本文说明 CVE-2026-43284 在 Alibaba Cloud Linux 操作系统上的热补丁修复方案，帮助用户在生产环境中安全完成在线修复与灰度升级。
热补丁方案涉及内核运行路径变更，在复杂生产环境中部署可能存在稳定性风险。部署时务必严格按照灰度策略分批上线，切勿直接全量部署至生产环境。灰度期间需密切观察业务稳定性、错误日志和性能指标，确认无异常后再逐步扩大灰度范围。如发现异常，请及时回滚。
本热补丁修复方案仅适用于 Alibaba Cloud Linux 操作系统。
漏洞背景
CVE-2026-43284 是 Linux 内核 IPsec ESP（封装安全载荷）协议实现中的高危本地权限提升漏洞。
该漏洞源于内核在处理非对齐加密数据片段（Frags）时，未正确校验内存页面的可写属性。攻击者可通过构造特定 IPsec 策略与套接字操作，诱导内核将解密后的数据写入受保护文件的页面缓存（Page Cache）。通过精确控制写入位置，攻击者可能在无需直接文件写权限的情况下，篡改系统配置或特权二进制文件的内存副本，实现从普通用户到 root 的提权攻击。漏洞详情请参考【漏洞通告】Linux Kernel "Dirty Frag" 本地权限提升漏洞风险通告。
修复方案
本方案采用上游官方 patch 构建热补丁模块，并通过内核 livepatch 技术动态重定向内核函数路径，对 ESP 协议栈中共享页面的处理逻辑进行修正。
核心修复点：将原本存在漏洞的就地解密路径，重定向为安全的写时拷贝模式，在不中断业务、不重启系统的情况下完成在线修复。
热补丁修复方案会拦截部分场景下的零拷贝解密路径，将原位解密重定向为内存拷贝模式，因此在高带宽 IPsec 业务场景下，可能导致 CPU 开销增加及网络吞吐量下降，建议重点关注业务性能指标与系统负载情况。此外，在特定场景下，如果被修复函数处于热点执行路径，热补丁可能出现自动加载失败的情况，从而导致漏洞防护未生效，必要时需手动加载热补丁并确认生效状态。
适用产品与版本
产品 | 内核版本 | 架构 |
Alibaba Cloud Linux 3 | 5.10.134-19.3.1.al8 及之前版本 | x86_64 / aarch64 |
Alibaba Cloud Linux 4 | 6.6.102-5.4.1.alnx4 及之前版本 | x86_64 |
Alibaba Cloud Linux 4 的 aarch64 架构内核暂不支持热补丁修复方案，建议升级内核版本。
部署方法
步骤一：检查依赖条件
确认系统已启用 livepatch 支持（默认开启）。
# 检查 livepatch 是否启用
test -d /sys/kernel/livepatch && echo "livepatch sysfs OK"步骤二：安装对应 RPM 包
# 查看当前内核版本
uname -r
# 搜索可用热补丁包
yum search kernel-hotfix-27289074
# 安装对应内核版本的 RPM 包
sudo yum install kernel-hotfix-27289074-<kernel-version>更换内核版本后需安装对应版本的热补丁包。
步骤三：验证生效状态
# 查看热补丁加载状态
kpatch list预期结果：Loaded patch modules 中包含 kpatch_27289074 [enabled]
回滚方法
如出现异常，可执行卸载操作：
sudo yum remove kernel-hotfix-27289074-*验证回滚结果：
kpatch list预期结果：不再包含 kpatch_27289074 [enabled]
FAQ
热补丁加载失败怎么办？
热补丁通常在 RPM 安装时自动加载，系统重启后也会自动生效。
在特定情况下（如目标函数处于高频热点路径），可能出现加载失败，可通过手动方式加载：
kpatch load kpatch_27289074
kpatch list当列表中显示 kpatch_27289074 [enabled] 即表示加载成功。