看到“Linux Kernel IPv4 TCP 高危漏洞”这类标题，先别急着把生产服务器全部重启。你手上如果正在用宝塔面板装 WordPress 主题站、企业站或者客户交付站，真正要判断的是：这台机器有没有暴露条件，补丁能不能在业务低峰期上。
据公开报道，Linux Kernel，也就是 Linux 内核，存在影响 IPv4 TCP 连接处理的安全漏洞，编号 CVE-2026-98432。攻击者在特定条件下，可能从远端以 root，也就是系统管理员权限，执行命令。Anthropic 研究人员在 10 月 27 日公开攻击验证：目标是有 MPTCP 监听服务的 Linux 服务器，不需要登录账号或用户操作。报道还提到，研究人员借助 AI 完成攻击验证；但利用条件并不宽松，MPTCP 并非默认启用。上游已完成修补，各发行版补丁进度不一，部分版本仍待修补。
没开 MPTCP，是不是就没事？
没开 MPTCP 只能降低被这类攻击验证命中的概率，不能替代发行版补丁。不少客户会问：“我这台只是跑 WordPress 主题和几个静态页面，是不是可以不管？”我的回答是：风险低一点，但不能直接画句号。
MPTCP 是 Multipath TCP，多路径 TCP。它允许一条连接同时走多条网络路径。公开报道里提到，它并非默认启用。也就是说，很多普通建站环境默认不满足攻击验证里的条件。但服务器安全不是只看一个开关。发行版补丁、内核版本、开放端口、面板服务、数据库监听，都会影响实际暴露面。
你可以先做几个不危险的动作。登录服务器，执行 uname -r 看当前内核，再执行 cat /etc/os-release 看发行版。再用 ss -lntp 看监听端口。若你不熟悉输出，重点看有没有陌生端口对公网开放。对于 MPTCP，可尝试 sysctl net.mptcp.enabled。如果返回 0，通常表示未启用；如果命令报错或路径不存在，不要直接当成已经安全，去查你所用发行版的补丁说明。
生产站要不要立刻升级内核？
已推送安全更新的发行版，应该安排升级；但生产站不要拿业务赌手速。个人博客、展示站、测试站，可以先做备份和快照，再按发行版文档更新内核，然后重启验证。若你是做客户站的团队，建议把升级拆成三个动作：测试机验证、低峰窗口执行、重启后检查网站和数据库。这里不是堆流程，是因为内核升级后，个别驱动、面板组件、PHP 扩展可能表现不同。你提前有快照，回退才有底气。
常见命令要按发行版来。Debian/Ubuntu 系统通常先 apt update，再执行 apt upgrade，或按安全公告只升级内核包。CentOS/RHEL/AlmaLinux/Rocky 一类系统通常用 dnf update kernel 或 yum update kernel。命令本身不复杂，复杂的是你有没有记录升级前内核版本、有没有留回滚方案。若服务器放在中国内地，备案站点还要把维护公告和停服时间写进客户沟通里；若用境外节点，补丁动作一样，但要提前考虑线路时延、维护窗口和合规要求。
建站交付时，别只交模板和源码
交付客户站时，服务器补丁和端口清单应该跟模板、源码一起交。很多小型建站团队交付时习惯发一个压缩包：WordPress 主题、HTML 模板、建站源码、数据库账号。客户收到后问“怎么又打不开”，团队才发现服务器内核和补丁没人管。很多客户一开始问的是 WordPress 主题怎么安装，其实先把服务器补丁和端口查清，后面少很多返工。我们在微码盒的宝塔面板建站教程里会反复提醒：上线前把内核自查和端口自查做掉，比上线后救火省事。
如果你在做 DedeCMS 模板修改，或者给客户部署 WHMCS、企业站，可以把下面几项写进交付清单：
- 当前 Linux 内核版本、发行版版本、补丁日期。
- 公网监听端口列表，以及每个端口对应服务。
- MPTCP 是否启用；若不确定，记录检查命令和输出。
- 升级内核前的备份、快照或镜像位置。
- 重启后的检查项：宝塔面板、Nginx/Apache、PHP、数据库、站点首页与后台登录。
这份清单不显得高级，但很实用。客户未必懂 root 权限漏洞，却能看到你做了什么。你也不用等漏洞上了热搜，再临时找维护窗口。
模板和建站教程可以在站内查看。下次交付前，先把 uname -r 的结果和补丁日期写进验收单，比事后解释更省力。
