今天一上午收到好几条同样的消息：「趋势科技把 Linux 内核漏洞发到公开邮件列表了，我这台服务器要不要马上重装换内核？」先给结论：不用急着动线上机器，也不用为这事换配置。该做的是把内核版本、PHP 版本、面板里的升级提醒过一遍，再决定动不动手。
据公开报道，趋势科技旗下的零日漏洞计划 ZDI（Zero Day Initiative）团队在给内核安全团队发漏洞报告时，疑似抄送到了公开的 Linux Kernel Mailing List（Linux 内核邮件列表）。报告里有两项远程代码执行漏洞，评分按报道里的说法是 9.0 分，而且部分漏洞当时并未修复——本不该公开的东西，提前露了出来。
漏洞还没补丁，跟我手上的站有什么关系？
关系是这样：你跑的 WordPress主题、DedeCMS模板、建站源码，最后都躺在某台服务器的内核上。内核级的远程代码执行不要求攻击者知道你用什么 CMS，打到内核就够了。做客户站的小团队最容易漏掉这件事——机器分散在几个账号里，谁也说不清哪台还在跑老内核。
但也别吓自己。现在公开的是漏洞信息，攻击代码未必马上满天飞。半夜重启一台跑着业务的机器，代价是停机、配置重来、客户电话追过来，比花十分钟自查贵得多。
没补丁的时候，服务器上现在能做什么？
先自查，命令不复杂。SSH 上去跑 uname -r 看当前内核版本，再用 cat /etc/os-release 确认发行版和大版本，然后去发行版的安全公告里查有没有对应内核的更新包。用宝塔面板建站的站长，面板首页就显示系统和内核信息，看一眼就知道该不该升。
内核暂时升不了，就把攻击面收窄。几件顺手的事：
- 安全组和防火墙里关掉用不到的端口，尤其是测试时临时开的 22、3306、6379。
- SSH 禁止密码登录，改密钥；加个 fail2ban 挡暴力尝试。
- 把 Web 服务、PHP、数据库的版本过一遍，能升的先升，内核可以再等。
- 确认备份真跑得起来。真出事的时候，能不能拉回昨天的镜像，决定了你是「处理一下」还是「重做一遍」。
不少客户会问：「是不是我机器买低了，才这么怕漏洞？」跟配置高低没关系。小配置和大配置中内核漏洞的机会是一样的，差别只在有没有人在管它。所以别为这波消息升配，钱花在备份和监控上更划算。
PHP 的补丁打了，是不是就安全了？
不够。这周 PHP 也在风口上：据公开报道，PHP2Shell 漏洞（CVE-2026-109618 与 CVE-2026-109619）从 10 月 20 日起的披露和修补掀起一波网站安全风波；两天后 PHP 基金会又预告还有一个远程代码执行漏洞 CVE-2026-115560 待修补，目前的缓解手段和 session.upload_progress 这个配置有关。另一则报道提到，AWS 观察到的攻击活动比官方补丁早了四天——补丁发布时，扫描早就跑完了。
所以判断标准得换一下：不是「打没打补丁」，是「漏洞公开到补丁落地之间那段窗口，你暴露了什么」。面向公网的 PHP 站，先按 PHP 基金会的建议调整 session.upload_progress 相关配置，再等正式补丁；纯内网、不对外的机器可以排在低优先级，不必半夜爬起来折腾。
如果你正要把一套 WordPress主题、DedeCMS模板或者建站源码交付上线，环境和补丁这块别靠猜。微码盒站内的 WordPress 教程、服务器知识库和宝塔面板建站教程里有对应的自查步骤，上线照着走一遍，比当天翻论坛快。
这波消息落下来，真正值得你动手的只有三件：跑一遍版本命令、关几个没用的端口、确认备份能还原。剩下的恐慌，先放着。
