统信UOS安全补丁未生效或内核未升级，需依次启用安全更新通道、手动安装安全包、切换并固定内核、禁用自动清理策略、验证补丁状态。
如果您在统信UOS系统中执行更新操作，但安全补丁未生效或内核版本未按预期升级，则可能是由于更新源配置异常、内核保留策略启用或安全更新通道未正确启用。以下是执行安全升级与内核版本管理的具体步骤：
一、启用安全更新通道并刷新软件源
统信UOS默认可能未启用安全更新专用源，需手动确认并激活该通道，确保系统能获取最新发布的安全补丁和内核更新包。
1、打开“控制中心”，点击“网络与安全”模块中的“安全中心”。
2、在左侧菜单选择“系统安全”，找到“安全更新设置”区域。
3、勾选启用安全更新通道，并点击“立即刷新软件源”。
4、等待刷新完成，观察右下角提示是否显示“安全源更新成功”。
二、手动安装指定安全更新包
当系统未自动推送关键安全补丁时，可通过命令行直接下载并安装已发布的安全更新包（deb格式），绕过常规更新队列限制。
1、访问统信UOS官方安全公告页面，查找对应版本号的安全更新列表。
2、复制目标deb包的完整下载链接，例如：https://cdn.chinauos.com/uos/sec-updates/pool/main/u/uos-security-20240517-1_amd64.deb。
3、在终端中执行：wget https://cdn.chinauos.com/.../uos-security-20240517-1_amd64.deb。
4、执行：sudo dpkg -i uos-security-20240517-1_amd64.deb完成安装。
三、切换并固定指定内核版本
统信UOS采用多内核共存机制，新内核安装后不会自动替换启动项；需手动调整GRUB默认启动内核，并禁用自动内核清理策略以防止误删。
1、执行：uname -r查看当前运行内核版本。
2、执行：dpkg --get-selections | grep linux-image列出所有已安装内核镜像包。
3、执行：sudo apt-mark hold linux-image-5.10.0-amd64锁定目标内核不被自动移除。
4、执行：sudo nano /etc/default/grub，修改GRUB_DEFAULT值为对应内核在启动菜单中的索引编号（从0开始计数）。
5、执行：sudo update-grub && sudo reboot使配置生效。
四、禁用内核自动清理策略
系统默认启用内核自动清理功能，可能在更新后删除旧版内核，导致无法回退至已验证稳定版本，需关闭该策略。
1、打开“控制中心”，进入“系统更新”模块。
2、点击右上角“更多设置”按钮（齿轮图标）。
3、取消勾选自动清理旧内核版本选项。
4、关闭窗口，系统将不再在后续更新中自动卸载历史内核包。
五、验证安全补丁应用状态
安装完成后需确认关键漏洞修复是否已实际注入内核或用户态组件，避免仅完成包安装而未加载补丁逻辑。
1、执行：uos-security-check --list列出所有已检测到的安全策略项。
2、执行：uos-security-check --check CVE-2024-1234验证特定CVE编号是否标记为“已修复”。
3、执行：cat /proc/sys/kernel/kptr_restrict确认返回值为2，表示内核指针泄露防护已启用。
