早上群里有客户转来两条消息，问得挺直接：APT 爆的那个漏洞严重吗？是不是得马上打补丁？紧跟着又来一句，OpenAI 说在内核里扒出九百多个提权漏洞，要不要连夜重装系统。
干了十年推广，这种问题几乎每月都会碰上一两次。怕的不是漏洞本身，是信息一下子涌过来，站长不知道该先做什么、后做什么，拖着拖着反而把修复窗口拖没了。
APT 的这个漏洞，利用门槛高不高？
这次 Debian 与 Ubuntu 修补的 CVE-2026-109518，出在 APT 套件管理工具里。攻击者要得手，得先能控制你服务器到软件源之间的 HTTP 流量——也就是要做中间人。满足这个条件之后，他可以在你执行 apt update 或安装软件包时，把已经通过签名验证的包偷偷换掉，最终拿到 root 权限。
说实话，对于大多数放在正规机房、用官网源和 HTTPS 源的自建站，这个利用场景离你很遥远。尤其是已经把源切换成阿里云、腾讯云这类国内镜像，且走的是 HTTPS，中间人做手脚的难度非常大。但如果你还在用默认的 HTTP 源，或者机房网络环境你并不完全掌控，那这条漏洞就值得认真对待。
不少客户会问我：“我用的是宝塔面板，补丁怎么打？” 其实宝塔本身只是管理面板，底层还是你的 Debian 或 Ubuntu。所以解决方法就一条：趁维护窗口登服务器，跑一次系统更新，重启相关服务。
命令行快速修补：
sudo apt update && sudo apt upgrade -y
Ubuntu 的话再确认 unattended-upgrades 是否已有最新列表。
修补完顺手检查一下 APT 的源配置，把 http:// 全换成 https://，再关掉不再使用的第三方 PPA。这些动作花不了十分钟，却能堵住一大片中间人风险。
948 个提权漏洞，跟我手上的站点有多大关系？
据公开报道，OpenAI 用一个还未发布的网络安全研究模型，在 Linux 内核里发现了 948 个本地提权漏洞，并且已经将报告和补丁提交给了内核维护团队。全是本地提权，也就是说攻击者得先有一个普通权限的账户才能在服务器上跑攻击代码。
这跟前面 APT 漏洞正好凑成一条链：APT 被中间人攻破后拿到非 root 的 shell，再配合一个本地提权漏洞，就可以 root。但对于绝大多数只有自己一个人运维的自建站，服务器上根本没开多余的普通账户，攻击链就断了最大的那环。所以 不要因为看到数字大就恐慌，先去 sshd_config 里确认是否禁用了密码登录、只允许密钥，顺便看看 /etc/passwd 里有没有不认识的可登录账户。
我们微码盒平时主要做 WordPress 主题和 DedeCMS 模板，可几乎每周都有客户找过来问服务器安全的事。其中一个常见情况就是：程序写得没大问题，但服务器上开了好多测试用的账户，权限也没收，结果被撞库拿到 shell，再去利用内核漏洞提权。内核的洞当然得等官方更新，但 先把能锁的门锁好，能删的用户删掉，往往能拖住一大堆自动化攻击脚本。
自己怎么查、从哪查？
以下几步你可以立刻上手，面向的是用 Debian/Ubuntu、装了宝塔或直接敲命令的单机场景：
- 确认系统版本和补丁状态：
lsb_release -a 和 apt list --upgradable | grep -i security - 看内核版本是否在更新范围内：
uname -r，再对照你所用发行版的安全公告判断是否需要更新内核。 - 检查非必要监听端口和进程：
ss -tlnp，如果你发现一个不认识的进程在监听 0.0.0.0 的端口，那就是该查的线索。 - 审计可登录用户：
grep -E '^[^:]+:[^!*]' /etc/shadow，列出所有可登录的账号，把不该留的删掉。
这些检查做完，你对服务器的安全状况就心里有数了。补丁要打，门要关，至于那 900 多个内核漏洞，通常要等各发行版把补丁 backport 稳定之后再用 apt upgrade 更新内核包。急不来的事情，先把能做的一步步做了，晚上睡觉也踏实。
微码盒的宝塔面板建站教程里也整理了几篇常见的自查脚本和加固步骤，都是从客户案例里踩出来的坑。服务器真挂了，再漂亮的主题和模板也一文不值。上一秒还在考虑新模板的响应式好不好看，下一秒就要去机房修硬盘，这种故事我们见得太多了。该更新的更新，该关的关掉，把不确定性压到最低，才是站长能长久跑下去的本事。
