• 2026年11月10日 星期二

我们已完成 11 月 Linux 系统镜像更新。新镜像的软件包更新到 11 月 10 日，内核已包含 10 月 31 日公告中高危漏洞 CVE-2026-98432 的修复。新开通或重装的 VPS 会使用新镜像；正在运行的 VPS 不会自动变化，处理方式见第二部分。

一、本次更新内容

各系统新镜像的内核版本：

Ubuntu 22.04：5.15.0-203
Ubuntu 24.04：6.8.0-149
Ubuntu 26.04：7.0.0-43
Debian 12：6.1.190
Debian 13：6.12.116
Rocky Linux 8、AlmaLinux 8：4.18.0-553.184.1
Rocky Linux 9、AlmaLinux 9：5.14.0-687.66.1
CentOS Stream 9：5.14.0-763

网络：默认启用 BBR 拥塞控制和 FQ 队列，并调大了 TCP 收发缓冲区。从中国大陆和亚洲其他地区远距离连接时，单个连接可用的带宽上限更高。

安全：公网默认只开放 SSH 端口，系统不再对外监听其他端口；关闭 MPTCP，以及 DCCP、SCTP、RDS、TIPC 等平时用不到、却常被用来提权的网络协议；不接受 ICMP 重定向和源路由。

精简：移除 snap、崩溃上报、硬件固件更新等云服务器用不到的组件，每个镜像只保留一个内核。系统自动安全更新改为每台服务器在一天内的随机时间运行。

CentOS 7.9 和 CentOS Stream 8 的软件源已换成官方归档源，详见第三部分。

二、处理建议

正在运行的 VPS，可以任选下面一种方式处理。

方式一：重装系统

在客户中心对 VPS 重装系统，选择原来的系统即可，重装后就是上面列出的新内核。重装会清空系统盘上的全部数据，请先备份需要保留的文件。

方式二：不重装，手动升级内核后重启

以 root 登录 VPS，复制对应系统的整行命令粘贴到 SSH 终端并回车，系统会完成升级并自动重启，约 3–5 分钟后重新登录即可。

Ubuntu、Debian：

apt-get update && apt-get full-upgrade -y && reboot

Rocky Linux、AlmaLinux、CentOS Stream 9：

dnf upgrade --refresh -y && reboot

Ubuntu 24.04 自带的自动更新目前不会安装这次的内核，需要手动执行一次。其他系统即使已经自动装好新内核，也要重启后才会生效。

如果您希望逐条执行，可以按下面顺序操作：

（1）查看系统版本：

cat /etc/os-release | head -n 2

（2）更新软件源列表（Rocky Linux、AlmaLinux、CentOS Stream 9 跳过这一步）：

apt-get update

（3）升级全部软件包，包括内核。Ubuntu、Debian 执行第一行，Rocky Linux、AlmaLinux、CentOS Stream 9 执行第二行：

apt-get full-upgrade -y
dnf upgrade --refresh -y

（4）重启，让新内核生效：

reboot

（5）重新登录后查看内核版本：

uname -rv

版本开头的系列与下面一致、后面的编号不低于下面的版本，即已修复：Ubuntu 22.04 为 5.15.0-203，Ubuntu 24.04 为 6.8.0-149，Ubuntu 26.04 为 7.0.0-43，Debian 12 为 6.1.190（看输出中“Debian”后面的版本号），Debian 13 为 6.12.113，Rocky Linux / AlmaLinux 8 为 4.18.0-553.182.1，Rocky Linux / AlmaLinux 9 为 5.14.0-687.64.1，CentOS Stream 9 为 5.14.0-763。按 10 月 31 日公告启用的临时防护可以保留，不影响使用。

三、CentOS 用户特别说明

新的 CentOS 7.9 和 CentOS Stream 8 镜像已把软件源换成官方归档源（vault.centos.org），装好后可以直接用 yum 或 dnf 安装软件，不需要再自己修改软件源。CentOS Stream 9 仍在官方维护期内（至 2027 年 5 月底），使用官方软件源，这次的漏洞已在 5.14.0-763 内核中修复，按第二部分的 dnf 命令升级即可。

CentOS 7 和 CentOS Stream 8 官方已停止维护，不再发布安全更新，很多已公开的漏洞不会再修复，我们的镜像同样无法修复。CentOS Stream 9 是滚动测试版，维护期也只剩半年。我们不建议继续选用 CentOS，新业务建议改用 Rocky Linux 或 AlmaLinux（与 CentOS 用法基本一致）、Debian 或 Ubuntu。就这次的 CVE-2026-98432 而言，CentOS 7 不受影响，CentOS Stream 8 受影响且官方不会修复。

如果业务必须继续使用 CentOS，可以自行选择：

（1）继续使用现有系统，或重装为新版镜像（已配置好归档源，无需自己改源），并自行承担未修复漏洞的风险。

（2）自行安装社区维护的第三方内核，例如 ELRepo 提供的长期支持内核 kernel-lt，看能否修复相应漏洞。它不是 CentOS 官方内核，可能出现软件不兼容或无法开机，风险由您自行承担，操作前请先备份。CentOS 7 已没有仍在维护的社区内核。

长远来看，我们仍建议换用 Rocky Linux、AlmaLinux 等仍在维护的系统。它们与 CentOS 用法基本一致，一般可以借助社区的迁移工具在原系统上直接转换，不需要重装，具体方法可以自行研究，迁移前请先备份。

Thank you for your business,
NovixLink

返回