舰队规模下的两次补丁：DigitalOcean如何在不影响客户的情况下修复Januscape和AMD Safe RET问题
内容提要
DigitalOcean在2026年7月应对了两起严重云安全漏洞：KVM的Januscape漏洞和AMD处理器漏洞。团队通过实时补丁、主机迁移和系统化流程，分别在8天和更短时间内完成修复，全程零客户影响，展现了可重复的高效应急能力。
延伸解读
实时补丁与主机迁移的权衡
文章展示了两种修复策略：实时补丁（livepatch）和主机迁移（evacuation）。实时补丁能在不重启的情况下修复内核，但并非所有漏洞都适用，例如AMD Safe RET因代码内联而无法实时修补。主机迁移则通过迁移工作负载、重装系统或重启来修复，虽然耗时更长，但风险更低。DigitalOcean在Januscape漏洞中，对5.10内核的未验证补丁选择弃用，转而采用迁移，体现了安全优先于速度的原则。
容量规划与应急响应
在修复过程中，容量成为关键瓶颈。DigitalOcean通过临时从其他资源池调配服务器、回收闲置主机、提高维护并发数等手段，将预计三周半的修复时间缩短至不到一周半。这表明，在云环境中，应急响应不仅依赖技术能力，还需要灵活的容量管理和跨团队协作。这种能力在AMD漏洞修复中再次得到验证，显示了其可重复性。
协调披露与安全窗口
AMD漏洞通过协调披露（CVD）提前通知，使DigitalOcean能在公开前完成修复。这凸显了CVD机制的重要性，它允许厂商在漏洞公开前部署补丁，减少被利用的风险。然而，文章也指出，漏洞披露到利用的时间窗口正在缩短，AI辅助的漏洞发现和利用开发加剧了这一趋势。因此，云服务商需要不断优化响应流程，以应对更短的预警时间。
Q&A
DigitalOcean在2026年7月处理了哪两个严重的安全漏洞？
DigitalOcean在2026年7月处理了两个严重的安全漏洞：一个是KVM的Januscape漏洞（CVE-2026-53359），另一个是影响AMD处理器的Safe RET漏洞。
Januscape漏洞是什么？它有什么潜在影响？
Januscape是KVM在处理嵌套虚拟化时的一个漏洞，可能允许恶意客户机逃逸到宿主机，这是云提供商最严重的漏洞类型，因为可能破坏客户工作负载之间的隔离。
DigitalOcean如何在不影响客户的情况下修复Januscape漏洞？
DigitalOcean通过实时补丁（livepatch）修复了大部分内核，对于无法实时补丁的5.10内核，他们选择将客户工作负载迁移到其他主机，然后重新安装操作系统和内核，全程没有造成客户可见的中断。
AMD Safe RET漏洞是什么？为什么无法通过实时补丁修复？
AMD Safe RET漏洞是AMD处理器中Safe RET缓解措施的一个弱点，可能被精确计时的中断攻击，导致信息泄露。由于受影响的代码被编译器内联，没有函数边界可供实时补丁替换，因此无法使用实时补丁，必须更新内核并重启。
DigitalOcean在修复AMD漏洞时采取了哪些措施来加速进程？
DigitalOcean采取了预置内核包、使用自动化工作流、临时重新配置服务器、回收闲置容量、提高维护并发度等措施，并安排了24/7监控，从而在短时间内完成了约1600台主机的修复。
DigitalOcean如何确保在修复过程中不影响客户？
DigitalOcean通过实时迁移客户工作负载、在维护窗口内操作、保持容量缓冲、以及优先处理高可用性需求的客户，确保了修复过程中没有客户可见的中断。
DigitalOcean从这两次事件中学到了什么？
DigitalOcean学到了可重复的应急响应流程的重要性，并计划进一步缩短响应时间，因为漏洞披露到利用的时间窗口正在缩短，他们正在投资于快速滚动整个舰队的能力。
