跳至主要內容

红帽与麒麟系统近一个月动态：安全补丁、工业落地与生态进展

2026/9/14大约 9 分钟操作系统技术栈Red HatRHEL麒麟Linux

红帽与麒麟系统近一个月动态：安全补丁、工业落地与生态进展

统计窗口：2026 年 8 月 14 日至 9 月 14 日。本文只采用厂商状态页、官方安全公告、官方博客和社区门户等一手来源。

本期结论

过去一个月，没有发现 RHEL 或银河麒麟操作系统出现整体宕机级故障的公开复盘。红帽的工作重点集中在 RHEL 相关安全漏洞、身份认证组件和 RHEL 9.8/10.2 的工具链调整；与之相对，红帽官网搜索和 Ask 支持平台发生了两次服务降级，但它们并不代表 RHEL 系统本身故障。

麒麟方面，安全漏洞公告持续更新，业务动态则集中在工业控制系统适配、AI 应用上架、openKylin 国际合作和行业方案落地。其中，9 月 11 日集中发布的安全公告、国产化 DCS 验收和工业软件适配认证，最值得系统运维团队关注。

红帽：安全补丁密集，RHEL 工具链出现重要变化

1. 身份与本地权限漏洞优先处理

9 月 9 日至 11 日，红帽集中披露了多项与 RHEL、OpenShift CoreOS 和身份管理相关的漏洞。其中，FreeIPA/IdM Web UI 的未认证 XSS 漏洞 CVE-2026-18147 影响 RHEL 7、8、9、10，CVSS 为 8.1。攻击需要诱导用户点击特制链接并完成密码重置，若目标是管理员，可能进一步危及整个 IdM 管理域。临时缓解措施是限制 IdM Web UI 的网络访问范围。

同样需要重点检查的是 SSSD IdP 身份前缀问题 CVE-2026-87853。该问题只影响 RHEL 10.2 中启用了 id_provider=idp、使用 Keycloak LDAP User Federation 且设为 Import Users=false 的部署。普通 IdP 用户可能利用用户名前缀关系冒充目标用户。官方建议改用随机 UUID、限制可登录用户，或关闭 Keycloak 自助注册。

来源： CVE-2026-18147 · CVE-2026-87853

2. 沙箱、桌面文件组件和高可用工具存在本地风险

CVE-2026-87766 是 bubblewrap 的 symlink traversal 问题，CVSS 8.8，RHEL 8、9、10 均被列为受影响。攻击者可能利用不可信 Flatpak 或其他应用镜像，在沙箱启动前向宿主文件系统写入文件。当前最重要的措施是停止安装来源不可信的 Flatpak。

CVE-2026-88924 位于 gvfsd-admin，本地攻击者赢得竞态后可能修改任意系统文件所有权，从而提升至 root。RHEL 6 至 10 均被列为受影响，官方缓解措施是基于 Polkit 要求启动时输入密码，或移除该二进制的执行权限。

高可用环境还需要关注 CVE-2026-84828。pcs 0.10.8+ 的 haclient 用户可以有限读取任意文件，CVSS 6.5，当前修复状态为 Fix deferred。建议立即审查 haclient 成员，只保留确实需要管理集群的账号。

来源： CVE-2026-87766 · CVE-2026-88924 · CVE-2026-84828

3. 内核漏洞进入集中披露期

9 月 11 日，红帽安全数据平台新增了一批内核问题，包括 Btrfs 写回期间缺少写保护导致的数据损坏、AppArmor 越界写、mm/pagewalk 越界写、tracing use-after-free，以及 USB Gadget 驱动的 use-after-free。部分条目尚未完成 RHEL 影响范围与修复版本确认，因此当前更适合作为后续 kernel 安全勘误的观察批次，而不应直接把“进入 CVE 数据库”等同于“所有 RHEL 版本均受影响”。

来源： CVE-2026-89772：Btrfs 数据损坏风险

4. RHEL 9.8 与 10.2 将统一 insights-core 交付方式

从 RHEL 9.8 和 10.2 开始，insights-core 将从运行时自动更新的 Python egg 改为 AppStream 仓库中的标准 RPM。运维团队可以通过 dnf、Satellite 内容视图、维护窗口和现有变更系统统一管理它，不再存在一个绕过标准软件包流程的更新路径。

RHEL 8、RHEL 9.0 至 9.7、RHEL 10.0 至 10.1 仍沿用旧模型。准备升级到 9.8 或 10.2 时，应提前确认 AppStream 仓库已进入 Satellite 内容视图，并决定 insights-core 是随基线升级还是通过定时任务持续更新。

来源： Red Hat 官方博客：insights-client 更新方式调整

5. 红帽官网平台发生过两次降级

8 月 18 日，access.redhat.com、developers.redhat.com、catalog.redhat.com、connect.redhat.com 和支持案例搜索两次出现慢查询、超时或搜索失败。8 月 31 日，Ask Red Hat 因数据库补丁后的连接问题中断约 16 分钟。

