上周，美国网络安全和基础设施安全局（CISA）将三个存在活跃利用证据的Linux内核漏洞列入已知被利用漏洞（KEV）目录。这些漏洞分别追踪为CVE-2025-39964、CVE-2026-53266和CVE-2025-39682。尽管上游已发布补丁，但从披露到供应商提供生产环境二进制文件通常需7至21天，而重启Kubernetes集群对许多运维团队而言并不可行。
零停机防御方案
针对这一痛点，GitHub用户mc493日前发布了名为“零停机Linux内核零日防御”的项目。该方案通过分层控制措施，在不重启主机的前提下消除特定威胁。其核心技术路径包括：利用eBPF进行实时检测、积极卸载与覆盖加载器模块，以及在containerd内部收紧用户命名空间限制。
该方案针对三个并发漏洞提供了具体缓解策略：
- CVE-2026-53266（Netfilter桥接代码）：针对ebtables中因算术溢出导致的内存损坏风险，建议立即从RAM中驱逐相关模块并永久加入黑名单。管理员可通过
modprobe -r卸载ebtables及其关联组件，并在/etc/modprobe.d中配置规则，将所有安装尝试重定向至/bin/true。 - CVE-2025-39964（Crypto Netlink接口）：针对AF_ALG套接字分配中的整数截断风险，采用eBPF程序挂钩
sys_enter_socket调用。在分配前检查域和协议参数，阻断可疑组合并触发遥测警报，从而避免对性能造成广泛影响。 - CVE-2025-39682（TLS接收路径）：针对kTLS活动状态下零长度记录导致的处理错误，通过在容器运行时限制非特权用户命名空间来缩小攻击面。项目提供了具体的containerd配置更改指南，确保在不破坏合法编排的情况下强制执行限制。
项目README中包含清晰的映射表格，将每种控制措施归类为预防、运行时检测或隔离，有助于SRE和安全工程师在事件响应中统一语境。
行业背景与技术争论
该项目的出现正值业界关于内核韧性讨论升温之际。今年5月，英伟达杰出工程师兼稳定内核维护者Sasha Levin提出正式的“紧急切断”机制，主张在分发修补内核前，通过停止调用有缺陷函数来减少暴露窗口。Enderle Group分析师Robert Enderle认为这是高可用环境的务实应急工具，但也有观点担心永久关闭功能可能引发未知的应用兼容性问题。
mc493的项目避开了内核级开关的争议，专注于临时解除武装和运行时策略执行。与此同时，实时补丁技术也逐渐成为主流选择。托管服务商SiteGround在今年早些时候遭遇关键内核漏洞时，依靠实时内核补丁在48小时内完成全机队修复，且未中断任何服务。商业领域，Multikernel的LiveUpdate技术通过并行引导新内核实现亚秒级故障转移，承诺在48小时内提供安全补丁并维持SLA，但其架构复杂性限制了普及。
eBPF已成为此类防御措施的共同技术基石。Cisco今年7月推出的Live Protect功能同样利用eBPF在内核层监控系统调用和网络流量，插入细粒度防护层。AMD工程师David Kaplan提交的补丁则允许通过sysfs接口在运行时动态切换CPU安全缓解措施，为性能敏感型工作负载提供了灵活性。
即时价值与潜在风险
mc493项目的核心价值在于其即时性。作为对CISA行动的直接回应，它提供了可复制粘贴的命令和配置片段，包括拉黑ebtables家族、挂钩AF_ALG套接字路径、收紧容器命名空间以及验证脚本。然而，Hacker News上的批评者指出，该项目由单一贡献者通过Web编辑器提交，缺乏签名和内核维护者的正式认可，生产环境部署需谨慎评估。
尽管存在来源争议，其所采用的模块黑名单、eBPF运行时监控及用户命名空间限制均源于既定安全实践。近期报道显示，CISA为联邦机构设定了两天补救窗口，且部分漏洞已在内核中存在长达14年，公开利用工具至少有两个。在供应商补丁落地前的危险窗口期，这种基于补偿性控制措施的拼凑方案，为运维人员争取了宝贵的缓冲时间。
该项目并非旨在取代正式的内核更新，而是提供一种经过实战检验的模式，用于弥合零日漏洞爆发与完整补丁部署之间的缺口。在披露加速和活跃利用常态化的当下，这种零停机防御思路值得大规模Linux基础设施管理者关注。