银河麒麟OS需紧急修复CVE-2026-31431提权漏洞，须匹配SP版本与架构下载全套内核RPM包，经rpm -Kv校验、rpm -Uvh升级、grub2-mkconfig更新引导并重启生效，最终uname -r确认新内核版本。
银河麒麟OS需紧急修补CVE-2026-31431（CopyFail）高危内核漏洞，该漏洞允许本地普通用户提权至root，影响V10全系SP版本，修复必须更新内核包并重启生效，未重启前补丁不生效。
确认当前系统与内核版本
打开终端，执行：
nkvers
重点核对三处信息：Release是否为“Kylin Linux Advanced Server release V10”，Kernel是否以“4.19.90-”开头，Build是否含“SP3”字样。若Build显示为SP2或SP1，则后续补丁下载必须严格匹配对应SP版本，【错配SP版本的补丁将导致rpm升级失败甚至系统无法启动】。
再执行：
uname -r
记录完整内核版本字符串，例如4.19.90-52.22.v2207.ky10.aarch64——这个字符串将用于下一步精确匹配补丁包名。
下载并验证漏洞补丁包
访问麒麟官方漏洞公告页：
https://support.kylinos.cn/#/security/cveDetail?allTitle=CVE-2026-31431
在页面中找到“银河麒麟高级服务器操作系统 V10 SP3”条目，点击展开，确认其关联安全公告编号（如KYSA-202605-1015）。公告内提供多个架构补丁包，【务必选择与你系统完全一致的架构：aarch64（ARM服务器）或x86_64（Intel/AMD服务器），选错将无法安装】。
下载以下全部同名内核包（以你当前内核版本号为基准）：
kernel-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-core-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-modules-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-modules-extra-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-headers-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-tools-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-tools-libs-4.19.90-52.57.v2207.ky10.aarch64.rpm
python3-perf-4.19.90-52.57.v2207.ky10.aarch64.rpm
bpftool-4.19.90-52.57.v2207.ky10.aarch64.rpm
kernel-devel-4.19.90-52.57.v2207.ky10.aarch64.rpm
将所有.rpm文件上传至服务器任意目录（如/root/patch/），然后执行：
rpm -Kv *.rpm
检查每行输出末尾是否均为“OK”。若出现“MISSING KEYS”或“PGP SIGNATURE”，说明包完整性校验失败，需重新下载。
执行内核包升级与验证
第一步：进入补丁所在目录
cd /root/patch/
第二步：先执行模拟安装测试，确认依赖无冲突：
rpm -Uvh --test *.rpm
若提示“failed dependencies”，说明缺少某依赖包——此时不要强行忽略，应返回漏洞公告页，下载公告中列出的全部“依赖补丁包”（通常为libxxx、glibc等基础库），一并放入当前目录再测。
第三步：测试通过后，执行真实升级：
rpm -Uvh *.rpm
第四步：升级完成后，立即验证新内核是否已注册进GRUB：
awk -F\' '$1=="menuentry " {print $2}' /boot/grub2/grub.cfg | grep "4.19.90-52.57"
若输出中包含该新版本字符串，说明内核已成功安装；若无输出，说明rpm安装未写入引导配置，需手动执行：
grub2-mkconfig -o /boot/grub2/grub.cfg
第五步：重启系统：
reboot
第六步：重启后登录，执行：
uname -r
输出必须为4.19.90-52.57.v2207.ky10.aarch64（或对应x86_64版本），至此漏洞修补完成。
