文章记录了将Ceph集群从19.2.3升级到20.2.5以修复CVE-2025-30156的过程：旧版CephX使用固定IV的AES-128-CBC存在认证绕过风险，需改用aes256k并轮换密钥。作者先将虚拟机内核升级到7.2以支持aes256k，再用cephadm升级Ceph并自动替换部分密钥，随后手动轮换client.admin及Rook相关密钥，最后禁用旧aes密钥，确认无安全警告后完成迁移。