CentOS 7.9 还能收到安全更新吗？

直接给结论：CentOS 7.9 官方已经不再提供常规的安全更新和 errata（错误修复）推送了，但如果你购买了 Red Hat Enterprise Linux (RHEL) 的订阅服务，依然可以通过 RHEL 兼容通道收到安全补丁。

这里需要厘清几个关键的时间点和概念，避免被过时的信息误导：

1. 标准生命周期已结束

CentOS Linux（即大家常说的“免费 CentOS”）遵循与 RHEL 同步的生命周期。CentOS 7 的标准支持期（Standard Support）在 2022年6月30日 结束，随后进入了维护支持期（Maintenance Support），该阶段一直持续到 2024年6月30日。

也就是说，从 2024年6月30日 开始，CentOS Project 正式停止了对 CentOS 7 的所有 errata 推送，包括安全漏洞修复、bug 修复和新功能更新。这意味着你现在的 yum update 或者 dnf update 即使能跑通，也只会拉取到旧的、不再包含最新安全补丁的包列表。

2. “还能更新”的两种情况

虽然官方源停了，但在实际运维中，你可能还会遇到“能更新”的情况，这通常源于以下两种场景：

• 场景一：你持有 RHEL 订阅（合规且推荐）
  CentOS 的设计初衷就是 1:1 二进制兼容 RHEL。只要你拥有有效的 Red Hat Enterprise Linux Server 订阅，你就可以将系统配置为使用 RHEL 的 YUM/DNF 仓库。在这种情况下，你的 CentOS 7 机器可以正常接收来自 RHEL 7 的最新安全更新。这是目前唯一官方认可的、安全的延续使用方式。很多企业在迁移完成前，会通过购买少量 RHEL 订阅来维持旧系统的合规性。

• 场景二：第三方镜像站或本地缓存（不安全）
  国内一些云厂商或镜像站（如阿里云、腾讯云、华为云等）可能会保留历史版本的快照。如果你的系统配置指向了这些静态归档仓库，你可能还能看到一些包，但这些包绝对不是最新的，里面不包含 2024 年及以后披露的安全漏洞修复。依赖这种方式生产环境是极其危险的，等同于裸奔。

3. 为什么现在不能用了？

自 2024 年中下旬起，各大主流云厂商（AWS、Azure、阿里云、腾讯云等）的公共镜像中，CentOS 7 的基础镜像已经陆续下线或标记为 EOL（End of Life）。如果你在云服务器上新建实例，默认不会再提供 CentOS 7 选项，取而代之的是 Rocky Linux、AlmaLinux、Ubuntu LTS 或 Debian 等替代品。

对于存量服务器，如果继续使用无订阅的 CentOS 7，将面临以下风险：

• 高危漏洞无法修补：如 Log4j2、OpenSSL 等基础组件的新漏洞无法通过官方渠道修复。
• 合规性问题：等保 2.0 或其他行业审计要求操作系统必须获得持续的安全支持，EOL 系统通常会被判定为不合规。
• 软件兼容性下降：越来越多的新软件（如新版 Docker、Kubernetes 组件、Java 运行时等）开始放弃对 CentOS 7 内核的支持。

4. 建议的应对方案

既然你已经意识到这个问题，说明有安全意识。以下是务实的建议：

1. 立即评估迁移成本：不要试图打补丁续命，核心策略是迁移。
2. 选择替代发行版：
   • Rocky Linux / AlmaLinux：它们是 CentOS 的精神继承者，由原 CentOS 创始人和社区维护，二进制完全兼容 RHEL，迁移难度最低，命令习惯几乎一致。
   • Ubuntu 20.04/22.04 LTS 或 Debian 11/12：如果你团队更熟悉 Debian 系，这也是一个很好的长期支持选择。
3. 短期过渡：如果迁移需要时间，且业务不能中断，考虑购买 RHEL 订阅作为临时桥梁，直到完成系统替换。

总结来说，没有 RHEL 订阅的 CentOS 7.9 已经是一个“死亡”的系统，它不会再收到任何主动的安全推送。请尽早规划迁移，不要心存侥幸。