如果你的服务器只跑一个 WordPress 站，看到 948 个 Linux 内核本地提权漏洞，先别急着重装。真正要先判断的是：谁能在机器上拿到本地执行权限。没有本地入口，很多提权漏洞只是纸面风险；有本地入口，哪怕一个也够麻烦。
为什么这次都是本地提权？
这次重点不是远程打站，而是本地用户能不能拿到更高权限。据公开报道，OpenAI 尚未发布的网络安全研究模型在 Linux 内核中找到 948 项本地提权漏洞，相关报告和补丁已提交给维护者。另据报道，该成果对应的模型被称为 GPT-6 Cyber，漏洞可能让普通本地用户获得 Root 权限。报道还提到，研究目标是隔离环境中的内核，因此主要围绕提权或信息泄露类问题，提交内容也经过人工审阅。
对建站机来说，这不是远程直接打穿网站的信号，而是提醒你看住本地入口：谁能登录服务器，谁能执行上传文件，谁能在 Web 进程之外拿到 Shell。
没开 Shell，风险是不是就小？
风险会小，但不能直接当成没事。若服务器只有你通过 SSH 密钥登录，没有给客户开账号，也不跑多用户业务，风险相对低。若你给客户交站点，开了 SFTP、SSH 账号，或者网站允许上传文件并执行，就要认真对待。
不少客户会问：是不是要马上换内核？我一般先回答：先看你有没有本地用户和可执行上传代码。没有这些，先按发行版补丁节奏走；有这些，先把权限收紧。
OpenSSH 的密码绕过要不要一起查？
要一起看，但先看系统类型。据公开报道，OpenSSH 发布紧急安全更新，修复 SSH 绕过密码认证漏洞，OpenWrt 和 Alpine Linux 等系统是受影响重灾区。该漏洞仅在使用 musl libc 且禁用 PAM 支持的 Linux 环境中可被利用，Debian 等发行版不受该漏洞影响。
临时措施也很明确：禁用密码认证，改成密钥对连接。对建站机来说，这个做法不只是为了这条漏洞。默认使用密钥认证，能挡掉很多针对密码的试探。若你用的是 OpenWrt、Alpine Linux 或嵌入式环境，优先看官方更新；若是常见 Debian、Ubuntu 发行版，按正常补丁渠道处理，不必自己吓自己。
SSH 和内核版本，先查哪几项？
先查发行版、内核、可升级包和 SSH 配置。下面这些命令只读，不改配置：
- cat /etc/os-release
- uname -r
- Ubuntu 或 Debian 可用：sudo apt update && apt list --upgradable
- CentOS、RHEL 或 AlmaLinux 可用：dnf check-update
- grep -E '^(PasswordAuthentication|PubkeyAuthentication|KbdInteractiveAuthentication)' /etc/ssh/sshd_config
- getent passwd | awk -F: '$3 >= 1000 {print $1}'
如果准备关闭 SSH 密码登录，先确认密钥已经能登录，再改配置。生产机不要一次全改，开一个新会话测试后再关闭旧会话。这个顺序看起来麻烦，但比把自己锁在服务器外面省事。
给客户交站，哪些权限要提前收？
交付前把权限收掉，比出事后再排查省事。做客户站的小团队，容易把站点跑起来就算交付。遇到这类内核提权消息，建议把三件事写进交付清单：Web 进程不用 root；上传目录不开放执行；不给客户不必要的 SSH 或 Shell 权限。
如果你在用微码盒的 WordPress 主题或 DedeCMS 模板，可以把这些检查并入上线流程。模板和源码解决的是建站效率，安全清单解决的是上线后少返工。需要 WordPress 主题、DedeCMS 模板或建站源码，可以站内查看模板与建站教程。
