容器服务 镜像和内核参数说明和更新历史

一、原生节点镜像介绍

镜像支持方：容器团队和 TencentOS 研发团队共同支持。

注意：原生节点镜像使用定制内核，标准 yum 源不含原生节点的增值能力。请注意不要使用 yum update kernel 等命令执行内核更新，或者使用主机安全产品的镜像更新功能，这些高危操作会导致内核增值功能缺失。

其他说明：

·原生节点支持通过指定 annotation 为 "node.tke.cloud.tencent.com/image-label=ts4-public" 来体验高版本内核镜像 TencentOS 4，该镜像来源于公共镜像，不支持如意/悟净特性。

·原生节点新增支持 Rainbow OS（TencentOS Rainbow）操作系统。在新建原生节点时，你可以选择 Rainbow OS 镜像，以使用 TencentOS Rainbow 内核增强特性。详情请参见 TencentOS Rainbow 镜像介绍。

·针对支持如意/悟净的默认原生节点镜像 net-snmp 库版本 (5.8-30.tl3) 高危漏洞 CVE-2025-68615的修复：需要节点先执行 dnf update tencentos-release，再执行 dnf update net-snmp-libs。我们也在升级支持如意/悟净的 TencentOS 4，敬请期待。

二、3.1-5.4.241-19-0023.2_plus

更新日期：2026年5月

更新内容：

·升级内核至 5.4.241-19-0023.2_plus 修复 CVE-2026-43284 Dirty Frag 漏洞和 CVE-2026-46300 Fragnesia 漏洞。

·启动参数中添加 zram.memcg_nocharge=0。

·添加 /etc/modprobe.d/dirtyfrag.conf，默认禁止相关模块加载。

三、3.1-5.4.241-19-0023.1_plus

更新日期：2026年5月

更新内容：

·升级内核至 5.4.241-19-0023.1_plus 修复 CVE-2026-31431 漏洞。

·升级其他用户态软件包。

四、3.1-5.4.241-19-0017.8_plus

更新日期：2025年5月

更新内容：

·升级内核至 5.4.241-19-0017.8_plus。

·升级其他用户态软件包。

·优化小内存规格机器的 crashkernel。

五、3.1-5.4.241-19-0017.7_plus

更新日期：2024年10月

更新内容：

·升级内核至 5.4.241-19-0017.7_plus。

·升级其他用户态软件包。

·不再预装 containerd。

六、5.4.241-19-0017.3_plus

更新日期：2024年6月

更新内容：

·使用 5.4.241-19-0017.3_plus 内核。

·启动参数中添加 lru_gen=y。

·预装 TKE 组件。

·升级其他用户态软件包。

七、5.4.241-19-0017.1_plus

更新日期：2024年6月

更新内容：

·更新内核 LTS 版本，从 5.4.119 升级至 5.4.241。

·async fork support：进程的第3、4级页表异步拷贝，用于 fork 加速。

·unprivileged overlay mounts（overlayfs 支持 docker in docker 的场景）。

如意（混部）模块：

·支持 CPU、内存、IO、网络多种资源进行不同 QoS 级别的隔离。

·优化 CPU cgroup 使用率统计算法，统计更准确。

·支持容器资源视图隔离。

悟净（内存压缩）模块：

·更精细的 kmem 统计（字节粒度），上游 object cgroup backport。

·基于 object cgroup 实现 zram 粒度的统计功能。

·基于 cgroup 粒度的 zram 统计功能，实现了 cgroup 可以设置独立的压缩算法、压缩限制。

·基于自研 workingset 算法，可以精确估算文件页的有效节省量。

·隔离容器 swap 行为能力：内核开启 swap 后，可以对部分容器隔离 swap 设备的感知。

·添加 PSI cgroup v1 support。

·提供异步回收 async clean dying memcgs 的功能。

·上游 multi-gen LRU backport。

八、关键内核参数说明

注意事项：

·部分参数（如 kernel.threads-max ）会基于机器规格进行动态计算，算法可能有微调，实际结果差距不大，在表中不予展示。如需查看，可以登录机器后通过命令 sysctl <参数名称> 查看。

·修改内核参数可能导致系统不稳定，建议在测试环境验证后再在生产环境操作。

关键参数对比如下：