שטף חולשות CVE מאלץ את Ubuntu לעבור למחזור שחרור ליבה שבועי

קנוניקל מעבירה את אובונטו לקצב של שחרור ליבה מדי שבוע. החברה משנה את אופן הפצת עדכוני הליבה Stable Release Updates (SRU): במקום המחזור הרגיל בן ארבעה שבועות ומחזור האבטחה בן השבועיים, יפעלו שני מחזורים חופפים של שבועיים, ובזכותם תשוחרר ליבה חדשה בכל שבוע.

מדוע לוח הזמנים משתנה

לדברי קנוניקל, השינוי נדרש משום שמספר החולשות המדווחות זינק, וחלק מהקרדיט — או מהאשמה, תלוי באיזה צד של תור התיקונים אתם יושבים — מגיע ל-AI. "מודלים לשוניים גדולים (LLM) וסוכני AI ייעודיים הפכו את גילוי הבאגים מתהליך ידני וארוך למנוע אוטומטי במידה רבה", מסרה החברה.

ה-AI אינו הגורם היחיד. קהילת הליבה של לינוקס במעלה הזרם הפכה ל-CVE Numbering Authority בשנת 2024 והחלה להקצות מזהים לאלפי באגים, מתוך הנחה שכמעט כל פגם בליבה שמשפיע על מערכת פעילה עלול להיות בעל השלכות אבטחה. שני הגורמים יחד מותירים לספקיות הלינוקס הרבה יותר חולשות CVE, ולטענת קנוניקל, הצבר שנוצר מחייב שחרורים מהירים יותר כדי לקצר את החלון שבין פרסום החולשה לבין הגעת ליבה מתוקנת למשתמשים.

איך יעבוד המחזור החדש

כל מחזור SRU נמשך שבועיים, אבל מחזור חדש מתחיל בכל שבוע. השבוע הראשון מוקדש לשילוב טלאים, להכנה ולבנייה של חבילות הליבה ולבדיקות בסיסיות; בסיומו מפורסמים מועמדי השחרור בכיס -proposed של אובונטו. השבוע השני שמור לעבודה הכבדה — הסמכת חומרה, אינטגרציה עם ההפצה ובדיקות רגרסיה — שלאחריה הליבה משוחררת. מכיוון שהמחזור הבא מתחיל בזמן שהבדיקות האלה עדיין מתנהלות, קנוניקל יכולה לפרסם ליבה נוספת כבר בשבוע שלאחר מכן.

לארגונים שמגיבים ברגישות במיוחד לעיכוב בתיקונים יש מסלול מהיר יותר: אחרי השבוע הראשון הם יכולים לקחת מועמדי שחרור מכיס -proposed ולהריץ בדיקות קבלה משלהם. קנוניקל מציגה את הפשרה בבירור — משתמשים אלה מקבלים תיקונים מוקדם יותר, אבל לפני שהחברה סיימה את בדיקות ההסמכה המקיפות שלה. כך תיקוני CVE בליבה יכולים להיות זמינים בתוך שבוע, בתנאי שהלקוחות מוכנים לבצע חלק מהבדיקות בעצמם.

בין חשיפה לתיקון

קנוניקל גם רוצה שחשיפת הלקוחות תהיה קטנה יותר במרווח שבין פרסום החולשה לזמינות התיקון. היכן שאפשר, היא מציעה עקיפות בטוחות, והיכן שאין כאלה — ממליצה על אמצעי הקשחה כלליים, כך שהמערכות עוברות למה שהיא מכנה "מצב הגנתי ובטוח יותר" בתוך 24 עד 48 שעות מהפרסום. אמצעים אלה אינם מחליפים את התקנת התיקונים — הם נותנים למנהלי מערכות משהו טוב יותר מלהחזיק אצבעות בזמן שהתיקון עובר את תהליך השחרור.