热补丁与内核升级是互补策略：热补丁适用于ALinux中不可中断场景的紧急漏洞修复，内核升级才是长期稳定根本手段；必须升级的情形包括热补丁过期、复杂漏洞无法覆盖、系统异常或需多CVE协同修复。
Linux系统内核升级和高危漏洞热补丁修复，核心在于“该重启时果断升级，不该停机时用热补丁”。两者不是替代关系，而是互补策略：热补丁解决紧急、短期、不可中断场景下的关键风险；内核升级才是长期稳定与全面防护的根本手段。
哪些情况优先选热补丁
适用于 Alibaba Cloud Linux（2.1903 或 3.2104）且满足最低内核版本要求的环境：
- 当前运行着不能中断的长周期任务（如科学计算、金融批处理、AI训练）
- 业务 SLA 要求 7×24 小时在线，无法安排维护窗口
- 漏洞属于严重及以上 CVE（如 CVE-2024-1086 这类本地提权漏洞），但官方尚未发布兼容你当前内核的完整升级包
- 已确认该漏洞在你环境中可被利用，且热补丁 RPM 包已由阿里云正式发布（可通过 yum list available | grep kpatch 查看）
哪些必须做内核升级
热补丁不是万能的，遇到以下情形应立即规划内核升级：
- 当前内核版本已超出阿里云热补丁支持周期（例如 ALinux 2.1903 的 kernel-4.19.24-9.al7.x86_64 仅支持一年，过期后不再提供新热补丁）
- 漏洞影响范围广、修复复杂，热补丁无法覆盖（如涉及内存管理子系统深层变更或 ABI 不兼容修改）
- 系统出现稳定性异常（如频繁 panic、netfilter 模块崩溃等），日志中明确指向已知 CVE（如 CVE-2021-22555 的 x_tables 错误调用栈）
- 需同步修复多个 CVE 或启用新特性（如 cgroup v2、io_uring 增强），仅靠热补丁无法达成
操作要点与避坑提示
无论选哪种方式，都需注意实际约束：
- 热补丁生效后，禁止使用 SystemTap、kprobe 对补丁函数做动态跟踪，否则模块卸载失败、补丁失效
- 升级内核前务必检查 GRUB 启动顺序：grub2-set-default 0 后执行 grub2-mkconfig -o /boot/grub2/grub.cfg，避免重启后仍进旧内核
- CVE-2024-1086 等 netfilter 相关漏洞，若暂时无法升级，可临时缓解：执行 echo "blacklist nf_tables" > /etc/modprobe.d/disable-nf-tables.conf 并重启相关服务（注意可能影响防火墙规则）
- 非阿里云系统（如 CentOS、Ubuntu）不原生支持 kpatch 热补丁，应直接采用发行版提供的 kernel 更新包（如 yum update kernel 或 apt install linux-image-generic）
验证是否真正修复
不能只看命令返回成功，要交叉验证：
- 查热补丁状态：kpatch list 显示 “Loaded” 且无 error 字样
- 查内核版本：uname -r 输出应与预期一致（如升级后为 5.10.210-xxx）
- 查漏洞状态：使用 grep -r "CVE-2024-1086" /usr/src/kernels/$(uname -r)/ 或参考厂商公告中的 commit ID（如 f342de4e2f33）是否存在于当前源码树
- 业务回归：重点测试网络策略、存储 I/O、容器网络插件等受 netfilter 或内存子系统影响的功能模块
