上周，两个严重的Linux内核漏洞被披露，引发了社区的广泛关注。作为回应，开发人员正在审查一项关于紧急“终止开关”机制的提案，旨在降低严重漏洞公开披露后带来的风险。
NVIDIA工程师兼Linux稳定内核共同维护者Sasha Levin提交了该补丁。它允许系统管理员在等待安全更新期间暂时禁用存在漏洞的内核功能。
这个概念很简单：如果识别出危险的代码路径，可以指示内核停止使用该函数。该函数不会正常执行，而是返回一个错误。虽然这并不能解决根本的漏洞，但可以阻止对易受攻击路径的访问，直到有已修复的内核可用为止。
该提案是在近期 Linux 内核漏洞披露之后提出的，其中包括Copy Fail和Dirty Frag漏洞。Copy Fail 漏洞尤其值得关注，因为该补丁包含一个参考CVE-2026-31431的自测程序，用于演示终止开关如何阻止受影响的AF_ALG路径。
Dirty Frag 虽然并非直接用作测试用例，但它也具有相关性，并能说明一个更广泛的问题：严重的内核漏洞可能在修复程序广泛发布之前就已公开。在此期间，管理员可能需要一种临时方法来降低风险，而无需等待完整的更新周期。
Levin 的补丁使该功能可通过内核的安全文件系统接口 (securityfs) 实现。具有特权的管理员可以为特定函数启用终止开关，使其立即终止。此更改在运行时生效，并一直保持有效，直到被禁用或系统重启。
该提案针对的是大多数系统日常运行中不依赖的代码路径。莱文列举了诸如AF_ALG`<module> `、`<module>` ksmbd、` nf_tables<module>`、`<module> vsock` 和 ` <module>` 等区域ax25。在某些环境中，暂时禁用这些功能可能比运行存在已知漏洞的内核造成的干扰更小。
然而，该功能存在明显的风险。此补丁并未包含自动安全检查来判断是否可以安全地禁用某个功能。禁用错误的功能或返回错误的值可能会扰乱系统行为或导致新的问题。因此，它并非设计用于日常使用的通用安全开关。
需要明确的是，这种机制并非实时修补。它不会用修复后的版本替换存在漏洞的代码，而只是阻止选定的函数运行。要彻底解决该漏洞，仍然需要进行完整的内核更新。它只能在漏洞公开披露和完整补丁部署之间的这段时间内，提供一种紧急缓解工具。
截至目前，终止开关补丁仍在审核中，尚未被 Linux 内核接受。
