补丁装完要验证生效
内核补丁装完不等于生效：必须确认正在运行的内核就是最新已安装的内核，两者不一致说明系统还停在旧内核上，漏洞依旧存在。这是等保与合规检查里的固定核查点，也是很多「补丁已装但扫描仍报漏洞」问题的根因。
基本信息
| 适用平台 | Linux |
|---|---|
| 风险等级 | 中 |
| 基线要求 | 运行内核为发行版最新安全版本 |
| 核查命令 | uname -r 与包管理器查询 |
| 生效条件 | 重启到新内核 |
典型使用场景
- 内核漏洞修复后的生效验证
- 补丁合规检查中的固定核查项
- 排查补丁装了但扫描仍报漏洞的情况
- 集群与数据库节点的滚动重启编排
- 重启后确认引导项指向新内核
对比运行与已装内核
对比运行与已装内核
uname -r # 当前正在运行的内核版本
rpm -q kernel --last 2>/dev/null | head -3 # RHEL 系：已装内核与安装时间
dpkg -l 'linux-image-*' 2>/dev/null | tail -5 # Debian 系：已装内核包清单
ls /boot/vmlinuz-* 2>/dev/null | tail -3 # 引导目录中的内核文件
ls -1 /boot/vmlinuz-* | wc -l # 确认引导分区有空间容纳新内核输出逐列读法
| 检查项 | 含义 | 注意点 |
|---|---|---|
| uname -r | 当前运行的内核版本 | 与最新已装版本逐字比对 |
| 已装内核包 | 系统中安装的内核版本 | 结合安装时间判断新旧 |
| /boot 下的内核文件 | 引导加载器可用的内核 | 数量过多需要清理 |
| GRUB 默认项 | 默认引导的内核 | 被改过可能回到旧内核 |
| 重启待办 | 是否需要重启才生效 | 与补丁盘点结果联动核查 |
重启前先确认无人值守配置与集群摘除流程：数据库与集群节点要按顺序滚动重启，不能一把梭全部上。
容器里执行 uname 显示的是宿主内核：容器环境的内核加固要看宿主机，别拿容器里的输出下结论。GRUB 默认项若被人为改过，重启后可能仍回到旧内核，要用 grubby 或 GRUB_DEFAULT 核验。
重启之后第一件事是再执行一次 uname -r 确认版本确实变了，再核对补丁扫描结果，两步都确认过才算闭环。