CVE akını Ubuntu'yu haftalık çekirdek sürüm döngüsüne itti

Canonical, Ubuntu'yu haftalık çekirdek sürümü ritmine geçiriyor. Şirket, çekirdek Stable Release Update (SRU) paketlerini yayımlama düzenini yeniliyor: mevcut dört haftalık normal ve iki haftalık güvenlik döngülerinin yerini, birbiriyle örtüşen iki haftalık döngüler alacak ve böylece her hafta bir çekirdek sürümü çıkacak.

Takvim neden değişiyor

Canonical'a göre değişiklik, bildirilen güvenlik açığı sayısının patlaması nedeniyle gerekli; bunda AI'nın da payı var — yama kuyruğunun hangi tarafında oturduğunuza bağlı olarak buna hizmet ya da kabahat diyebilirsiniz. Şirket, "Büyük dil modelleri (LLM'ler) ve özelleşmiş AI ajanları, hata bulmayı elle yürütülen ve zaman alan bir süreçten yüksek düzeyde otomatik bir motora dönüştürdü" açıklamasını yaptı.

İşin tek sorumlusu AI değil. Linux çekirdeğinin upstream topluluğu 2024'te CVE Numaralandırma Otoritesi haline geldi ve çalışan bir sistemi etkileyen neredeyse her çekirdek kusurunun güvenlik sonuçları olabileceği gerekçesiyle binlerce hataya kimlik numarası vermeye başladı. İki etken bir araya gelince Linux dağıtımcılarının uğraşması gereken CVE sayısı çok arttı; Canonical'a göre oluşan birikim, bir açığın kamuya açıklanmasıyla düzeltilmiş çekirdeğin kullanıcılara ulaşması arasındaki süreyi kısaltmak için daha hızlı sürümleri zorunlu kılıyor.

Yeni döngü nasıl işleyecek

Her SRU döngüsü iki hafta sürüyor, ancak her hafta yeni bir döngü başlıyor. İlk hafta yamaların entegrasyonuna, çekirdek paketlerinin hazırlanıp derlenmesine ve temel kontrollere ayrılıyor; bu aşamanın sonunda sürüm adayları Ubuntu'nun -proposed deposunda yayımlanıyor. İkinci hafta daha ağır işlere — donanım sertifikasyonu, dağıtım entegrasyonu ve regresyon testleri — ayrılıyor ve ardından çekirdek yayımlanıyor. Bir sonraki döngü bu testler sürerken başladığı için Canonical ertesi hafta bir çekirdek daha yayımlayabiliyor.

Yamalardaki gecikmeye karşı özellikle hassas olan kuruluşlar için daha hızlı bir yol var: ilk haftanın ardından -proposed deposundan sürüm adaylarını alıp kendi kabul testlerini çalıştırabiliyorlar. Canonical bu ödünü açıkça anlatıyor — bu kullanıcılar düzeltmelere daha erken ulaşıyor, ancak şirketin kapsamlı sertifikasyon testleri henüz tamamlanmamış oluyor. Böylece, müşteriler testlerin bir kısmını üstlenmeye razıysa, çekirdek CVE düzeltmeleri bir hafta içinde kullanılabilir hale geliyor.

Açıklama ile yama arasındaki boşluk

Canonical ayrıca müşterilerin açıklama ile yama arasındaki dönemde daha az maruz kalmasını istiyor. Mümkün olduğunda güvenli geçici çözümler sunmayı, bunlar yoksa genel sertleştirme önlemleri önermeyi hedefliyor; şirketin ifadesiyle sistemler açıklamadan sonraki 24-48 saat içinde "savunulabilir, daha güvenli bir duruma" geçiyor. Bu önlemler yamalamanın yerini almak için değil — yöneticilere, düzeltme sürüm sürecinden geçerken parmaklarını çapraz bağlamaktan daha iyi bir seçenek sunmak için.