- MinIO 替代者 Silo 发布第一个正式的 S3 服务器版本，以及2026年10月重要安全更新 （当前文章）
- PGSTY Silo：源自 MinIO Fork，只改一行，无缝替代 MinIO
此前青小蛙介绍过 PGSTY Silo：源自 MinIO Fork，只改一行，无缝替代 MinIO。Silo 是由 Pigsty 团队维护的 MinIO 开源分支，保留了 S3 API、原有数据格式和完整的 Web 管理界面。
今天（2026 年 10 月 15 日），Silo 发布新的正式版本 RELEASE.2026-10-15T00-00-00Z，修复了对象锁定（Object Lock）功能中的高危安全漏洞。
并称：SILO 20261015 是第一个正式的服务器版本。
Silo 修复了什么？
Object Lock 主要用于保护备份数据，防止文件在指定保留期限内被修改或删除。
此前 Silo 存在权限检查缺陷，只要拥有有效的访问凭证，即使没有相应权限，也可能绕过 GOVERNANCE 模式的数据保留策略，导致受保护数据的保留期限被缩短或取消，增加数据被删除的风险。
项目维护者将这一漏洞评定为 High（高危）。该漏洞不允许匿名用户直接利用，但影响此前所有正式发布的 Silo Server 版本。相关缺陷继承自上游 MinIO。
本次更新主要包括：
- 修复权限绕过漏洞：严格检查对象保留策略的修改权限。
- 加强数据保护：修复可能绕过对象锁定、覆盖受保护对象版本的问题。
- 增加安全测试：将 Object Lock 回归测试纳入正式发布流程。
- 其他修复：改进存储扫描、元数据解析、校验和及事件通知等功能，并升级至 Go 1.27.2。
什么是 Object Lock？
Object Lock（对象锁定） 是 S3 对象存储的一项数据保护功能，可以让文件在指定期限内无法被修改或删除，即使拥有存储桶的管理权限，也可能受到限制。
它主要用于保护重要备份，防止误操作、恶意删除或勒索软件破坏数据。例如，将数据库备份设置为保留 30 天，在保护期内就不能随意删除或覆盖受保护的版本。
Object Lock 通常需要在创建存储桶时启用。普通用户即使使用 Silo 或 MinIO 保存文件、图片和备份，也不代表启用了该功能。 可以进入 Web 管理界面的存储桶设置查看。
常见于以下场景：
- 企业备份：防止勒索软件删除或篡改历史备份。
- 重要数据归档：要求文件在指定期限内不可删除。
- 数据库备份：保护 PostgreSQL、MySQL 等数据库的历史备份。
- 合规存储：金融、医疗等行业需要保存不可篡改的数据。
需要立即升级吗？
官方明确建议使用 Object Lock 的用户尽快升级，尤其是用于备份存储、启用了 GOVERNANCE 保留策略的环境。
如果部署了多个写入节点或跨站点复制，需要同步升级所有允许写入的节点和站点。
需要注意，升级只能防止漏洞继续被利用，无法恢复此前可能已被覆盖的数据。
青小蛙说
距离上次推荐 Silo 已经过去近一个月，青小蛙的两个 Silo 都稳定的没话说（差点忘了他们），要不是今早收到邮件，也完全想不起来的。
对于老 MinIO 用户，快去替换吧，只需要改一行 Docker 配置就换好了，真无缝切换。
