本文說明 CVE-2026-43284 在 Alibaba Cloud Linux 作業系統上的熱補丁修複方案，協助使用者在生產環境中安全完成線上修複與灰階升級。
熱補丁方案涉及核心運行路徑變更，在複雜生產環境中部署可能存在穩定性風險。部署時務必嚴格按照灰階策略分批上線，切勿直接全量部署至生產環境。灰階期間需密切觀察業務穩定性、錯誤記錄檔和效能指標，確認無異常後再逐步擴大灰階範圍。如發現異常，請及時復原。
本熱補丁修複方案僅適用於 Alibaba Cloud Linux 作業系統。
漏洞背景
CVE-2026-43284 是 Linux 核心 IPsec ESP（封裝安全載荷）協議實現中的高危本地許可權提升漏洞。
該漏洞源於核心在處理非對齊加密資料片段（Frags）時，未正確校正記憶體頁面的可寫屬性。攻擊者可通過構造特定 IPsec 策略與通訊端操作，誘導核心將解密後的資料寫入受保護檔案的頁面緩衝（Page Cache）。通過精確控制寫入位置，攻擊者可能在無需直接檔案寫入權限的情況下，篡改系統配置或特權二進位檔案的記憶體副本，實現從普通使用者到 root 的提權攻擊。漏洞詳情請參考【漏洞通告】Linux Kernel "Dirty Frag" 本地許可權提升漏洞風險通告。
修複方案
本方案採用上遊官方 patch 構建熱補丁模組，並通過核心 livepatch 技術動態重新導向核心功能路徑，對 ESP 協議棧中共用頁面的處理邏輯進行修正。
核心修複點：將原本存在漏洞的就地解密路徑，重新導向為安全的寫時拷貝模式，在不中斷業務、不重啟系統的情況下完成線上修複。
熱補丁修複方案會攔截部分情境下的零拷貝解密路徑，將原位解密重新導向為記憶體拷貝模式，因此在高頻寬 IPsec 業務情境下，可能導致 CPU 開銷增加及網路輸送量下降，建議重點關注業務效能指標與系統負載情況。此外，在特定情境下，如果被修複函數處於熱點執行路徑，熱補丁可能出現自動載入失敗的情況，從而導致漏洞防護未生效，必要時需手動載入熱補丁並確認生效狀態。
適用產品與版本
產品 | 核心版本 | 架構 |
Alibaba Cloud Linux 3 | 5.10.134-19.3.1.al8 及之前版本 | x86_64 / aarch64 |
Alibaba Cloud Linux 4 | 6.6.102-5.4.1.alnx4 及之前版本 | x86_64 |
Alibaba Cloud Linux 4 的 aarch64 架構核心暫不支援熱補丁修複方案，建議升級核心版本。
部署方法
步驟一：檢查依賴條件
確認系統已啟用 livepatch 支援（預設開啟）。
# 檢查 livepatch 是否啟用
test -d /sys/kernel/livepatch && echo "livepatch sysfs OK"步驟二：安裝對應 RPM 包
# 查看當前核心版本
uname -r
# 搜尋可用熱補丁包
yum search kernel-hotfix-27289074
# 安裝對應核心版本的 RPM 包
sudo yum install kernel-hotfix-27289074-<kernel-version>更換核心版本後需安裝對應版本的熱補丁包。
步驟三：驗證生效狀態
# 查看熱補丁載入狀態
kpatch list預期結果：Loaded patch modules 中包含 kpatch_27289074 [enabled]
復原方法
如出現異常，可執行卸載操作：
sudo yum remove kernel-hotfix-27289074-*驗證復原結果：
kpatch list預期結果：不再包含 kpatch_27289074 [enabled]
FAQ
熱補丁載入失敗怎麼辦？
熱補丁通常在 RPM 安裝時自動載入，系統重啟後也會自動生效。
在特定情況下（如目標函數處於高頻熱點路徑），可能出現載入失敗，可通過手動方式載入：
kpatch load kpatch_27289074
kpatch list當列表中顯示 kpatch_27289074 [enabled] 即表示載入成功。