4.0.21 Released
RubyGems 4.0.21 includes enhancements and Bundler 4.0.21 includes enhancements and bug fixes. To update to the latest RubyGems you can run: gem update --system [--pre] To update to the latest Bundler ...
评论
点赞
收藏An update on the May spam-publishing campaign on rubygems.org
Following reporting by The Wall Street Journal and the publication of research by Nightingale Collective, we want to clarify what we know about the spam-publishing campaign on in May 2026. We take the...
RubyGems 与 Bundler 4.1.0.beta1 发布
RubyGems 和 Bundler 4.1.0.beta1 发布，核心变化包括用 PubGrub 替换 Molinillo 依赖解析器、新增内容寻址 gems 支持、PQC ML-DSA 加密签名，以及 RubyGems 与 Bundler 共享全局 gem 缓存。
4.0.20 Released
RubyGems 4.0.20 includes enhancements, bug fixes and documentation and Bundler 4.0.20 includes enhancements, bug fixes and documentation. To update to the latest RubyGems you can run: gem update --sys...
4.0.19 Released
RubyGems 4.0.19 includes enhancements, bug fixes and documentation and Bundler 4.0.19 includes enhancements, bug fixes and documentation. To update to the latest RubyGems you can run: gem update --sys...
Making RubyGems Guides friendly to humans and AI
The RubyGems guides at are read by more than humans these days. AI agents fetch them to answer questions about building, publishing, and installing gems. Evil Martians’ Ruby/Rails LLM discoverability ...
4.0.18 Released
RubyGems 4.0.18 includes enhancements, bug fixes and documentation and Bundler 4.0.18 includes enhancements, bug fixes, security and documentation. To update to the latest RubyGems you can run: gem up...
RubyGems advisory: Possible leak of legacy API keys via improper cache config
A CDN caching bug on could hand one account’s API key to another person for up to an hour. If you signed in to with a gem client older than v3.2.0, your key could have been exposed (the technical deta...
4.0.17 Released
RubyGems 4.0.17 includes enhancements and bug fixes and Bundler 4.0.17 includes enhancements, bug fixes and documentation. To update to the latest RubyGems you can run: gem update --system [--pre] To ...
4.0.16 Released
RubyGems 4.0.16 includes enhancements and bug fixes and Bundler 4.0.16 includes enhancements, bug fixes and documentation. To update to the latest RubyGems you can run: gem update --system [--pre] To ...
4.0.15 Released
RubyGems 4.0.15 includes enhancements and bug fixes and Bundler 4.0.15 includes enhancements and bug fixes. To update to the latest RubyGems you can run: gem update --system [--pre] To update to the l...
RubyGems 4.0.14 与 Bundler 4.0.14 发布
RubyGems 4.0.14 版本发布，主要包含增强功能，如添加可执行文件和绑定目录验证，以及清理显示的 gem 文本中的控制字符。同时 Bundler 4.0.14 也进行了发布，主要包含错误修复。 
