2026 年 10 月底，中央网信办通报银河麒麟、中科方德、统信 UOS 三家国产操作系统存在安全漏洞，相关厂商均已完成漏洞修复并发布安全公告，各单位被要求开启操作系统自动更新。这份通报从 10 月 29 日起由多家教育系统与政企单位转发落地。

通报的关键信息是括号里的内核版本号：同一款"V10"在机房里可能对应 4.19 和 5.4 两个内核分支，补丁不能按发行版号下发，必须按内核版本核对。本文只做三件事：列受影响版本、教你怎么核对自己机器的内核、给三家厂商各自的升级路径。

一、受影响版本范围

操作系统	受影响版本	对应内核分支
银河麒麟	V10 SP1	5.4
银河麒麟	V10	4.19
银河麒麟	V11	6.6
中科方德	V5.0	5.4
统信 UOS	V20	4.19 / 5.10 / 5.4
统信 UOS	V25	6.6

两个细节值得注意。第一，三家当前最新的主版本全部在这份清单里，"刚装的新系统"不等于"不在范围内"，核对只能以内核版本为准。第二，通报原文没有列出具体 CVE 编号，各分支的详细修复内容以三家厂商安全公告页为准，麒麟在 support.kylinos.cn 的漏洞信息栏目、统信在 src.uniontech.com 均可按时间检索到对应补丁公告。

二、核对自己的内核版本

判断归属只看这一条命令：

uname -r

在 Kali GNU/Linux Rolling 上实测的输出：

6.16.8+kali-amd64

输出格式是"主版本号 + 发行版后缀"，比对时只看点分数字部分。例如输出 4.19.90-xxx.ky10.x86_64 就是麒麟 4.19 分支，5.10.0-xxx-generic 就是统信 5.10 分支。

包管理器视角可以补充确认内核包版本：

dpkg -l | grep linux-image     # deb 系：麒麟 V10、统信 V20
rpm -q kernel --last | head    # rpm 系：方德、统信 V25

资产台账如果只登记到"银河麒麟 V10"这个粒度，在这一步会立刻暴露问题：同一个版本号的机器，uname -r 的结果可能分属两三个内核分支，需要的补丁各不相同。核对完把结果记回台账，粒度提到内核版本这一层。

三、升级步骤

1. 银河麒麟

桌面版：开始菜单 → 设置 → 安全与更新 → 更新设置，打开自动更新相关选项。

服务器版先确认配置了官方补丁源，然后：

apt update && apt full-upgrade

升级对象是内核包，完成后重启，uname -r 确认已切到新内核。内核补丁不重启不生效，只执行 apt 不算完成。

2. 中科方德

开始菜单 → 设置 → 关于 → 进入"系统升级"界面 → 更新设置，打开自动更新。离线设备从官方安全中心按系统版本下载补丁手动安装，安装后重启并核对内核版本。

3. 统信 UOS

桌面版：启动器 → 控制中心 → 更新 → 更新设置，把系统更新、自动检查、自动下载、自动安装四项全部打开。V20 服务器版：

apt update && apt full-upgrade

V25 服务器版：

dnf update kernel

统信的内核安全更新同样要重启生效，重启后用 uname -r 复核。

4. 内网离线环境

通报建议"开启自动更新"，但大量信创环境是物理隔离内网，连不上厂商公网源，这条建议在这些环境里落不了地。可执行的做法是：找一台能连公网的机器做同步，内网自建 apt 或 yum 镜像源，按周级周期同步厂商补丁包并留档；实在没有条件的，按通报附件和厂商公告页下载离线补丁包，分批手工安装。

四、注意事项

• 升级内核前必须留快照或系统镜像。国产系统回滚没有 Windows 方便，虚拟机快照、系统盘镜像、容器镜像 tag 按环境任选一种，这是硬要求。
• 不要一次全推。办公终端和非核心业务先打，观察一周；核心业务第二批，在低峰期验证；承载关键数据的服务器最后，打完立刻做全链路拨测。
• 容器内的应用无法自行修复宿主机内核，云主机与容器场景要在节点层面完成内核升级。
• 判断依据是 uname -r 的输出，不是 /etc/os-release 里的版本号，也不是"系统提示已是最新"。
• 补丁包来源只用三家厂商官方渠道（麒麟 support.kylinos.cn、统信 src.uniontech.com、方德官方安全中心），不要用第三方转载的安装包。
• 这份通报本身没有给出漏洞编号与技术细节，后续如需评估资产暴露面，以厂商公告页的逐条 CVE 说明为准，我没有找到公开渠道列出的具体编号。