Ubuntu będzie aktualizować jądro co tydzień. Wszystko przez lawinę luk

Ubuntu, jedna z najpopularniejszych dystrybucji Linuksa, przechodzi na przyspieszony cykl naprawiania luk w zabezpieczeniach pakietów jądra Linuksa. Zamiast czterech tygodni, oczekiwanie na kolejną wersję będzie teraz trwało tylko jeden tydzień. Deweloperzy Ubuntu zostali zmuszeni do przyspieszenia tego procesu ze względu na ogromną liczbę luk w zabezpieczeniach identyfikowanych za pomocą sztucznej inteligencji.

Wcześniej Canonical publikował standardowe aktualizacje pakietów jądra co cztery tygodnie, a pakiety z poprawkami krytycznych luk i ważnych problemów co dwa tygodnie. Firma przechodzi teraz na ujednolicony cykl dwutygodniowy, publikując jedną wersję raz w tygodniu.

Canonical tłumaczy konieczność przejścia na nowy cykl rozwoju rosnącą liczbą luk w zabezpieczeniach jądra Linuxa, w dużej mierze ze względu na pojawienie się narzędzi sztucznej inteligencji przeznaczonych do tego celu.

„Duże modele językowe i wyspecjalizowani agenci AI przekształcili wyszukiwanie błędów z pracochłonnego, ręcznego procesu w wysoce zautomatyzowany mechanizm ” – stwierdziła firma Canonical na swoim firmowym blogu.

Gwałtowny wzrost liczby identyfikatorów CVE (Common Vulnerability ID) związanych z Linuksem nie wynika wyłącznie ze wzrostu popularności narzędzi AI. W 2024 roku projekt jądra Linuksa uzyskał status CVE Numbering Authority i natychmiast zaczął korzystać z tego nowego uprawnienia. Deweloperzy zaczęli przypisywać CVE praktycznie każdemu błędowi, który mógł mieć wpływ na bezpieczeństwo systemów Linux. Każdego miesiąca odkrywano setki takich błędów.

Linux musi nadążyć za lawiną zgłoszeń

Według materiałów opublikowanych przez Canonical, we wrześniu 2026 roku projekt rozwoju jądra Linuxa odnotował rekordową liczbę luk CVE – ponad 1500. Nieco mniej niż połowa z nich została sklasyfikowana jako wysokiego ryzyka, a około 200 zawierało opisy luk zaklasyfikowanych jako krytyczne.

W rezultacie dostawcy dystrybucji GNU/Linux muszą teraz radzić sobie ze znacznie większą liczbą luk CVE niż kiedykolwiek wcześniej. Twórcy Ubuntu uważają, że sensowne jest częstsze publikowanie aktualizacji jądra z najnowszymi poprawkami, aby zminimalizować opóźnienie między publicznym ujawnieniem luki a udostępnieniem nowej wersji jądra zawierającej najnowsze poprawki.

W pierwszym tygodniu przeprowadzana jest integracja poprawek, prace przygotowawcze, faktyczne tworzenie pakietów na podstawie powstałego kodu źródłowego oraz podstawowe testy. Po zakończeniu tej fazy pakiety są umieszczane w „proponowanym” repozytorium przez najbardziej niecierpliwych użytkowników i administratorów Ubuntu jako Release Candidate, gdzie mogą być instalowane na własne ryzyko.

Drugi tydzień cyklu jest w całości poświęcony dokładniejszym testom wersji Release Candidate. Ten etap obejmuje sprawdzenie poprawności integracji z dystrybucją, certyfikację zgodności jądra ze sprzętem oraz testowanie pod kątem regresji. Po tych procedurach aktualizacja jest uznawana za gotową do dystrybucji i awansowana do statusu wydania.

Kolejna iteracja cyklu rozwojowego rozpoczyna się równolegle z testowaniem poprzedniej wersji jądra. Dzięki temu Canonical może co tydzień publikować zaktualizowaną wersję Linuksa.

Ponadto w ciągu 1–2 dni od ujawnienia podatności i w przypadku braku poprawek ją eliminujących, Canonical planuje opublikować w internecie informacje o sposobach minimalizowania zagrożenia, jakie ona stwarza.

AI pomaga znajdować luki, ale generuje też nowe problemy

Pojawienie się zaawansowanych narzędzi umożliwiających szybkie i półautomatyczne wykrywanie luk w zabezpieczeniach oprogramowania znacząco zwiększyło obciążenie pracą osób zajmujących się utrzymaniem oprogramowania typu open source, nie tylko społeczności Linuksa.

Nie wszyscy są zadowoleni z takiego stanu rzeczy. Na przykład Daniel Stenberg, główny programista niezwykle popularnego narzędzia open source cURL, zmierzyć się musiał z falą niskiej jakości raportów o błędach generowanych za pomocą sztucznej inteligencji. W rezultacie programista został zmuszony do zamknięcia programu nagród za wykrywanie luk w zabezpieczeniach cURL, który działał od 2019 roku, aby ograniczyć liczbę osób szukających łatwego zarobku.