这两次事件的公开处置信息较少，但它们属于红帽官网与支持平台故障，不应被表述为 RHEL 操作系统故障。对使用红帽知识库的团队，仍建议在本地保存关键 KB、勘误和升级手册，避免完全依赖在线检索。

来源： Red Hat Status

麒麟系统：安全公告更新，工业与 AI 生态加速

1. 9 月 11 日集中发布一批安全漏洞

麒麟软件安全漏洞页面在 9 月 11 日更新了多项组件风险，包括：

  • CVE-2026-84304：gRPC-Go 接收 HTTP/2 DATA 分片时可能异常消耗堆内存，未认证远程攻击者可利用并发多路复用流造成 OOM。
  • CVE-2026-84292：fast-uri 端口字段验证不足，可能导致 authority 被错误重组，使应用把攻击者控制的主机视为可信目标。
  • CVE-2026-83615、CVE-2026-83614、CVE-2026-83608：xmldom 存在资源消耗和 XML 注入问题，可由特制 XML 文档触发。
  • CVE-2026-84270：gvfs MTP 后端在读取恶意 MTP 设备文件时可能越界读取并导致进程崩溃。
  • CVE-2026-8343：QEMU VNC 扩展剪贴板存在越界读取风险。

这些公告描述的是组件风险，具体影响范围仍需结合麒麟操作系统版本、软件包版本和实际启用功能确认。面向互联网的 Go、Node.js、XML 解析服务，以及开放 VNC 的虚拟化环境应优先排查。

来源： 麒麟软件安全漏洞信息

2. 银河麒麟支撑全国产化 DCS 试点通过验收

9 月 11 日，麒麟软件公布天津南港乙烯项目 POE 装置全国产化 DCS 系统通过专家组验收。银河麒麟工业操作系统承担底层软件平台，这是国产化工控系统首次在大型石化主装置上完成试点应用。

来源： 麒麟软件官方新闻

3. 工业设计仿真软件完成 23 份适配认证

麒麟软件联合海光信息、紫光软件，基于银河麒麟桌面操作系统和高级服务器操作系统完成了 23 份工业软件适配认证，覆盖建模、仿真、优化和预测流程。对工业研发环境而言，这意味着国产 CPU 与操作系统组合正在从办公替代进入研发生产链路。

来源： 麒麟软件官方新闻

4. AI 应用密集进入麒麟软件商店

9 月 11 日，阿里“千问办公”上架麒麟软件商店；9 月 9 日，商汤 AI 产品完成适配；9 月 4 日，腾讯 WorkBuddy 上架。银河麒麟用户可以通过软件商店直接安装这些 AI 办公与智能体工具。

对终端运维团队而言，这意味着软件白名单、数据外发策略、模型服务访问权限和版本更新管理需要同步覆盖 AI 应用，而不能只检查传统桌面软件。

来源： 麒麟软件新闻动态

5. Kvisor Cert 强化安全关键与机器人场景

8 月 14 日，麒麟软件基于 Rust 的嵌入式虚拟化软件 Kvisor Cert 通过 TÜV 南德 IEC 61508 SIL 3 功能安全认证。9 月 10 日，官方又介绍了基于 Kvisor Cert 的机器人分域混合部署方案，让不同安全关键等级的任务在同一硬件上隔离运行。

来源： Kvisor Cert 具身智能方案

6. openKylin 进入上合组织合作成果清单

9 月 7 日，麒麟软件公布“面向上海合作组织国家开展 openKylin 开源操作系统项目”被纳入外交部行动成果清单。后续值得关注的是国际镜像、语言适配、社区协作和海外软硬件生态建设。

来源： openKylin 相关新闻

7. 基础系统更新节奏需要单独关注

截至 9 月 14 日，麒麟软件“系统更新”公开列表最上方仍是 8 月 4 日发布、8 月 10 日更新的内核和激活组件补丁，暂未看到 9 月基础系统 RPM 更新。安全漏洞公告仍在持续发布，因此实际修补状态需要根据银河麒麟 V10、V11 和具体授权仓库分别核对，不能只依据公开新闻判断。

来源： 麒麟软件系统更新

运维行动清单

  1. 红帽环境优先排查 FreeIPA/IdM、SSSD IdP、bubblewrap、gvfsd-admin 和 pcs/haclient。
  2. 麒麟环境优先排查对外暴露的 Go、Node.js、XML 解析服务、QEMU/VNC 和 MTP 文件访问路径。
  3. 准备升级 RHEL 9.8 或 10.2 时，先验证 insights-core RPM、Satellite 内容视图和自动更新策略。
  4. 麒麟终端开始把 AI 应用纳入软件白名单、供应链来源核验、权限控制和数据外发审计。
  5. 对两家厂商，都应保存关键 KB、补丁说明和升级手册；在线支持平台发生降级时，线上检索不能作为唯一处置依据。

说明

本文按 2026 年 8 月 14 日至 9 月 14 日的公开信息整理，区分“操作系统漏洞与更新”“官网平台故障”和“产品生态新闻”。安全公告中的影响范围应以厂商最新勘误、软件包状态和现场版本核对结果为准。