updateinfo 能回答什么
在 RHEL 8 及之后与 Fedora 上，dnf 的 updateinfo 支持按类型（security、bugfix、enhancement）和按 CVE 维度查询仓库中的公告信息。它把“有哪些安全更新还没装”变成可交付的证据：每月导出一次清单，报告里就能直接给出未安装的安全公告列表，而不是靠人工逐条比对。它依赖仓库元数据，元数据未刷新时结果可能为空，先执行 makecache。
基本信息
| 适用平台 | RHEL 8+ / Rocky / Alma / Fedora（dnf）；RHEL 7 时代用 yum 插件 |
|---|---|
| 依赖 | dnf-plugins-core（提供 updateinfo 子命令） |
| 常用维度 | security、bugfix、enhancement、cve |
| 加固项 | 安全公告有清单与处置记录 |
| 证据用途 | 月度安全报告、等保漏洞管理项 |
典型使用场景
- 月度盘点：导出本机可安装的安全更新清单
- CVE 跟踪：漏洞公告发布后确认本机是否受影响、是否有更新
- 补丁决策：区分安全更新与功能更新，优先处理前者
- 合规取证：留下何时评估、何时安装的记录
- 交付验收：把公告清单作为补丁管理证据一并移交
清单与详情
清单与详情
sudo dnf makecache # 先刷新元数据，否则结果可能为空
dnf updateinfo summary security # 各类公告数量汇总
dnf updateinfo list --security # 安全公告清单
dnf updateinfo list cve # 按 CVE 维度列出
dnf updateinfo info --cve CVE-2026-0001 2>/dev/null | head -30
dnf updateinfo list installed | grep -i security | head # 已安装的安全公告
dnf repoquery --changelog <包名> | head -20 # 看包变更日志核对修复子命令读法
| 命令 | 输出含义 | 使用要点 |
|---|---|---|
| updateinfo summary | 按类型统计公告数量 | 快速判断有多少安全更新待装 |
| updateinfo list --security | 安全公告清单 | 可直接作为证据导出 |
| updateinfo list cve | 按 CVE 列出 | 适合逐个高危漏洞跟踪 |
| updateinfo info --cve | 具体公告详情 | 确认影响版本与修复方式 |
| updateinfo list installed | 已安装的公告 | 与清单对比确认修复落点 |
把清单导出作为月度固定动作：报告里能直接回答“有哪些安全更新未安装”，比事后翻日志高效得多。
落地要点
- 结果为空先刷新缓存：元数据过期是最常见原因
- 精简系统与容器可能没有该子命令，确认 dnf-plugins-core 已安装
- 把公告清单与实际安装记录配对留档，形成闭环证据
- 区分安全更新与功能更新，功能更新需按变更流程评估
- 多机环境统一采集口径，便于汇总与横向比较
清单正确不等于风险解除：未安装的公告要按严重程度排期，高危与在野利用的漏洞应走应急流程而不是等下个窗口。