你跑的 WordPress 或 DedeCMS，可能正踩在漏洞边缘
不是所有补丁都来得及打。这次 Linux 内核一口气爆出 59 个缺陷（据公开报道），其中多个影响主流建站环境：CentOS 7/8、Ubuntu 20.04/22.04、Debian 11/12 的默认内核都在受影响范围里。
更麻烦的是——这些漏洞不全是‘等你重启才生效’的类型。有本地提权路径，也有配合 GSocket 这类合法工具实现持久化驻留的案例（见 BleepingComputer 报道）。也就是说：哪怕你昨天刚打完补丁，黑客用 GSocket 接着连，照样能当你的服务器是自家客厅。
Quay 容器仓库那条线，别以为和你没关系
很多做客户站的小团队，现在习惯用 Quay 或 Harbor 拉取 WordPress 插件构建镜像、部署 WHMCS 站群。但 Red Hat 昨天确认：Quay 默认开启匿名访问时，攻击者无需账号就能读写全部私有镜像；关掉匿名后，只要有个普通账号，照样能越权操作（据公开报道）。
如果你的建站流程里包含‘自动构建 → 推送 Quay → 部署到香港VPS’这一步，现在就得查两件事：
GSocket 不是木马，但比木马更难清
它本来是个开源远程调试工具，Linux 下跑得稳、权限控制松。现在被多个团伙拿来当后门：先爆破 SSH 或利用 Web 漏洞上站，再丢一个 GSocket 进去，监听 8080 或 9999 端口。它不写入 /etc/passwd，不改 crontab，连 ps aux 都不显进程名——只靠 netstat -tuln 才能扫出来。
命令给你：
netstat -tuln | grep ':8080\|:9999'
如果返回结果里有 LISTEN 且 PID 是未知进程，立刻查 lsof -i :8080，再看对应二进制文件路径。
现在该做什么？分三类人说
- 用宝塔或 AMH 建 WordPress 站的：先跑 uname -r，如果输出是 5.15.0-xx 或 6.1.0-xx，别急着升级——这些版本目前没收到上游补丁，建议先关掉 root 登录 + 改 SSH 端口 + 限制 IP 访问段。
- 用 Docker 跑 WHMCS 或 PbootCMS 的：检查 Quay/Harbor 是否启用匿名访问；若已启用，立刻禁用，并删掉所有未签名镜像。别信‘我只推测试镜像’——攻击者就爱翻测试库。
- 给客户交付 DedeCMS 模板的：模板包里别打包 config.php 或 data/common.inc.php 的明文备份；交付前用 grep -r 'localhost\|root\|password' ./ 扫一遍。我们微码盒下载的 DedeCMS 模板，默认不带任何数据库配置文件，这点你可以放心。
内核更新这事，真不是越快越好。上周就有客户升了 6.8 内核，结果 PHP-FPM 直接崩，因为新版内核对某些老驱动做了 ABI 断开。先看你的业务能不能停——不能停，就先做访问控制，再等稳定版。
站内查看模板与建站教程
