SiteGround 48 小时内修补 5 个 Linux 内核高危漏洞，全程零停机

事件概述

2026 年 4 月底到 5 月中，短短三周内，Linux 内核连续曝出 5 个高危漏洞，其中多数可以让任何已登录的普通用户直接拿到 root 权限，且多个漏洞在披露当天就有公开的 exploit 代码。

SiteGround 官方（CTO Ivailo Nikolov 撰文）表示：这 5 个漏洞全部在披露后 48 小时内完成修补，覆盖其整个主机集群，没有重启任何一台服务器，也没有中断任何一位客户的服务。

5 个漏洞速览

按披露时间顺序：

| 日期 | 名称 / CVE | 类型 | 说明 | |------|-----------|------|------| | 4 月 29 日 | Copy Fail（CVE-2026-31431） | 本地提权 → root | 一段 732 字节的 Python 脚本就能把普通用户变 root，影响 2017 年以来几乎所有主流发行版。CISA 数日内把它列入"在野被利用"名单。 | | 5 月 7 日 | Dirty Frag — xfrm/ESP（CVE-2026-43284） | 内存写入 | 内核 IPsec ESP 网络模块的漏洞，可让攻击者向只读系统文件的内存副本写入任意数据。业界也叫"Copy Fail 2"。 | | 5 月 7 日 | Dirty Frag — RxRPC | 提权链的另一半 | 内核 RxRPC 模块的配套 bug，与上面 xfrm/ESP 组合使用可完整提权到 root。 | | 5 月 13 日 | Fragnesia / Copy Fail 3.0（CVE-2026-46300） | 本地提权 → root | 三周内同家族第三个漏洞，同样在 IPsec 子系统，披露当天就有 PoC。 | | 5 月 14 日 | ssh-keysign / chage pidfd | 敏感文件读取 | 不是提权，但可让任何非特权用户读取 /etc/shadow（密码哈希）与 SSH 主机私钥。Linus Torvalds 亲自合并补丁。 |

如果没修，会怎样

对共享主机来说，这类"本地提权"漏洞是最致命的一类：

1. 攻击者只需要一个最不起眼的入口——被入侵的 WordPress 插件、泄露的 FTP 密码、有漏洞的 PHP 脚本——就能拿到你账户的 shell。
2. 有了 shell，利用这些内核漏洞就能从"某个站点的普通用户"升级为"整台宿主机的 root"。
3. 拿到 root 之后：读其他租户的文件、植入持久化后门、批量收集凭据、横向渗透进内网——都是常规操作。

Copy Fail 已经在野被利用，其他几个都有公开 PoC。所以修补速度就是安全边界。

SiteGround 是怎么做到零停机修复的

官方总结的 4 个关键能力：

1. 威胁情报 7×24 监控 安全团队实时盯内核邮件列表、CVE feed、各类披露渠道。Copy Fail 披露当天就知道，Dirty Frag 落地当天就知道，Fragnesia 在 PoC 发布数小时内就知道。等主流媒体开始报道时，exploit 往往已经在黑产圈流传好几天。

2. 值班工程师 24/7 在线 关键内核补丁不会等到工作日再处理。这 5 个漏洞都在披露后 48 小时内完成"构建 → 测试 → 全集群推送"，通常比大多数发行版官方软件包发布还快。

3. Live Kernel Patching（活体内核补丁） 这是用户能直接感知的部分。传统打内核补丁要重启，重启就意味着这台机器上所有服务全部下线。活体补丁技术直接把修复代码热加载进正在运行的内核内存，漏洞被堵上，但内核不重启，网站、数据库、邮件、SSH 会话全部照常跑。当补丁频率从"半年一次"变成"两周一次"，重启成本会变得无法承受——活体补丁把这个成本压到零。

4. 精简内核，只加载用得上的模块 Copy Fail 藏在 AF_ALG 内核加密接口里，Dirty Frag 与 Fragnesia 藏在 esp4 / esp6 / rxrpc 模块里（IPsec 与 AFS 网络代码）——大多数 Web 服务器一辈子都不会用到这些模块。SiteGround 不加载用不上的模块，直接把这些漏洞的攻击面砍掉一大块，也给自己争取了更多打正式补丁的时间窗口。

AI 时代的漏洞节奏

值得单独强调的一点：Copy Fail 不是人肉审代码发现的，而是 AI 代码审计工具 Xint Code 在大约 1 小时的扫描里挖出来的。同一次扫描还发现了另外几个高危 bug，正在协同披露流程中。

这意味着：

• 过去几年"重大内核漏洞每半年一个"的节奏，瓶颈在于愿意花几个月读内核源码的顶级专家太少。
• AI 审计工具把这个瓶颈直接拆掉。整个子系统能被机器速度扫完，那些在稳定内核里躺了近十年的老 bug 会被陆续翻出来。
• 三周内三个通用本地提权漏洞不是意外，是新常态的预告。
• "事后打补丁"的老套路（每半年一次严重漏洞）已经不适用；能在数小时内发现、响应、修补，才是安全基线。

对普通站长意味着什么

• 共享主机的安全，本质上是服务商的安全工程能力。同样的漏洞放在不同主机商手里，结果可能是"48 小时零停机修复"，也可能是"一周后重启维护、期间被人打穿"。
• 选主机时不要只看价格和配置表，也要看：
• 有没有 live kernel patching / live patching 能力
• 安全团队是不是 7×24
• 历史 CVE 响应速度
• 是不是精简内核、砍掉不必要的模块
• 你自己的 WordPress、插件、主题、FTP/SSH 密码仍然是攻击者最容易的入口。主机商能兜住内核层的底，但兜不住你装了个盗版插件带后门这种事。定期更新、强密码、双因素、WAF、按需备份，一个都不能省。

火箭云的看法

对国内用户来说，"48 小时修补内核级 0day 且零停机"是一个非常硬的指标。多数国内共享主机做不到活体内核补丁，只能靠维护窗口重启，一次重启意味着几分钟到几小时的宕机。SiteGround 这次公开细节，等于把"安全响应能力"这个抽象话题变成了可对比的硬指标。

如果你正在跑一个不能停的站（电商、SaaS、有实时用户的社区），把这条能力列入选型清单是值得的。

原文来自 SiteGround 官方博客，作者 Ivailo Nikolov（CTO）。火箭云仅做要点整理与中文本地化，具体细节以官方公告为准。