linux内核不能真正自动更新，必须人工主导：只自动下载补丁，禁用自动安装与重启；人工确认默认内核、显式设新内核为默认并保留旧版；低峰期重启后验证版本、补丁及驱动兼容性。
Linux系统内核不能真正“自动更新”，更不能在无人值守下直接安装并重启——这是生产环境的安全红线。真正的高危漏洞无人值守修复，核心是“自动发现 + 人工确认 + 标准化执行 + 快速回滚”，而非跳过关键环节的全自动流程。
只自动下载，不自动安装内核
所有主流发行版都支持安全更新的自动感知，但必须禁用内核的自动安装与重启：
- Debian/Ubuntu：编辑 /etc/apt/apt.conf.d/50unattended-upgrades，确保以下两行明确设为 false：
Unattended-Upgrade::Install-On-Shutdown "false";
Unattended-Upgrade::Automatic-Reboot "false"; - RHEL/CentOS 8+/Rocky/Alma：编辑 /etc/dnf/automatic.conf，设 apply_updates = no（默认值），仅启用 download_updates = yes 和 emit_via = stdio
- 每天定时检查待升级内核：运行 apt list --upgradable | grep linux-image（Debian系）或 dnf list updates kernel*（RHEL系），输出结果写入日志或邮件告警，触发人工介入
内核修复必须人工完成的三步
即使补丁已下载就绪，以下操作仍需人工判断和执行，缺一不可：
- 确认默认启动项：执行 grubby --default-kernel 记录当前生效内核；安装新包后，用 grubby --info=ALL | grep -E "(kernel|title)" 确认新版本已加载进GRUB菜单
- 显式设为默认并保留旧版：RHEL系执行 grubby --set-default /boot/vmlinuz-5.14.0-284.30.1.el9_2.x86_64；Debian系先 update-grub 再 grub2-set-default 0；同时确保 /etc/default/grub 中未启用 GRUB_DISABLE_RECOVERY="true"，保留至少一个可启动的旧内核
- 低峰期重启并验证：重启前检查服务依赖（systemctl list-dependencies --reverse multi-user.target）；重启后立即运行 uname -r、dmesg | grep -i "error\|warn"、lsmod | grep nvidia（按实际驱动调整）验证内核加载与模块兼容性
高危CVE的应急响应闭环
对Dirty Pipe、CVE-2024-1086等严重漏洞，不能等常规更新，需主动响应：
- 订阅发行版安全公告（如Ubuntu Security Notices、Red Hat Security Advisories），配合 trivy fs / 或 cve-search -p linux_kernel -v $(uname -r) 扫描本地是否受影响
- 确认漏洞修复状态：查 /proc/sys/kernel/osrelease 对应版本是否已在发行版CVE知识库中标记为“fixed”；若未修复，立即下载对应RHSA、USN或DSA公告中的专用包
- 重启前重建initramfs：dracut -f（RHEL系）或 update-initramfs -u（Debian系），避免因initrd不匹配导致启动失败
替代方案：热补丁适用场景与限制
当业务完全无法中断时，可考虑热补丁，但有明确前提：
- 仅限支持kpatch/kgraft的系统，如Alibaba Cloud Linux（ALinux 2/3）、SUSE Live Patching；CentOS、Ubuntu、Debian原生不支持
- 热补丁仅覆盖特定CVE，不改变内核版本号，也**不替代内核升级**；一旦热补丁过期、多个CVE叠加或系统出现panic，必须立即安排内核升级
- 启用后禁止使用SystemTap、kprobe跟踪已打补丁函数，否则可能导致补丁失效或模块卸载异常