Bundler 4.0.13 引入冷却期机制：让新发布的 Gem 先经社区审查
Bundler 4.0.13 引入冷却期机制：bundle install 会拒绝解析发布未满 N 天的新版本，防止供应链攻击利用账号劫持后的短暂窗口期。 该功能为 opt-in，配置极简——Gemfile 中 source 后加 cooldown: 7 即可，也支持命令行 --cooldown、环境变量 BUNDLE_COOLDOWN 和全局 config 设置。 冷却期内不会静默失败，而是报告被阻拦的版本数并提示用 --cooldown 0 紧急绕过（例如零日漏洞修复）。项目在 RubyGems 讨论中公开设计，借鉴了其他生态的做法，并依赖 新版 v2 compact index 提供的 per-version created_at 时间戳。 冷却期不代替 2FA 和 trusted publishing，而是作为多层防御中的一环，与 AI 辅助漏洞扫描、密码泄露检查等共同构成 RubyGems 当前的安全投入方向。 
RubyGems 4.0.13 正式发布
RubyGems 4.0.13 与 Bundler 4.0.13 版本发布，包含增强功能、Bug 修复与安全更新。核心修复包括：防止通过预先存在的符号链接将解压提取到目标目录之外（PR #9493），以及在 popen2e 中立即关闭标准输入流（PR #9540）。 用户可通过 gem update --system 或 gem install bundler 升级。这是官方版本发布公告，信息准确但为机构通稿式更新日志，无个人观点或讨论入口。 
RubyGems 与 Bundler 4.0.12 版本发布
RubyGems 和 Bundler 发布 4.0.12 版本更新。核心变动：移除了 cygwin 的 WIN_PATTERNS 匹配（PR #9527，贡献者 fd00），将 bundler 4.0.12 设为默认 gem，修复了当 BUNDLE_VERSION 为 "lockfile" 时回退到 lockfile 版本的问题。 升级方式：gem update --system 或 bundle update --bundler=4.0.12。这是一则常规版本发布通告，内容为标准的变更日志汇总，无个人视角或讨论入口。 
RubyGems 4.0.11 与 Bundler 4.0.11 发布
RubyGems 和 Bundler 发布 4.0.11 版本更新，主要包括若干增强和 Bug 修复。新增注释形式的 rubygems_mfa_required 模板配置（PR #9487），并澄清了 gem spec 第一个参数的含义和命名（PR #9476）。 属于例行发布通稿，仅对需跟踪版本变更的 Ruby 开发者有参考价值。 
用AI扩展Ruby的安全防线
RubyGems团队首次使用AI辅助漏洞扫描，向Nokogiri维护者提交漏洞报告并获采纳（GHSA-c4rq-3m3g-8wgx）。同一周曝出Anthropic安全模型Mythos遭第三方入侵，据称该模型曾在各大操作系统和浏览器中识别出数千个零日漏洞。 这是Ruby官方在AI安全扫描领域的首次公开实践案例，但全文以机构公告口吻叙述，缺少个人视角、实操细节或可讨论的观点。 
RubyGems.org 公开项目路线图
Ruby 生态核心的包管理器 首次发布了公开路线图。过去一年团队完成了多项重要工作：发布了 registry 历史上首套正式策略、启动 Organizations 私有内测、改进 gem 验证流程和弱密码检测机制。 此前这些进展和规划分散在各类大会演讲和邮件列表中，开发者和社区成员只能零散获取信息。现在路线图将所有计划集中展示，让社区能清晰了解项目优先级的演进方向。 
从外到内保护 rubygems.org：DoS 防护与泄露密码检测
近期推出两项安全加固：一是在 gem 推送时加强内容校验，确保元数据格式正确且包内容与声明一致；二是集成 Have I Been Pwned（HIBP）数据库，在用户登录或操作时检测密码是否已在公开泄露中出现，及时拦截被泄露凭据。 两项措施分别从包入口和账户入口提升生态安全性，属于 Ruby 包管理器基础设施的关键防御升级。
RubyGems 4.0.10 与 Bundler 4.0.10 发布
RubyGems 和 Bundler 同步发布 4.0.10 版本更新。本次更新包含三项主要增强：忽略不同平台 spec 的警告信息（PR #8508）、优化 gem 版本排序算法（PR #9421）、将 SPDX 许可证列表更新至 2026 年 2 月版本。 同时修复了若干 bug。开发者可通过 gem update --system 升级。对于追踪 Ruby 生态工具链更新的开发者有一定参考价值，但属于标准版本发布通稿，无个人观点和讨论入口。 
RubyGems.org 暂时禁用多语言支持
运维人员自述：网站过去一周持续遭受多来源爬虫机器人攻击，它们故意绕过 Fastly 缓存直接命中源服务器，主要瞄准语言区域页面，流量大到多次迫使网站下线。 作为应急响应，团队决定暂时禁用多语言支持功能来缓解压力。这是一线运维人员的真实情况通报，提供了攻击模式、目标和应对措施的具体信息，对 Ruby 生态用户有直接参考价值。 
RubyGems 4.0.9 与 Bundler 4.0.9 发布
RubyGems 4.0.9 和 Bundler 4.0.9 同时发布，是一次常规版本维护更新。RubyGems 侧主要变更：gem owner 命令新增 owner role 支持（PR #9403），以及将 Bundler 4.0.9 设为默认 gem。 Bug 修复包括确保 source URI 尾部斜杠不会缺失等若干问题。Bundler 侧则以 bug 修复为主。对日常使用 RubyGems 的开发者来说没有破坏性变更，可按需升级。 这是官方仓库的纯版本发布记录，无个人观点、无分析、无讨论入口，适合需要确认具体变更的 Ruby 开发者查阅。 