XanMod 7.3.3 与 6.18.62 发布，三个 Xen 安全修复一次补齐

发表于 分类于
XanMod 11 月 7 日发布 7.3.3 与 6.18.62 内核，跟进上游同一批安全修复：三个 Xen 漏洞、ksmbd 与 io_uring 补丁，本文说明哪些 VPS 用户需要升级、MAIN 与 LTS 该选哪条线。

本文依据 Linux Compatible 于 2026 年 11 月 7 日的报道与上游稳定内核发布记录整理，未实测。版本号、发布日期与漏洞编号以报道和 kernel.org 为准，安装命令仅引用报道中给出的通用写法。

XanMod 在 11 月 7 日一次推了两个新内核：MAIN 分支的 7.3.3-xanmod1 和 LTS 分支的 6.18.62-xanmod1，基于 6.18 的实时（RT）变体也同步发布。这次不是功能更新，主题是安全：两个构建都跟进了上游稳定内核同一天（11 月 6 日）发布的同一批修复，核心是三个 Xen 虚拟化漏洞。

这次更新到底是什么

上游在 11 月 6 日一次发布了七个稳定内核，从最新的 7.3.3 一路到将近十年前的 5.10.274（中间还有 6.18.62、6.12.116、6.6.162、6.1.192、5.15.225），七个版本带的是完全相同的三个安全补丁。XanMod 在第二天就把其中两条线做成了自己的构建：MAIN 跟 7.3.3，LTS 跟 6.18.62。

7.3 这条主线本身还很新：Linus Torvalds 在 10 月 18 日发布 Linux 7.3，18,765 个非合并提交、3,021 名开发者、807 名首次贡献者，都是当时的纪录。XanMod 的 MAIN 分支现在正式站上 7.3 一线，而 11 月 1 日那版 7.2.15 所在的 7.2 线上游已经停更，MAIN 用户这次升级等于顺带完成了分支迁移。

三个 Xen 修复讲的是什么

三个补丁都出自 SUSE 的 Xen 安全团队（Juergen Gross 与 Jan Beulich），编号与影响如下：

  • XSA-526（CVE-2026-100080）：xen-netback（Xen 网络后端驱动）在读取统计信息时出现 use-after-free，恶意客户机可能让宿主机拒绝服务，并可能泄露信息。
  • XSA-527（CVE-2026-100081）：同样在 xen-netback，组播地址列表释放时序问题，除了拒绝服务，还可能被用来提权。
  • XSA-528（CVE-2026-100082）：xen-blkback（块设备后端驱动）通过 sysfs 读 I/O 统计时，与前端设备拆除不同步，可能触发 use-after-free 或空指针解引用。

三者的共同点是“客户机到宿主机”：出问题的是跑在宿主机一侧的后端驱动，普通桌面或笔记本用户基本不受影响。按报道的判断，如果你不在跑 Xen 虚拟化，这三个漏洞碰不到你。

VPS 用户要多想一层：你的小鸡是客户机，Xen 后端驱动跑在服务商的宿主机上，你在自己机器里换内核修不了宿主机的问题。这批修复真正要落地，靠的是你的服务商给宿主机打补丁。你能做的，是确认自己的 VPS 是不是跑在 Xen 上——是的话可以去问服务商的补丁进度；不是 Xen（比如 KVM）的话，这三个编号与你无关。

除了 Xen，这次还修了什么

报道里提到的其他安全内容，顺手列一下：

  • ksmbd（内核态 SMB 文件服务器）一批修复，覆盖 use-after-free、越界读取，还有一个空 DACL 检查此前会直接放行全部访问的问题。如果你用 VPS 给 Windows 机器共享文件，这个值得注意。
  • io_uring 一批修复，涉及内存记账泄漏与 BPF 权限绕过。
  • tun/tap 关闭了一个约 20 年的老口子：此前无需 CAP_NET_ADMIN 就能挂到无主设备上，现在补上了权限要求。

MAIN 与 LTS 该选哪条线

  • MAIN（7.3.3-xanmod1）：跟最新主线，功能最新、支持窗口最短，适合桌面、测试机和愿意跟滚动更新的爱好者。
  • LTS（6.18.62-xanmod1）：6.18 是今年的长期支持线，报道给出的支持截止是 2027 年 12 月 31 日，适合生产机与求稳的 VPS。

如果你现在还在 MAIN 的 7.2.15 上（上游已停更），这次升级到 7.3.3 是顺理成章的一步；如果你本来就在 LTS 线上，升到 6.18.62 即可，不用换分支。

升级前必须核对的两件事

第一，CPU 档位（psABI tier）别装错。XanMod 按 x86-64 微架构级别分档：v1、v2、v3，档位与 CPU 不匹配可能导致无法启动，装之前先用 XanMod 提供的辅助脚本核对：

1
bash check_x86-64_psabi.sh

脚本在 XanMod 官网（dl.xanmod.org）可以拿到，先查档位再装包。

第二，DKMS 外部模块可能滞后。XanMod 官网的警告是，NVIDIA、OpenZFS、VirtualBox、VMware Workstation 这类模块可能跟不上最新内核。有这类模块的机器，升级后先核对模块状态，不要直接当成生产机升级。VPS 用户另加一条：换内核之前先确认你的虚拟化环境是否允许换自定义内核，以及换内核后是否还能正常启动，动手前先在快照或备用机上验证。

升级步骤

XanMod 走 APT 安装，报道给出的通用写法如下（以 MAIN 分支、v3 档为例，Debian/Ubuntu 系，bookworm、trixie、noble、plucky 等代号都在支持范围）：

1
2
3
wget -qO - https://dl.xanmod.org/archive.key | sudo gpg --dearmor -o /etc/apt/keyrings/xanmod-archive-keyring.gpg
echo "deb [signed-by=/etc/apt/keyrings/xanmod-archive-keyring.gpg] http://deb.xanmod.org $(lsb_release -sc) main" | sudo tee /etc/apt/sources.list.d/xanmod-release.list
sudo apt update && sudo apt install linux-xanmod-x64v3

LTS 分支的包名带 -lts 后缀，RT 分支同理，装之前按 XanMod 官网核对具体包名。装完重启进入新内核，再核对两行输出：

1
uname -r
1
sudo /usr/sbin/sysctl net.ipv4.tcp_congestion_control

第一行应显示你装的 XanMod 内核版本；第二行在 XanMod 上应显示 bbr，按 XanMod 的说明，这里的 bbr 代表它内置的 BBRv3 实现，而不是发行版默认的 cubic。如果第二行不是 bbr，先别急着测速，先确认当前启动的确实是新内核。

一句话总结

7.3.3 与 6.18.62 是一次安全驱动的点版本更新：三个 Xen 补丁是主角，但它们修的是宿主机一侧，普通 VPS 客户机用户不用恐慌；真正在自己机器上能拿到手的，是 ksmbd、io_uring 与 tun/tap 的修复，外加 MAIN 线正式站上 7.3。MAIN 用户顺手从停更的 7.2 升上来，LTS 用户原地升到 6.18.62 即可，装之前先核对 CPU 档位。

来源：Linux Compatible《XanMod Releases 7.3.3 and 6.18.62 Kernels with Major Security Fixes》（2026 年 11 月 7 日），https://www.linuxcompatible.org/story/xanmod-releases-733-and-61862-kernels-with-major-security-fixes/ ；上游七内核同批修复见《Linux Releases Seven Kernels at Once, All Patching Same Xen Vulnerability》（2026 年 11 月 6 日），https://www.linuxcompatible.org/story/linux-releases-seven-kernels-at-once-all-patching-same-xen-vulnerability/