今天不少做主机业务的站长在群里转同一条消息：Linux 内核出了个被称作 PwnEscape 的漏洞，编号 CVE-2026-99999，虚拟机里的代码能读到宿主机的内存。据公开报道，研究者在 Vercel 的线上云沙箱上做了演示，Vercel 确认了这个问题。漏洞出在 Linux 内核的网络代码里，不是某一家云的配置问题——只要机器在跑虚拟化，就躲不开，跟你托管在哪家机房没多大关系。
这个漏洞跟用 WHMCS 做主机业务的你有什么关系？
关系比你想的直接。你卖的是虚拟机，客户的机器跑在你的宿主机上；客户在自己机器里触发漏洞，就能读到宿主机内存，里面可能混着其他客户的内存片段。这不是丢一台机器的事，是同一台宿主机上所有客户的信任问题。
不少客户会问：我用 KVM，客户拿到的是完整虚拟机，是不是就安全了？恰恰相反。这次问题出在内核的网络代码，虚拟化方案只决定客户离宿主机有多近；据公开报道，演示环境是云沙箱。卖容器型虚拟机、客户与你共享内核的，暴露面反而更集中。判断标准只有一个：宿主机内核打没打补丁。
顺带说部署节奏：把机器放在机房做服务器托管的，补丁和重启时间自己排，主动权在你手里；用公有云的客户得等服务商的维护窗口，这点提前讲清楚，能省掉不少解释工作。
该马上停机打补丁吗？
看宿主机上跑着什么，别一刀切。宿主机上只有几台测试机，找个低峰时段更新内核、重启，很快就搞定，没什么可纠结的。挂满客户的香港VPS、上面跑着客户生产环境的，停机要提前通知、要排窗口，这时候先做三件事更划算：确认补丁版本、列出受影响的宿主机、把重启时间通知到人。
取舍在这里：拖着不补，风险是客户内存泄漏，出事赔的是口碑；立刻全网重启，代价是客户半夜连不上机器的工单。我的做法是分批，先补接新订单的机器，再补存量，别为了赶进度把所有宿主机压在同一晚重启。
通知这块顺手一起做。用 WHMCS 管主机业务的站点，开通、到期、暂停都是自动跑的，在通知模板里加一条维护公告，比事后挨个解释省事；站点上挂着实名短信认证、支付网关这类插件的，维护窗口别跟扣款日撞上。
curl 的高危漏洞要不要一起处理？
要，而且不用跟内核抢同一个窗口。据公开报道，curl 在 10 月 14 日发布 8.23.0 版，修补 HTTP/2 上传功能里的高风险漏洞 CVE-2026-92392：攻击者若控制接收上传数据的服务器，在特定条件下可以远程执行代码。漏洞影响 curl 8.12.0 至 8.22.0 的部分版本，8.14.3、8.16.2 以及 8.20.2 起的相应分支版本不受影响。
判断很简单：查宿主机和管理机上的 curl 版本，落在受影响区间就升到 8.23.0，这个升级一般不用重启；不在区间的，不必为了「用最新的」专门安排停机。内核补丁要停机，curl 升级不用，两者节奏分开，工单压力也小。
WHMCS 插件这头要不要跟着动？
内核和 curl 管的是机器，插件管的是后台里能碰到客户数据的代码。WHMCS 插件如果用的是来路不明的破解版，等于把没人负责的代码放进核心业务系统，出问题连回滚的依据都没有。要装就装有 WHMCS 插件与 WordPress 主题插件正版授权的，带汉化包和自动更新的那种，微码宝上多数插件有免费基础版，小站够用；业务上量了再考虑会员折扣，插件定制开发等现有功能确实盖不住需求再谈，不必提前付这笔钱。
先把补丁窗口定了，再去挑插件。
