升级内核安全的关键是保留旧内核、明确安装新内核包、更新GRUB配置并手动验证启动；Ubuntu用apt install linux-image-generic+update-grub，RHEL/CentOS启用ELRepo后install kernel-lt+grub2-mkconfig，切勿直接yum update kernel或删除旧内核。
uname -r 看到的旧内核，不代表不能换——只要不覆盖、不删旧，升级就是安全的。关键不是“能不能升”，而是“怎么确保升完还能进系统”。
用包管理器装新内核，而不是 upgrade 整个系统
很多人输 yum update 或 apt upgrade 想顺带升内核，结果发现没变，或者一重启直接黑屏。这是因为主流发行版默认把内核当成“独立软件包”管理，update 不会动它，除非你明确告诉它要装哪个版本。
- Ubuntu/Debian：运行
sudo apt install linux-image-generic linux-headers-generic（装最新稳定通用版），或指定版本如sudo apt install linux-image-6.1.0-27-generic - CentOS/RHEL 7/8/9：先启用 ELRepo（
sudo rpm -Uvh https://www.elrepo.org/elrepo-release-8.el8.elrepo.noarch.rpm），再装长期支持版：sudo yum --enablerepo=elrepo-kernel install kernel-lt - 切忌用
yum update kernel—— 这会尝试升级已安装的旧包，可能失败；而yum install kernel-lt是新增一个内核条目，旧的还在
GRUB 配置不更新，新内核就等于没装
装完 kernel-lt 或 linux-image-6.1.0-xx，只是把 vmlinuz-* 和 initramfs-* 放进了 /boot，但 GRUB 启动菜单根本不知道有它。这时候重启，大概率还是进老内核，甚至进不去（如果误删了旧内核）。
- Ubuntu/Debian：必须跑
sudo update-grub，它会扫描/boot下所有vmlinuz-*并生成新菜单项 - CentOS/RHEL：必须跑
sudo grub2-mkconfig -o /boot/grub2/grub.cfg，否则grubby --set-default也无效 - 验证是否生效：执行
awk -F\' '$1=="menuentry " {print i++ " : " $2}' /boot/grub2/grub.cfg（RHEL系）或grep menuentry /boot/grub/grub.cfg | head -5（Ubuntu），确认新内核名字出现在列表里
别急着设默认启动项，先手动选一次
装完新内核、更新了 GRUB，别立刻改 GRUB_DEFAULT=0 或用 grubby --set-default。万一新内核缺驱动、卡在 initramfs，你连恢复机会都没有。
- 重启时，在 GRUB 菜单按
e编辑启动项，检查linux行是否指向新vmlinuz，initrd是否匹配对应initramfs - 第一次启动成功后，再运行
grubby --set-default-index=0（RHEL）或修改/etc/default/grub中GRUB_DEFAULT=0并重生成配置 - 保留至少一个可用的旧内核（比如
3.10.0-xxx或5.4.0-xx），删除旧内核命令是sudo apt autoremove（Ubuntu）或sudo yum remove kernel-3.10.0-*（RHEL），但首次升级后建议至少等两周再清理
生产环境只认 Longterm 内核，别碰 mainline 和 rc 版
看到 kernel-ml-6.12.0 或 linux-image-6.13-rc5 别手痒——这些是给开发者测新功能用的，服务器上跑几天可能就 panic。真正该盯的是 kernel-lt（ELRepo）或 Ubuntu 的 hwe-22.04 包，它们背后是 2–4 年 LTS 支持周期。
- 当前（2026年3月）推荐的 LTS 内核：RHEL/CentOS 用
kernel-lt-5.4.214或kernel-lt-6.1.90；Ubuntu 22.04 用linux-generic-hwe-22.04（自动拉取 6.1.x LTS） -
kernel-ml适合开发机测试 eBPF、IO_uring 或新网卡驱动，但上线前务必在同硬件上压测 48 小时以上 - 所有预发布版（带
-rc、-git、-next字样的）一律跳过，它们连基本的 ext4 journal 回滚都可能出错
uname -r。其他都是锦上添花。 
