RHEL 系的安全更新怎么看
RHEL、CentOS、Rocky、AlmaLinux 的补丁按安全通告（RHSA、ELSA 等）发布，仓库元数据里带 updateinfo 信息，可以把安全更新与普通功能更新区分开。核查流程是先用 updateinfo 列出待处理的安全项，看到具体通告编号与涉及的软件包，再评估影响后安装。生产环境不建议无差别全量升级，因为功能更新同样会带来变更风险，按安全类别收敛范围更容易评估和回滚。
基本信息
| 加固项 | 安全补丁获取与及时修复 |
|---|---|
| 适用平台 | Linux（RHEL 系，yum 或 dnf） |
| 权限要求 | root |
| 达标判据 | 高危漏洞在组织规定时限内修复，并有变更记录 |
| 相关工具 | updateinfo、yum/dnf、history |
典型使用场景
- 例行补丁巡检，统计待装安全更新数量与趋势
- 收到高危漏洞通报后定位受影响主机
- 在维护窗口内按安全类别分批安装更新
- 生成补丁状态报告，回答“有多少机器超期未打补丁”
- 补丁后出现服务异常时回溯具体通告内容与涉及包
查看与安装安全更新
查看与安装安全更新
yum updateinfo list security # RHEL 7 及更早版本
# dnf updateinfo list security # RHEL 8 及以上
dnf updateinfo summary # 按严重级别汇总，便于写报告
yum update --security # 仅安装安全更新
yum updateinfo info RHSA-2026:1234 # 单条通告：影响范围与重启需求
yum history list | head # 安装记录，作为留档依据升级后确认
升级后确认
yum history info <事务ID> # 查看该次事务涉及哪些包
needs-restarting -r 2>/dev/null || ls /var/run/reboot-required # 是否需要重启
dnf updateinfo list security | wc -l # 剩余安全更新条数
systemctl --failed --no-pager # 升级后是否有服务进入失败状态常见用法与含义
| 命令或选项 | 作用 | 使用建议 |
|---|---|---|
| updateinfo list security | 列出可用安全更新 | 巡检与报告的标准入口 |
| update --security | 仅安装安全类更新 | 生产优先，缩小变更范围 |
| updateinfo info <通告号> | 单条通告详情 | 评估影响与重启需求 |
| --exclude | 排除指定包 | 临时规避有已知问题的版本 |
| yum history | 事务历史与回滚依据 | 出问题时可定位上一次变更 |
生产机的推荐节奏是“先评估后安装”：用 updateinfo 导出待装清单，标注是否需要重启、是否涉及内核与关键中间件，再排维护窗口执行。安装后复查服务状态与剩余更新条数，形成可追溯的闭环记录，而不是留下“某次装过什么”的模糊印象。
安全更新可能引入依赖升级或要求重启：内核与关键库类的更新只有重启才真正生效。只安装不重启时漏洞在运行进程中依然存在，容易造成“打了补丁实际没生效”的误判，核查结论里要把重启标记一并写清。