近日，X.Org基金会披露，X.Org Server及其XWayland组件在6月初被发现存在九个新安全漏洞，其中八个由趋势科技的TrendAI零日挖掘计划借助人工智能技术发现，另一个由红帽资深X.Org输入子系统开发者PeterHutterer报告。这表明，即便距离十多年前安全研究者将X.Org服务器形容为“灾难、而且比看上去更糟”已经过去多年，这款老牌图形系统在安全层面的问题依然层出不穷。



根据公开信息，这次暴露的九个漏洞涵盖了栈缓冲区溢出、越界读写以及多处use-after-free等典型内存安全缺陷，涉及字体处理、键盘布局、同步扩展、GLX以及DRI2等多个子系统。具体包括：Font Alias栈基缓冲区溢出、XSYNC在miSyncDestroyFence()中的use-after-free、XKB Key Types栈基缓冲区溢出、XKB SetMap请求栈基缓冲区溢出、XSYNC在FreeCounter()中的use-after-free、XSYNC在SyncChangeCounter()中的use-after-free、GLX ChangeDrawableAttributes越界读写、CreateSaverWindow的use-after-free信息泄露，以及DRI2在DRIGetBuffers/DRIGetBuffersWithFormat中的越界写入。这些问题一旦被恶意利用，可能导致服务崩溃、越权访问甚至敏感信息泄露，对仍在使用X.OrgServer的桌面与服务器环境构成实质性风险。

为应对上述风险，X.Org项目已同步发布修订版本：xorg-server 21.1.23与xwayland 24.1.12，当晚即上线以修复这些最新披露的安全缺陷。X.Org基金会通过xorg-announce邮件列表发布了更详细的技术说明和修复信息，呼吁相关发行版维护者和终端用户尽快完成版本更新，降低潜在攻击面。在Linux图形栈持续演进、Wayland部署逐步扩大的背景下，X.Org服务器仍然在不少发行版和应用场景中扮演关键兼容角色，因此安全更新的及时性依然至关重要。值得注意的是，本次事件凸显了AI/大模型在安全研究领域的日益重要作用：TrendMicro的TrendAI零日计划在九个新漏洞中挖出了八个，体现了自动化分析和智能审计在老旧、大规模代码库中的高效性。随着安全团队越来越多地采用AI/LLM工具对底层系统组件进行审计，X.Org Server乃至Linux内核等基础软件在今年夏季可能会持续曝出更多历史遗留问题，同时也有望在修复过程中逐步提升整体安全基线。了解更多：https://lists.x.org/archives/xorg-announce/2026-June/003702.html