必须先确认CPU架构、系统版本及麒麟特有版本号与补丁包命名严格一致，再通过U盘或内网上传补丁至/tmp目录，依系统类型用dpkg或rpm命令离线安装，最后验证包注册、组件版本并重启生效。
您的银河麒麟系统部署在无外网环境，但扫描报告提示存在高危CVE漏洞，官方已发布对应离线补丁包，必须在不联网前提下完成安装并生效。
确认系统基础信息与补丁包匹配性
打开终端，依次执行以下命令：uname -m 查看CPU架构（x86_64/aarch64/loongarch64）；cat /etc/os-release | grep VERSION_ID 确认系统版本标识（如V10、V10 SP1）；nkvers 获取麒麟特有版本号。这三步缺一不可——【若架构或版本号与补丁包命名不一致，安装后大概率导致ssh无法登录、桌面崩溃或内核panic】。
例如补丁包名为 kylin-V10-SP1-security-patch-202609-aarch64.rpm，则必须确保 uname -m 输出 aarch64 且 VERSION_ID="V10"。
准备补丁文件并上传至目标系统
从麒麟官网支持页面（https://kylinos.cn/support/update）或监管机构指定渠道下载对应架构与版本的补丁包，文件后缀通常为 .rpm 或 .deb。
将下载好的补丁包通过U盘、光盘或内网SFTP上传至目标系统 /tmp 目录。注意：不要解压任何压缩包，离线补丁包多为单个签名RPM/DEB文件，解压反而破坏完整性。
执行离线补丁安装
方法一：APT系系统（V10 SP1桌面/服务器版主流）
进入补丁所在目录：cd /tmp
安装补丁包：sudo dpkg -i *.deb（适用于.deb格式）；若提示依赖错误，立即执行 sudo apt-get install -f 自动修复，再重试安装。
方法二：YUM/RPM系系统（高级服务器版或部分SP3环境）
进入补丁所在目录：cd /tmp
强制安装（跳过依赖与签名检查）：sudo rpm -ivh *.rpm --force --nodeps。这一步操作起来很简单，直接把文件拖进去就行。
【警告：--nodeps参数会绕过所有依赖校验，仅限补丁包经官方签名且明确标注“独立部署”的场景；若安装后服务异常，请立即回滚】
验证补丁是否生效
第一步：检查补丁是否已注册到系统包管理器——执行 rpm -qa | grep -i patch 或 dpkg -l | grep -i patch，输出应包含您安装的补丁包名。
第二步：验证关键组件版本——例如安全补丁常更新 openssl，运行 openssl version 应显示新版本号（如 OpenSSL 1.1.1w 11 Sep 2026）。
第三步：重启关键服务或整机——若补丁涉及内核、systemd、sshd等核心组件，必须执行 sudo reboot；仅更新图形应用类补丁可跳过重启，但建议统一重启以确保全部模块加载新代码。
