Ask HN: Was in aller Welt dauert bei Ubuntu so lange?
Ask HN: What in the world is taking Ubuntu so long?
Ich habe bemerkt, dass Ubuntu CVE-2026-98432 als 9.8 einstuft, aber seit fast einer Woche kein Update zur Behebung bereitstellt; der Status ist weiterhin „work in progress“ (inzwischen gibt es zumindest eine dokumentierte Mitigation). Ich habe seit einer Woche eigene Mitigationsmaßnahmen aktiv, aber diese Reaktion erschüttert mein Vertrauen in Ubuntu erheblich. Ich versuche zu verstehen, was los ist: Hat Ubuntu zu viele Kernel (die Seite ist sehr lang), fehlt es an Automatisierung in Build-/Test-Pipelines, oder sind die Engineers überlastet? Wir bewegen uns auf eine Welt mit deutlich mehr Security-Problemen zu – wenn man schon jetzt nicht mithalten kann, wo steht man dann in sechs Monaten?
Ubuntu hat eine riesige Anzahl an Kernel-Varianten und unterstützten Releases, was die Patch-Erstellung und -Validierung verlangsamt. Oft fehlt es nicht an Willen, sondern an der schieren Menge an Build- und Test-Kombinationen, die für ein Security-Update durchlaufen werden müssen.
Ich habe ähnliche Verzögerungen bei anderen Distributionen erlebt. Der Unterschied ist meist die Transparenz: Ubuntu kommuniziert den Status, aber die tatsächliche Bearbeitungszeit hängt stark von der Schwere und der Komplexität des Fixes ab. Ein CVSS-Score von 9.8 bedeutet nicht automatisch, dass ein Patch schnell verfügbar ist.
Die eigentliche Frage ist, ob man sich auf die Distribution als einzige Verteidigungslinie verlassen sollte. Ich setze auf Defense in Depth: zeitnahe Mitigationen, Monitoring und gegebenenfalls eigene Backports, statt nur auf das Distributions-Update zu warten.
Ubuntu hat in den letzten Jahren stark auf Automatisierung gesetzt, aber die Flut an CVEs und die Vielfalt der Pakete übersteigt die Kapazitäten. Es ist ein strukturelles Problem, das nicht nur Ubuntu betrifft, sondern die gesamte Open-Source-Lieferkette.
Ich habe gute Erfahrungen damit gemacht, bei kritischen CVEs direkt die Ubuntu Security Notices und den Launchpad-Bug zu verfolgen. Manchmal gibt es bereits Patches in proposed, die noch nicht in updates freigegeben sind. Das kann eine Woche Wartezeit überbrücken.
- throw0101c
Wie in diesem Blogbeitrag dargelegt:
* https://ubuntu.com/blog/fixes-available-in-proposed-pocket-f...
Die Fixes waren seit dem 26. Oktober (noble) bzw. dem 28. (resolute) im "proposed"-Repo:
* https://launchpad.net/ubuntu/+source/linux
Man hätte sie jederzeit in der letzten Woche herunterladen können. Gestern Nachmittag waren sie noch in "proposed", aber als ich heute Morgen (EST/UTC-5) nachgesehen habe, waren sie in "updates". Eine gewisse Nachverfolgung des Zeitplans, wann die Updates in den Repos erfolgt sind, scheint hier verfügbar zu sein:
* https://ma.ttias.be/linux-cve-2026-98432-vulnerable-kernels/
Die Kernel durchlaufen einen QA-Testprozess, und laut diesem Beitrag vom September wollen sie den Zeitrahmen für Kernel-Updates verkürzen:
* https://canonical.com/blog/accelerating-delivery-of-cve-fixe...
- imjonse
Gibt es einen dokumentierten Exploit für diese CVE unter Ubuntu oder den anderen Distros, bevor sie gepatcht wurden?
- marcosdumay
Es war falsch, vorher Vertrauen in Ubuntu zu haben; du liegst doppelt falsch, wenn es jetzt noch dein "Vertrauen erschüttert".
Du erwartest eine Qualität, die nie da war. Sichtbarerweise.
- atestu
Scheint ein guter Zeitpunkt zu sein, um zu fragen: Was benutzen die Leute, wenn nicht Ubuntu, auf einem Webserver? Zum Beispiel für eine Rails-App, auf EC2 ... ich frage für einen Freund (der ich bin).
- xet7
Laut dem Canonical-Produktteam ist der gefixte Ubuntu-Kernel bei proposed:
https://news.ycombinator.com/item?id=50348688
Oder installiere den neuesten Mainline-Testkernel, aber der wurde weniger getestet, YMMV: