Canonical меняет график обновления ядер Ubuntu: вместо четырёхнедельных циклов SRU и отдельных двухнедельных циклов безопасности компания вводит единый двухнедельный процесс. Поскольку новый цикл будет начинаться каждую неделю, пользователи Ubuntu смогут получать очередной выпуск ядра примерно раз в неделю. Полная проверка каждой сборки по-прежнему занимает две недели.
Новый цикл ядра занимает две недели
Прежде команда ядра Canonical совмещала четырёхнедельные циклы обычных стабильных обновлений с дополнительными двухнедельными циклами для срочных исправлений CVE. Такой график действует с августа 2023 года. Теперь компания объединяет эти процессы в единый двухнедельный цикл.
В первую неделю Canonical собирает исправления, готовит пакеты и сборки, а затем проводит начальные тесты. Кандидат ядра публикуют в репозитории -proposed. Во вторую неделю проходят сертификация, интеграционные проверки и тестирование на регрессии; после этого сборку выпускают пользователям.
Циклы перекрываются: пока одно ядро проходит заключительные испытания, для следующего уже начинается подготовка. Поэтому полный двухнедельный цикл не сокращается до семи дней, хотя новые выпуски ядер будут появляться еженедельно.
SRU – Stable Release Update, обновление стабильного выпуска Ubuntu. Исправление сначала проходит проверку в отдельном репозитории -proposed, а после проверки может попасть в основной репозиторий обновлений.
Тестовые сборки появятся до завершения сертификации
Администраторы, которым нужно раньше проверить исправление в своей среде, смогут начать тестирование ядра из -proposed примерно за неделю до стабильного выпуска. Canonical подчёркивает, что это тестовый кандидат: к моменту его публикации полная сертификация и проверка на регрессии ещё не завершены.
Репозиторий -proposed уже используется в процессе SRU Ubuntu: готовые к полному тестированию ядра помещают в тестовую фазу, откуда их двоичные пакеты становятся доступны для проверки. О том, как Canonical выбирает тестовые ядра для Ubuntu, также рассказывает материал о Linux 7.3 в Ubuntu 26.10.
Canonical связывает перемены с ростом числа CVE
По объяснению Canonical, команда сталкивается с увеличением потока уязвимостей в ядре Linux. Автоматизированный поиск, в том числе с применением ИИ, помогает выявлять больше потенциальных проблем. Кроме того, проект Linux получил статус организации, уполномоченной присваивать идентификаторы CVE, и теперь больше ошибок ядра получают такие номера.
Сам по себе идентификатор CVE не указывает на критичность уязвимости и не означает, что она затрагивает каждую систему. Документация проекта Linux поясняет, что разработчики ядра могут присваивать CVE потенциальным проблемам безопасности; этот процесс не заменяет обычный порядок сообщений об ошибках.
CVE – общепринятый идентификатор публично раскрытой уязвимости. Организации, уполномоченные присваивать такие номера, помогают однозначно обозначать проблемы, но номер CVE сам по себе не определяет их серьёзность.
Практическая значимость скорости выпуска исправлений видна на примере уязвимостей повышения привилегий в Linux. В частности, уязвимость Copy Fail позволяла локальному пользователю получить права root, а для устранения проблемы Canonical выпускала обновления ядер Ubuntu.
Временные меры обещают подготовить за 24–48 часов
Если полноценное исправление ядра нельзя подготовить быстро, Canonical намерена по возможности предложить временную защиту или безопасный обходной путь в течение 24–48 часов после публичного раскрытия уязвимости. Если подходящего обходного решения нет, компания будет публиковать рекомендации по усилению защиты до выхода полноценного исправления.
Новый график должен чаще доставлять исправления в стабильные выпуски Ubuntu, сохраняя двухнедельную проверку каждого ядра. Для организаций дополнительный вариант – начать собственные испытания кандидата из -proposed до его переноса в основной репозиторий.