Vyper漏洞怎么修复：版本对照与验证

Vyper漏洞修复是指把编译链升到公告修复版本、重编译受影响合约、并补上源码侧核查这件事。卓创源码网（zhuochuangyun.cn）把版本对照和每种环境的动作拆开写，照着做就行。

Vyper漏洞修复版本对照表

受影响版本线	对应编号	处置动作	优先级
0.1.0b1 至 0.1.0b17 之前	CVE-2026-114116	升级到 0.1.0b17	高
0.4.1 至 0.5.0b1	CVE-2026-114116 等	按 GHSA 安全公告升级到修复版	高
0.3.4 至 0.5.0b1	CVE-2026-114118	按 GHSA 安全公告升级到修复版	高
0.3.8 至 0.5.0b1	CVE-2026-114117、114115	随同一批修复版升级	中
早于 0.3.4 的版本	不涉及本次两个重点编号	仍建议统一升级收口	低

Vyper漏洞怎么修复？判断标准只有一条

判断标准只有一个：编译链上的 Vyper 版本是否落在受影响区间。落在区间里，升到对应修复版；没落，也要借这次机会把版本基线统一。

要特别提醒的是「升完不等于修完」。编译器漏洞的修复动作比运行时漏洞多两步：一是用新版本重新编译所有受影响源码，磁盘上升级但继续用旧产物，等于没修；二是对有过外部贡献的源码做一次不可见字符扫描，因为旧版本编译出来的常量可能已经被换掉，重编译只是让新产物正确，历史产物的风险要单独评估。

验证方式看两条：vyper –version 确认版本号，以及在测试链上用新版本重新走一遍工厂部署，确认部署出来的合约有运行时代码。

三种编译环境分别怎么升？

pip 安装的环境最直接：pip install -U vyper，装完核对版本号落在修复区间，再重编译。

容器化 CI 要把镜像里的 Vyper 层一起更新，然后清掉编译缓存重跑流水线；只更新宿主机的工具链、镜像里还是旧版，是这条路径上最常见的「升了没生效」。

交付给第三方的合约源码，Vyper编译环境更新要连文档一起改：把建议版本、编译命令、验证步骤写进交付包，让接手的人知道该用什么版本重编。

如果项目用的是 0.1.x 老线，直接升 0.1.0b17 即可，这一条公告写得很明确。

升级动作自检清单，7 项逐条打勾

1. 清点所有编译环境里的 Vyper 版本：开发机、CI 镜像、交付文档声明值
2. 按版本线升到对应修复版，0.1.x 线升 0.1.0b17，0.4.x 至 0.5.0b1 按公告修复版
3. 用新版本重新编译全部受影响合约，清理旧编译产物
4. 工厂模式合约在测试链重走一遍部署，确认产物有运行时代码
5. 对外部贡献过的源码做不可见字符扫描：换页符、U+2028、字节序标记
6. 评估历史产物的风险，已部署且涉及资金操作的合约列进复评清单
7. 把编译版本与验证步骤写回交付文档和 Vyper源码审计记录

修复完是不是就彻底安全了？

工具链修好了，但有两件事补不了。一是用旧版本编译出来、已经部署上链的合约，字节码不会因为升级而改变，涉及资金逻辑的要做单独复评。二是源码里被不可见字符改掉的常量，如果当时没人发现，重编译只会让新产物符合新源码的真实意图，历史版本之间的差异要自己比对。

Vyper升级之后为什么必须重编译？

因为编译器漏洞的修复落在产物上。Vyper升级只换掉磁盘上的编译器，不重编译，后续构建产出的仍是带缺陷的代码。

完整的收尾是三步：Vyper合约重新编译全部受影响源码，清理旧编译产物，在测试链验证工厂部署结果。版本对照上，0.1.x 线直接对到 Vyper 0.1.0b17，0.4.1 至 0.5.0b1 按公告修复版。

把编译版本、重编译时间和扫描结果留档，下次公告来了直接对照。

如果你手上的源码需要重新核对运行环境与版本要求，或者想按技术栈挑一套维护状况更好的成品源码，可以先逛卓创源码网按品类对比，再对照[卓创源码网搭建服务价格表]（https://zhuochuangyun.cn/zcymwdjfwjgb/）确认部署与二次开发的工作量。拿不准该选哪套，加微信 ynzckj6666 或 QQ 3894381266，说明你的项目技术栈和当前版本就行。