文章总结： Linux内核开发者提议引入紧急禁用开关机制，允许在0Day漏洞补丁发布前临时关闭脆弱功能。该方案获红帽支持但引发安全社区争议，反对者认为可能替代补丁安装或误操作。专家指出需评估业务影响，建议作为补丁部署前的临时缓解措施。 综合评分： 76 文章分类： 漏洞分析,解决方案,安全建设,应急响应,漏洞预警

Linux 内核新增紧急开关，填补 0Day 漏洞修复空窗

FreeBuf

2026年5月12日 20:50 上海

在小说阅读器读本章

去阅读

Linux 服务器管理员或将获得在操作系统内核中临时禁用漏洞功能的能力——前提是开源社区采纳内核开发者提出的这项建议。该机制可在 0Day 漏洞补丁发布前作为临时防护措施。

Part01

内核级防护新思路

Nvidia 杰出工程师、Linux 长期支持版与稳定版内核联合维护者 Sasha Levin 提出，应为特权操作者设计”紧急禁用开关”机制。他在近期发文中指出：”漏洞曝光后，整个服务器集群会持续暴露风险，直到完成内核补丁构建、分发与重启。对多数情况而言，最简单的缓解措施就是停止调用存在缺陷的函数。”Levin 与同事还提交了内核禁用开关的代码实现草案。

“对大多数用户来说，”Levin 强调，”‘某个套接字功能临时失效’的代价，远低于继续运行已知存在漏洞的内核等待补丁发布。”

该提议正值 Linux 曝出多个高危漏洞之际，包括：

• Copy Fail（CVE-2026-31431）：逻辑缺陷漏洞，可被利用获取 root 权限
• Dirty Frag：通过组合 Linux 内核内存页碎片处理缺陷（CVE-2026-43284）与 RxRPC 网络协议漏洞（CVE-2026-43500）实施的攻击。

Part02

安全社区激烈反对

该提案引发信息安全从业者的激烈争论。在 Reddit 的 r/cybersecurity 论坛中，用户将其评价为”糟糕的主意”、”荒谬”、”极度危险”。有参与者警告：”人们会滥用禁用开关替代补丁安装。”

技术层面也有质疑声：禁用开关虽能终止特定功能，但会关闭已具备”故障”状态处理能力的高级入口点。一位用户表示：”熟悉 Linux 运行机制者无需此功能——Dirty Frag 漏洞利用代码发布两小时内，我就完成了分析与防护方案；而不了解内核原理者，本就不该使用任何禁用开关。”

Part03

专家持审慎态度

加拿大深度湾网络安全公司 CTO Kellman Meghu 指出：”理论上很美好，但考虑到变更控制仍需严格测试，其防护效率未必优于现有流程。开发者可以说‘直接卸载内核模块’，但难点在于向业务部门证明服务不受影响——这反而暴露出系统加固流程的缺陷。”

Meghu 预见两大问题：

1. 多数管理员难以评估禁用功能对业务服务的影响。禁用开关或对 Copy Fail 有效，但作为通用方案？需投入时间在生产环境外验证功能禁用后果。
2. 对企业级应用而言，单纯启用禁用开关并非可靠策略。

Enderle 集团分析师 Robert Enderle 认为这是典型的”应急破窗”工具：”对企业管理员，这能有效应对 0Day 披露与补丁部署的时间差。在高可用环境中，无需重启就能禁用正被利用的非关键功能（如冷门网络协议），堪称重大突破——用边缘功能换取系统即时完整性。”但他同时警告：”该机制可能沦为延缓打补丁的借口，且存在误操作风险。若管理员错误禁用关键内存管理功能，系统将立即崩溃。”

Part04

红帽表态支持

#

Linux 发行商红帽对该方案表示认可。其核心平台副总裁 Mike McGrath 称：”我们支持在内核集成禁用开关功能，特别是当 LLM 驱动的扫描加剧漏洞利用速度与危害时。虽然补丁是解决 CVE 的关键，但常伴随业务中断。大规模运营机构必须在防护与业务连续性间权衡，因此红帽始终倡导通过多种途径提供无中断缓解方案，为正式补丁部署争取时间。”

参考来源：

Linux kernel maintainers suggest a ‘kill switch’ to protect systems until a zero-day vulnerability is patched

https://www.csoonline.com/article/4169659/linux-kernel-maintainers-suggest-a-kill-switch-to-protect-systems-until-a-zero-day-vulnerability-is-patched.html

推荐阅读

电报讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《Linux 内核新增紧急开关，填补 0Day 漏洞修复空窗》