跑 openEuler 的服务器这周该排一次维护窗口了。11 月 4 日，openEuler 社区发布内核安全公告 SA-2026-4718，严重级别直接定为 Critical，覆盖从 20.03 LTS SP4 到 24.03 LTS SP4 的多个长期支持分支——这是国产化替代中最常见的一批服务器底座。
图：openEuler 覆盖服务器、云与云原生、边缘计算、嵌入式等场景，也是政企国产化替代的常见底座。
事实要点
- 公告编号 SA-2026-4718，2026 年 11 月 4 日发布并更新，严重级别 Critical，属于内核安全更新。
- 受影响分支包括 openEuler 20.03 LTS SP4、22.03 LTS SP3/SP4，以及 24.03 LTS 及 SP1 至 SP4，基本覆盖当前在跑的绝大多数 LTS 版本。
- 公告列出的修复项中包含 CAN/USB 驱动 esd_usb 的释放后使用问题（CVE-2026-64585）、ocfs2 文件系统 extent 迁移的越界写风险（CVE-2026-72164）、NTFS 映射对解码的边界检查差一错误等。
- 第三方漏洞库对该公告的统计为 33 个 CVE，其中包含可本地提权、拒绝服务与信息泄露类型；单项 CVSS 4.0 评分多在 4.8 至 6.9 区间，属于需要尽快处理但不至于紧急停机的级别。
- 内核更新需要重启生效，除非使用热补丁方案；对数据库、容器集群这类长运行服务，重启窗口要提前安排。
影响解读
很多单位在国产化替代第一阶段只关心「能不能跑起来」，第二阶段才发现真正的工作量在运维：补丁节奏、驱动兼容、回滚预案，一样都不能少。内核补丁尤其麻烦——它不是装个软件包就完了，重启才是生效的前提，而重启意味着业务中断。
还有一个常被忽略的细节：内核升级后，第三方驱动（GPU、网卡、存储 HBA、DPDK、加密卡）可能出现签名或 ABI 不匹配。生产环境直接升级，风险不在漏洞本身，而在升级之后起不来。
建议
- 先核对分支与包版本：打开公告页确认自己的 openEuler 版本是否在列，记录当前内核版本（uname -r），再对照仓库中的 kernel 包版本。
- 测试环境先跑一遍：在同等硬件与业务负载的测试机上完成升级与重启，重点验证第三方驱动、网络、存储挂载与容器运行时。
- 保留可回滚的旧内核：升级前确认 /boot 空间充足，至少保留一个可启动的旧内核条目，出问题时能在 GRUB 里退回。
- 分批重启：数据库主从、集群节点不要同时重启，先备后主、先从后主，逐批验证业务可用性。
- 关注热补丁与厂商支持：对不能停机的小时级业务，评估内核热补丁（livepatch）方案，或联系发行版厂商获取带 SLA 的支持。
- 顺手盘一遍资产：把在跑的 openEuler 主机、版本、负责人列成表，后续每月的安全公告才有落点，而不是每次都临时翻记录。
小结
国产操作系统的故事已经从「替代」走到「运维」。补丁公告不会因为系统是国产的就变少，反而会因为基数变大而更密集。对 IT 运维来说，真正的安全感不来自「我们换了国产系统」，而来自「每一个公告我们都能在窗口内落地」。
服务器补丁没人管、机房设备老化、内网经常掉线？深圳市前程电脑有限责任公司提供电脑维修、数据恢复、组装升级、品牌电脑、打印耗材、IT 运维等业务，服务深圳市南山区西丽大学城及周边，电话 / 微信 13714744580，可提供服务器巡检与补丁维护服务。