和云托管服务具有不同的厂商更新权威。请阅读
Linux、语言和硬件覆盖指南
以了解确切能力、不支持的目标以及安全的厂商交接方式。
精选的 data/advisories.json 包含 27 个单独标识的 CVE，
分布在 16 条公告记录中。每条记录的来源均在
目录内链接。原始 Chrome 组包含归因于 Anthropic/Claude 的 CVE；10 月 30 日的 MediaStream CVE 是单独的厂商披露。这不是一份详尽的 CVE 或披露台账。
| 组件 | 包含的标识符 | 如何获取修复 | 如何验证 |
|---|---|---|---|
| Linux IPv4 TCP | CVE-2026-98432 | 由发行版维护的内核更新，或为维护者提供的归因上游源代码补丁 | 比较厂商公告与已安装的运行中内核包；可选源代码检查器 |
| Windows HTTP.sys | CVE-2026-33096 | Microsoft Update / WSUS / 企业部署 | 已安装的 Windows 版本以及正确的客户端/服务器版本；MSRC 适用性 |
| Safari / Apple WebKit | CVE-2026-43715 | Apple Software Update / 受支持设备的更新 | 实际的 Safari/OS 版本以及匹配的 Apple 安全公告 |
| Google Chrome Stable | data/advisories.json 中列出的 17 个 CVE | Google 签名的浏览器稳定版更新 | 确认运行中的官方 Chrome Stable 版本至少达到所引用的发布下限 |
10 月 30 日更新： 八个额外的产品特定 CVE 和五个新的 操作员审查配置文件涵盖 Nomad、Chrome MediaStream、Delinea Windows Core Agent、ServiceNow AI Platform 和 Veeam Management Pack。参见 10 月 30 日热修复与遏制交接。 这些条目不会自动安装安全补丁。
其他未解决项： Anthropic 的 Android/Pixel 锁屏链
报告未披露可验证的 CVE 到已修复版本的映射。该案例记录在
unresolved 中，而非被错误地标记为已修复。仅哈希的披露
台账条目无法转化为独立验证的补丁。
来源：Anthropic 的 10 月 27 日报告、 Anthropic 的披露仪表板、 Google Chrome 发布、 Apple 安全内容、 Microsoft MSRC、 Linux 内核公告。
假设： 在 Windows/macOS/Linux 上使用 Python 3.11–3.15，仅使用标准库。 只读目录和快速入门工具不需要管理员/root 权限， 也不会访问网络。例外： 可选的 Linux MPTCP 运行时 遏制需要显式提权命令，并可能影响服务。 iOS/iPadOS/Android 设备使用其厂商原生更新界面；Python CLI 不会在这些设备上作为安装程序运行。
从本仓库的根目录：
python scripts/catalog.py validate
python scripts/catalog.py list
python scripts/catalog.py unresolved
python scripts/catalog.py inventory
找到更新后真实的已安装产品版本，然后进行比较：
# Exact Google Chrome Stable release, not Chromium, Edge or an OS version:
python scripts/catalog.py check CVE-2026-118306 --platform linux --version 156.0.8078.79
# Windows: full 10.0.<build>.<UBR> installed OS version
python scripts/catalog.py check CVE-2026-33096 --platform windows --version 10.0.22631.6936
# Critical: Windows 11 and Windows Server 2025 both use build 26100.
python scripts/catalog.py check CVE-2026-33096 --platform windows --version 10.0.26100.32690 --variant server
# No automatic status asserted for vendor-specific Linux or Apple builds:
python scripts/catalog.py check CVE-2026-98432 --platform linux --version 7.3.0.0
check 的结果被有意限定为以下几种：
| 结果 | 含义 | 退出码 |
|---|---|---|
meets_published_release_floor | 用户提供的产品/版本达到或高于所列 CVE 的已验证发布版本下限，前提是产品和厂商正确 | 0 |
below_published_release_floor | 对于匹配的所列产品，其版本低于该版本下限 | 1 |
manual_vendor_confirmation_required | 证据不足、操作系统/产品分支不同、修复未知或版本无法识别 | 2 |
退出码 0 并不代表“不可能被利用”。 它并不证明厂商二进制文件、更新来源、成功重启或机器上的每一个 CVE 都安全。
请使用厂商提供的官方更新，而不是应用在 GitHub 上找到的任意补丁文件。检查器从不安装任何内容。
| 系统 | 支持的更新途径 |
|---|---|
| Windows 11 / Windows Server | Windows Update、经批准的 WSUS/Intune/企业包、Microsoft Update Catalog、MSRC 公告 |
| macOS / Safari | 系统设置 → 通用 → 软件更新；Safari → 关于 Safari |
| iPhone / iPad | 设置 → 通用 → 软件更新 |
| Android / Pixel | 设置 → 系统 → 系统更新，以及适用的 Google Play 系统更新和 Play 服务；目前尚无针对 Anthropic 锁屏攻击链的已声明修复映射 |
| Linux 发行版 | 发行版安全仓库和厂商公告中针对确切内核包的更新（Debian/Ubuntu、Fedora/RHEL、SUSE 等）；重启进入更新后的内核 |
| Google Chrome | 在 Windows/macOS/Linux 上使用 Google 签名的官方 Chrome 稳定版更新程序，然后重启浏览器 |
不受支持和已终止支持的操作系统版本可能没有可用的安全更新。请升级到受支持的版本，或采用厂商支持的隔离/退役流程。切勿尝试跨操作系统的二进制补丁。
执行以下四项独立检查，并将结果记录在 验证工作表中：
catalog.py check。