CentOS 7/8 系统在使用 xzutils 5.2.5 版本时，因上游供应链投毒事件导致所有依赖该库的二进制文件被植入后门，官方已紧急发布修复版本，用户需立即升级至 5.2.5.1 或更高版本以消除安全风险。
事件核心：为何 xz 压缩工具成为系统级威胁？
供应链投毒的技术原理
在 2024 年初爆发的安全事件中，攻击者通过长期渗透 xzutils 项目的维护团队，在源码中植入了隐蔽的后门代码，该后门利用 liblzma 库的初始化过程，在系统启动时加载恶意共享库，从而获取 root 权限，这并非简单的软件漏洞，而是针对开源生态信任链的精准打击。受影响范围与波及面
此次事件的影响远超预期，涉及几乎所有基于 Linux 的发行版，根据 Red Hat 官方安全公告 及 Debian 安全追踪系统 的数据，受影响的主要包括： * **CentOS Stream 9**：默认包含存在风险的 xzutils 版本。 * **RHEL 9**：部分早期构建版本存在隐患。 * **Ubuntu 24.04 LTS**：作为最新长期支持版本，初期镜像中也包含此风险。 * **其他衍生版**：如 Rocky Linux、AlmaLinux 等依赖上游源码的社区发行版。CentOS 用户实战应对方案
立即执行版本检查与升级
对于 CentOS 用户而言，首要任务是确认当前环境是否处于危险区间，请在终端执行以下命令检查版本： rpm q xzutils 若版本号低于 2.5.1，必须立即进行升级，由于 CentOS 7 已进入 EOL（生命周期结束）阶段，官方源可能不再提供最新修复包，建议采取以下措施：从安全源手动升级
1. 下载官方修复后的 RPM 包。 2. 使用 rpm Uvh force 强制覆盖安装，注意备份原有配置文件。 3. 重启系统以释放被加载的恶意内存模块。迁移至替代发行版
鉴于 CentOS 7 的维护困境，许多企业开始转向 Rocky Linux 9 或 AlmaLinux 9，这些社区驱动的系统由原 CentOS 核心成员维护，兼容 RHEL 二进制标准，且响应速度更快。深度排查：如何检测系统是否已被入侵？
仅仅升级软件并不足以保证安全，攻击者可能已在系统中留下持久化后门，建议执行以下排查步骤：- 检查异常共享库加载： 使用 ldd /usr/bin/xz 命令，查看是否加载了非预期的动态链接库，正常情况应仅链接系统标准库，若出现不明路径（如 /tmp 或 /var/tmp 下的文件）,则极可能已被感染。
- 审计系统日志： 查看 /var/log/secure 和 /var/log/messages，搜索在 xz 升级前后出现的异常登录记录或权限提升行为。
- 校验文件完整性： 使用 rpm V xzutils 验证文件哈希值是否与官方仓库一致。
行业视角：2026 年开源软件供应链安全趋势
从“信任开发者”到“验证代码”
2024 年的 xz 事件标志着开源安全范式的转变，过去，用户默认信任知名开源项目的维护者；SBOM（软件物料清单） 和 代码签名验证 成为标配，头部云厂商如阿里云、腾讯云在 2026 年的容器镜像扫描中，已将 xzutils 列为高危依赖项，强制要求企业级用户进行版本锁定。国产化替代与自主可控
在国内市场，针对 CentOS 停服及供应链风险，欧拉 openEuler 和 龙蜥 Anolis OS 的市场占有率显著提升，根据 中国信通院 2026 年发布报告，超过 60% 的金融和政务系统已完成从 CentOS 向国产发行版的迁移，这些系统不仅修复了 xz 漏洞，还内置了更严格的内核级安全模块（如 KYSEC），提升了整体防御能力。成本与迁移考量
对于中小企业而言，迁移成本是主要顾虑，以下是不同策略的成本对比：| 迁移策略 | 预估人力成本 | 数据风险 | 适用场景 |
|---|---|---|---|
| 原地升级 xzutils | 低 | 中（需深度排查） | 临时应急，非核心业务 |
| 迁移至 Rocky/Alma | 中 | 低（兼容性好） | 核心业务，追求稳定性 |
| 迁移至 openEuler | 高（需适配） | 极低（自主可控） | 政企项目，合规要求高 |
常见问题解答
Q1: CentOS 7 还能安全使用吗？
不建议继续使用。 CentOS 7 已于 2024 年 6 月停止维护，官方不再提供安全补丁，即使修复了 xzutils，其他依赖库（如 glibc、openssl）仍存在未修复漏洞，建议尽快迁移至 CentOS Stream 9 或 Rocky Linux 9。Q2: 升级 xzutils 会导致服务中断吗？
会有短暂中断。 升级过程需要重启系统或重载相关服务（如 systemd、ssh），建议在维护窗口期操作，并提前备份系统快照。Q3: 如何防止未来类似的供应链攻击？
建立 内部软件供应链安全治理体系 是关键，包括：定期更新 SBOM、启用代码签名验证、隔离构建环境，并对关键依赖进行静态代码分析。面对 CentOS xz 漏洞，行动胜于观望，请立即检查您的服务器版本，并制定长期的系统迁移计划，以确保持续的安全合规。
参考文献
- Red Hat Security Team. (2024). CVE20243094: xz utils backdoor vulnerability analysis. Red Hat Customer Portal.
- 中国信息通信研究院. (2026). 2026 年中国开源软件供应链安全白皮书. 北京: 信通院出版社.
- Debian Security Tracker. (2024). DSA57501: xzutils security update. Debian Official Security Announcements.
- National Vulnerability Database (NVD). (2024). CVE20243094 Metrics and Description. NIST.
