你的 VPS 商突然通知明早停机？大概率是在给 PVE 打 PwnEscape 补丁

一、一纸停机公告，背后是一颗 9.3 分的内核漏洞

这两天不少用海外 VPS 的朋友都收到了类似的通知：云厂商宣布宿主机紧急维护，分批升级、多次重启、预计中断若干小时。比如有商家公告香港、东京地区 10 月 22 日 08:00–12:00 维护，"因 PVE 官方披露严重安全漏洞"，每个地区中断不超过 2 小时，宿主机将进行两次重启。

公告里没写编号，但这颗漏洞基本可以对号入座：PwnEscape（CVE-2026-99999），10 月 15 日披露的 Linux 内核 IPv4 校验和缺陷，CVSS 9.3，能让 KVM 客户机里的攻击者泄露宿主机内存、打崩宿主机，甚至在实验室环境下拿到宿主机 root。它不在 KVM 代码里，也不在 PVE 面板里，而在所有虚拟化宿主机共用的内核网络栈里——PVE 官方的应对方式是发布打了补丁的新内核，宿主机必须重启才能生效。这就是停机公告的由来。

二、为什么是"两次重启"？装了补丁 ≠ 修好了

很多用户看到"两次重启"会紧张，其实这是内核级修复的正常姿势：第一次重启进新内核，之后往往还要再确认一次引导项、让所有节点稳定落在已修复内核上。对 PVE 来说，关键不是重启几次，而是重启之后内核真的换了。

Proxmox 官方的修复落在 proxmox-kernel-7.0.14-24-pve 及更新的包系列里（PVE 9 系列）。这里有一个和之前文章反复强调的坑一模一样：包安装成功不等于补丁生效，老内核还在内存里跑着，节点依旧暴露。所以厂商公告里"两次重启"不是小题大做，而是这类漏洞的唯一正确修法——PwnEscape 没有临时缓解措施，禁用嵌套虚拟化、收紧权限只能缩小爆炸半径。

顺带说一句，这次维护波及面很广：ITLDC 的升级窗口横跨 10 月 20 日到 22 日，每台 VPS 重启约 5–7 分钟；VPSBG 预告每台机器 5–10 分钟的计划外停机；再加上香港、东京这类亚太节点 22 日集中维护——如果你名下有海外 VPS，这几天收到停机邮件，大概率都是同一个原因。

三、如果你自己就是 PVE 站长：三步自查

不只是托管用户，自建 PVE 的人这周必须动手。三步：

第一步，看版本，分清生死线。Proxmox VE 9 的修复内核是 7.0.14-24-pve 及以上；而 PVE 8 已经过了官方支持期，它的 6.8 内核不在修复列表里——还停在 PVE 8 的节点拿不到补丁，唯一出路是升级到 PVE 9，短期缓解则是限制不受信任的客机、关闭嵌套虚拟化。

第二步，升级并重启。标准动作：

apt update && apt full-upgrade
reboot

第三步，验证"正在运行"的内核。在宿主机上（不是客机里）执行：

pveversion -v | grep proxmox-kernel
proxmox-boot-tool kernel list
uname -r

如果 uname -r 显示的还是旧内核，说明装了但没启动——这台节点仍然是暴露状态。另外别忘了集群里那些备机、测试节点和关机很久的服务器：它们会在某一天带着旧内核重新入群，那才是最危险的回归。

如果某些节点短期内实在没法重启，有一个临时的缓解思路：在不受信任客机的 vhost/tap 网卡上关闭校验和卸载（ethtool -K tx-checksum-ip-generic off），让恶意元数据到不了出问题的内核路径。注意这只是缓解、未经官方背书、有性能代价，补丁 + 重启仍是唯一正解。

四、如果你只是租户：维护窗口前后的三件事

多数读者是租客，宿主机不归自己管，但有三件事现在就该做：

• 维护开始前做好备份。公告里"请提前做好数据备份"不是客套话——批量重启总有概率翻车，快照 + 异地备份是你在这次事件里唯一能完全掌控的防线；
• 别自己折腾宿主机级别的事。自助重启 VPS、重装系统对这颗漏洞毫无作用，补丁打在宿主机上，等厂商窗口结束即可；
• 维护结束后留个心眼。观察实例状态和日志有无异常；如果厂商没发任何公告、也没维护，反而值得问一句"你们打算什么时候打 PwnEscape 补丁"——这轮行业大考里，响应快慢是能看出一家 Hosting 商的成色的。

另外提一句：如果你的 VPS 里还嵌套跑着自己的虚拟机（nested KVM），别忘了客机内的内核也要按之前的清单升级——两层都要补。

写在最后

PwnEscape 的技术细节之前已经拆过：AI 辅助研究三天找到缺陷，宿主机内核错信了客机发来的校验和元数据。这轮它带来的第二个启示是运维层面的：虚拟化安全是整条栈的安全——面板重要、hypervisor 重要，但最底下那层宿主机内核才是这次真正要修的东西。看到停机公告不必慌，那是负责任的表现；真正该担心的是那些一声不吭、也没打算重启的节点。你的机器属于哪一种，问一句就知道。

参考来源：Proxmox VE 官方 CVE-2026-99999 响应、kernel.org CVE 记录、pwn.ai 技术分析、ITLDC / VPSBG / LightLayer 等托管商维护公告。