如果你正在用Ubuntu跑生产站点，这件事你最好现在就确认一下：有一个0day远程代码执行漏洞，公开快三周了，Ubuntu LTS的内核补丁还没发出来。据公开报道，漏洞编号CVE-2026-98432，影响Ubuntu多代LTS内核。对跑着宝塔面板、放着客户站的Debian/Ubuntu机器来说，这不是一条“跟我没关系”的安全新闻。
这个漏洞到底有什么风险
不少客户会问：“0day远程代码执行，是不是别人直接就能黑进我的服务器？”概率大小取决于你的暴露面，但潜在后果是种实打实的威胁：攻击者在未授权情况下拿到服务器权限，网站被挂马、数据被拖走、整台机器被当成跳板。更麻烦的是，截止到11月2日，Canonical官方仍未发布修复内核，这就意味着日常习惯靠apt upgrade保平安的站长，眼下是等不到现成补丁的。
你的服务器在受影响范围吗
问两个问题就够了：
- 服务器装的是Ubuntu 20.04、22.04还是24.04？
- 内核有没有升级到Canonical后续发布的修复版本？——但这句话现在等于是废话，因为补丁还没发。
你可以SSH上机器跑一句：
uname -r
看到类似5.4.0、5.15.0、6.8.0这类典型LTS内核，又没做过手工换主线内核的，几乎可以认定在受影响范围里。宝塔面板用户尤其注意——多数面板的在线安装脚本默认选用的就是Ubuntu LTS，机器买来直接挂面板上线，结果内核恰恰在受影响行列，这种情况我们经常遇到。
补丁没出，等还是不等
有站长会觉得，“反正还没见到批量利用，是不是不用着急？”看看同期的另一件事：Alpine Linux项目因为一个CVSS满分漏洞没及时修补，其GitLab服务器被直接攻破，最终迫使他们关掉GitLab服务并重建整条开发基础设施。公开报道里用到的词是“供应链风险”——没补丁的后果不只是单机被黑，而是连你基于这个系统做的所有东西都可能被连带污染。
Ubuntu此次内核0day虽尚未披露大规模在野利用，但三周的窗口期足够让利用代码在暗网流传。所以我的建议是：不要干等，先做你能做的。
现在可以做的几件事
第一，收紧攻击面。检查哪些服务暴露在公网，不必要的端口直接关掉；SSH改用密钥登录加防火墙白名单，别依赖默认的22端口。
第二，启用AppArmor并针对关键服务写套合适的策略。Ubuntu默认开着AppArmor，但不少一键脚本会把它调成complain模式，等于没开。跑aa-status看一眼，如果处于disabled或complain，拉回到enforce并针对Nginx、PHP、MySQL这些服务单独profile。
第三，留意Canonical的安全公告，补丁一出立刻更新。同时，有条件的可以准备一个备用的内核方案——比如临时切到Ubuntu主线内核，或在这台机器之外另起一条应急环境放静态站点。不是让所有人立刻迁移，而是别被单点卡死。
第四，翻一翻日志。用last、journalctl和审计日志看看近期有没有异常登录或提权尝试。有时服务器已经被人进来转过一圈，只是还没动手，这条我们自己运维过程里真碰到过。
有些客户会问我：“换内核会不会影响宝塔兼容性？”影响不大，但操作前记得留快照或备份，宝塔本身只管上层软件，切换内核后重装一下依赖就行。我们在微码盒的宝塔面板建站教程栏目里写过内核TCP漏洞自查、Brotli漏洞应对等系列文章，思路相通，可以对照着操作。
安全这件事，发行版不推送补丁的时候，最能看出来谁真的盯住了自己机器。服务器搞稳妥了，再考虑模板、插件和站点上线的事——到微码盒站内看看WordPress主题和DedeCMS模板，源码干净、部署前先替换掉默认账号和盐值，比在挂马站点上装修强一百倍。
