这两天连着炸出两条安全消息。先是11月3日，美国CISA把WordPress核心的一个提权漏洞（CVE-2026-119977）加入已知被利用名单——这是个竞争条件漏洞，正被积极利用。紧接着第二天，OpenAI公布他们对Linux内核的自动化扫描结果：从2308个潜在问题中动态复现1724个漏洞，生成948个本地提权的exp，普通用户能一步步拿到root。
网站跑在WordPress上的，服务器又是Linux的，这两条加起来，够让人出一身冷汗。但我们干这行的都知道，怕没用，得动手查。
WordPress先打补丁，别给服务器留后门
CISA这次点名的CVE-2026-119977，是一个存在于WordPress核心的竞争条件漏洞，官方修复版本已经发布。很多站长习惯把WordPress核心、插件、主题的更新拖一拖，或者干脆用禁止自动更新的方式图省事。如果你也是这样做的，今晚就登录后台，把核心升级到最新稳定版，顺带把安装的插件和主题也过一遍——我们见过太多入侵，是从某个N年前的废弃插件开始的。
如果你在用本站下载的WordPress主题或dedecms模板，也最好趁着这次检查一下是否涉及到相关文件调用。模板本身一般不含高危操作，但一些集成了远程调用或后台上传功能的商业模板，得确认作者是否作过安全审计。这个我们自己也会持续关注，发现隐患第一时间通知大家。
内核漏洞太多？先盯住自己的发行版
OpenAI这次扫出的948个提权漏洞，细节并没有完全公开，但可以确信：目前主流Linux发行版的稳定版内核，肯定还有一大部分没来得及修复。我们没法对着那堆CVE编号一条条核对，最实在的办法就是看自己用的系统版本升级通知。以Ubuntu为例，截至目前官方刚把MPTCP远程执行漏洞的内核补丁放进测试通道，覆盖26.04/24.04/22.04，其他LTS尚无时间表；CentOS Stream和Rocky Linux因为基础内核较新，更新节奏略快，但依然存在观察窗口。
去系统里看一眼内核版本：uname -r，如果你用的是宝塔面板，直接在面板首页的系统信息里也能看到。拿着版本号到发行版官网核对最新的安全公告，看有没有标的“important”或“critical”的内核更新。这一步老实做，比你盯着那948个数字焦虑更有用。
实在等不及补丁，怎么做临时加固？
如果手上服务器跑着生产环境，又担心窗口期被黑，可以立刻执行几个低风险操作：
- 限制SUID：执行 find / -perm -4000，把输出里除了sudo、su、ping等必需的，该删的删，该取消SUID位的取消。很多内核溢出exp的执行前提就是环境里存在SUID可执行文件。
- 上auditd：对/etc/shadow、/etc/passwd加审计规则，能在密码文件被动脚本修改时留记录。
- 本地防火墙收紧：在INPUT链上把非业务端口全部DROP，万一出问题，也限制横向移动。
- 定时reboot：如果业务允许，每周挑一次业务低谷全量重启，可以清理掉潜伏的内存马和未落地的exp。虽然笨，但管用。
宝塔面板用户可以参考本站之前的TCP漏洞自查和内核升级教程，步骤都拆得很细。不会敲命令的，照着点几下也能完成大多数检查。
最后再啰嗦一句：别被那948个数字吓到。补丁肯定会来，漏洞本来就是软件的一部分。该挡的攻击面挡牢，该更新的东西不拖，就这句话，干三年站长、五年站长，都通用。
