Yum命令检查Linux系统漏洞的方法

用Yum给Linux系统做“体检”——安全漏洞排查实操

说到Linux系统的安全维护，检查漏洞这件事其实没有想象中那么复杂。对于基于RPM的发行版（比如CentOS、Fedora、RHEL），Yum这个包管理器本身就内置了不少实用的“安检”功能。下面就把这套流程拆解开来，一步步详细说明。

首先，需要完成最基础的一步：确保Yum库保持最新。如果仓库中存储的都是过时的信息，那么查出来的结果也没有太大参考价值。

sudo yum update

这一步实际上也在更新系统上已有的软件包，但更关键的是，它会同步最新的仓库元数据，为后续的安全检查打好基础。

安装安全插件：给Yum加个“安检员”

Yum默认的安全能力比较有限，因此需要安装一个官方插件——yum-plugin-security。这个插件专门用来追踪CVE漏洞和安全更新，让排查更加精准。

sudo yum install yum-plugin-security

安装完成后，重启一次终端会话，或者直接执行下一步操作，插件就会生效。

列出可用的安全更新

接下来，使用这条命令让Yum扫描系统中所有已安装的软件包，找出那些存在安全漏洞但尚未修复的：

sudo yum --security check-update

该命令会输出一个列表，其中包含所有存在CVE漏洞的软件包及其可用的修补版本。需要注意，如果输出为空，并不意味着系统绝对安全，只能说明当前仓库中没有对应的安全更新包。

动手更新：修补漏洞

如果上一步列出了不少待更新的软件包，可以执行全量更新：

sudo yum update

或者，只针对某个特定软件包单独打补丁——这种做法更符合实际生产环境中“最小变更”的原则：

sudo yum update 

将替换成你想要更新的软件名称即可，例如sudo yum update openssl。

查操作记录：看看之前都干了什么

有时需要了解过去执行过哪些更新，或者某个漏洞是否早已修复，可以使用yum history命令：

sudo yum history

它会列出每次Yum操作的ID、时间、动作以及涉及的软件包数量。对于排查问题、审计变更历史来说，这个功能非常有用。

针对特定软件包的漏洞排查

在某些情况下，你可能只关心某个关键软件（比如内核、SSH、Nginx）是否存在已知的CVE，可以这样查询：

sudo yum list vulnerabilities 

前提是已经安装了yum-plugin-security插件。这条命令会直接告诉你目标软件包有哪些安全漏洞，以及对应的修复版本号。

当然，以上全部内容都是针对基于RPM的Linux发行版。如果你使用的是Ubuntu、Debian这类基于APT的系统，方法就完全不同了——需要换成apt-get update配合apt-get upgrade，或者用apt list --upgradable查看可升级列表。不过那是另一篇文章要讨论的话题了。

总的来说，漏洞检查的关键在于养成定期扫描的习惯，结合Yum提供的这些轻量级工具，不需要额外安装复杂的商业扫描器，就能做到心中有数，有效保障系统安全。