宝塔报“系统漏洞”实为内核或基础包过旧，需用系统原生命令升级并重启生效，不可仅升级面板；生产环境应使用ELRepo（CentOS）或UKUU（Ubuntu）等可靠方案，避免误执行全量升级导致服务异常。

宝塔报“系统漏洞”其实是内核或基础包过旧

宝塔面板本身不扫描系统漏洞，它只是检测到当前内核版本太老（比如 CentOS 7 默认的 3.10.0-xxx），或关键组件如 openssl、glibc、systemd 存在已知 CVE 编号的高危问题时，会在首页或安全模块弹出提示。这类提示不是面板 bug，而是底层 OS 需要补丁——你不能只点面板右上角“升级”就解决。

• 面板升级（bt 16 或后台点更新）只更新宝塔程序本身，不影响内核和系统库
• 真正修复漏洞，必须走发行版原生命令：CentOS/RHEL 用 yum update -y 或 dnf upgrade -y；Ubuntu/Debian 用 apt update && apt upgrade -y
• 执行后若看到内核包（如 kernel-3.10.0-1160.118.1.el7）被升级，说明补丁已拉取，但**不会自动生效**——必须重启服务器

内核更新后不重启 = 白装

很多用户执行完 yum update 就以为完事了，结果漏洞扫描工具依然报 CVE-2025-1234，原因就是新内核没启动。Linux 内核是运行时加载的，旧进程仍在老内核上跑，所有提权类漏洞照常可利用。

• 确认是否装了新内核：rpm -q kernel（CentOS）或 dpkg -l | grep linux-image（Ubuntu）
• 查看默认启动项：grub2-editenv list（CentOS 7+）或 awk -F\' '/menuentry / {print $2}' /boot/grub/grub.cfg | head -n3（Ubuntu）
• 如果新内核没设为默认，用 grub2-set-default 0（CentOS）或 sudo update-grub && sudo reboot（Ubuntu）强制切换
• 重启后务必验证：uname -r 输出的版本号必须和刚装的内核一致

别信“一键升级内核”脚本，ELRepo 和 UKUU 才靠谱

网上一堆“三行命令升级 6.x 内核”的脚本，多数硬编译、不配 GRUB、不保留回退选项，一跑完服务器直接起不来。生产环境必须用经过验证的仓库方案。

• CentOS/RHEL 系统一律走 elrepo-kernel：先装源 yum install -y https://www.elrepo.org/elrepo-release-7.el7.elrepo.noarch.rpm，再装 kernel-lt（长期支持版），比主线版稳得多
• Ubuntu 推荐 ukuu：它会自动处理 initramfs 和 GRUB 配置，装完跑 sudo ukuu --install v5.15.0-100 就行，不用碰 update-initramfs 这种易错命令
• 手动编译内核？除非你明确需要某个未合入主线的 patch，否则纯属给自己加负担——make install 后漏掉 update-grub 或 dracut --force，90% 概率进不了系统

安全补丁 ≠ 全量升级，慎用 dist-upgrade 或 do-release-upgrade

有人看到漏洞提示，顺手执行 apt dist-upgrade 甚至 do-release-upgrade，结果把 Ubuntu 22.04 升到 24.04，宝塔面板直接白屏。这不是补丁，这是换系统。

• apt upgrade 只升已有包的安全/稳定更新，不新增/删除包，对宝塔兼容性最友好
• apt dist-upgrade 可能因依赖变化移除 php-fpm 或改写 /etc/php/*/fpm/pool.d/，导致网站 502
• do-release-upgrade 是发行版大版本跃迁，宝塔官方仅测试过 LTS 到 LTS（如 20.04→22.04），跨代升级（22.04→24.04）不在支持范围内
• 不确定时，先备份：tar -czf /backup/bt-before-patch-$(date +%s).tar.gz /www/server/panel

最常被忽略的一点：补丁安装后，得去宝塔「安全」页面检查防火墙规则是否还在。有些 apt upgrade 会重置 ufw 状态，或者把 iptables 的自定义链清空——面板开着，但 SSH 和数据库端口意外暴露了。