主流发行版不支持真正内核热更新，仅提供受限热补丁；基础库可自动更新但需预检，内核与闭源驱动包必须禁用自动安装；自动化须可观察、可拦截、可回退，并严格验证修补效果。
内核热更新根本不存在于主流发行版
Linux 主流发行版（RHEL/CentOS/Rocky/Alma、Ubuntu/Debian、SUSE）都不提供真正意义上的“内核热更新”——即不重启替换运行中内核。所谓“热补丁”仅限极少数场景：kpatch（RHEL/CentOS 7+）、livepatch（Ubuntu 16.04+）、kGraft（SLE），且都要求：匹配精确的内核版本、仅修复特定 CVE、需手动启用并验证。生产环境默认不启用，也不能覆盖 Dirty Pipe、CVE-2024-1086 等需完整内核替换的漏洞。
自动修补安全漏洞必须区分包类型
盲目对所有包启用自动安装会引发兼容性事故。关键判断点是：哪些包允许自动装，哪些必须人工介入：
-
libc6、openssl、systemd等基础库和核心服务：可配置自动安装（Unattended-Upgrade::Install-On-Shutdown "true"或apply_updates = yes），但需搭配apt install --dry-run/dnf update --assumeno预检 -
linux-image-*（Debian/Ubuntu）、kernel-core和kernel-modules（RHEL系）：必须设为"false"或no，只允许下载不安装 - 闭源驱动相关包（如
nvidia-kernel-dkms、dkms）：禁用自动更新，否则新内核安装后驱动无法重建，直接黑屏或 panic
配置自动修补任务项的实操要点
不是打开开关就完事，重点是让自动化行为可观察、可拦截、可回退：
- Debian/Ubuntu：在
/etc/apt/apt.conf.d/50unattended-upgrades中显式限定来源：Unattended-Upgrade::Allowed-Origins {"${distro_id}:${distro_codename}-security";};，避免误装非安全源更新 - RHEL 8+/Rocky/Alma：在
/etc/dnf/automatic.conf中设apply_updates = no，再加一行upgrade_type = security，确保dnf list updates --security才触发通知 - 所有系统都应配 cron 每日执行：
apt list --upgradable 2>/dev/null | grep -E "(security|linux-image)" | mail -s "SECURITY UPDATES READY" admin@company.com（Debian）或等效dnf命令 - 日志必须留存：在 unattended-upgrades 或 dnf-automatic 的配置中启用
MailTo或写入/var/log/unattended-upgrades/unattended-upgrades.log
验证修补是否真正生效的三个动作
打完补丁≠漏洞消失，尤其内核类 CVE 必须交叉确认：
- 查已安装版本是否匹配 CVE 公告要求：
dpkg -l | grep linux-image（Debian）或rpm -q kernel-core（RHEL），比对公告中的最低修复版本（如 RHSA-2026:XXXX 要求kernel-core-5.14.0-284.30.1.el9_2） - 查运行时是否加载修复逻辑：对 Dirty Pipe 类漏洞，运行
cat /sys/kernel/mm/userfaultfd/allow_unknown_mode应返回0；对 CVE-2024-1086，检查grep -r "CONFIG_BPF_JIT" /boot/config-$(uname -r)是否为y并已启用 - 扫描残留风险：用
trivy fs / --security-checks vuln或cve-search -p linux_kernel -v $(uname -r)再扫一次，确认 CVE 编号已从输出中消失
内核更新永远绕不开重启，而重启前没验证 grubby --info=ALL 和 dracut -f，等于把服务器交到未知状态里。没人能替你按那个回车键。
