分开不同支持层
Kernel.org 列出活跃 longterm 分支和预计期限；发行版可能通过回移补丁更长时间支持自己的内核包。硬件厂商单独认证驱动、固件与存储适配器，应用厂商则规定支持的操作系统和库。因此看起来旧的内核不一定有漏洞，新内核也不保证整个系统受支持。
维护真实设备矩阵
对每类节点记录发行版与渠道、内核包、关键模块、固件、Secure Boot、备份、监控和安全代理，并加入各供应商停止支持日期和迁移决策负责人。自动化清单还应显示设备偏离标准镜像的情况。
检查回移补丁，而非只看 CVE
发行版常把修复移植到旧分支，而不改变主版本号。应查看安全公告和软件包构建。对于第三方模块，要确认更新不会破坏启动、网络、存储或安全代理。测试环境应复现驱动和真实负载。
把迁移作为服务变更
选择受支持目标，验证应用与硬件，准备备用启动项和经过测试的回退。按批次从低风险节点开始，监控错误、性能与恢复。LTS 提供可预测基础，但软件包交付、测试和重启仍是运维职责。