WTF Ubuntu?

Artigo original ↗ Discussão no Hacker News ↗

A resposta lenta da Ubuntu a uma vulnerabilidade crítica do kernel Linux (CVE‑2026‑98432, classificada como 9,8/10) abalou a confiança na promessa da Canonical de suporte de segurança em tempo hábil, inclusive para clientes pagantes do Ubuntu Pro. Comentadores observam que distribuições mantidas por voluntários, como Debian, Arch, Alpine e Slackware, publicaram kernels corrigidos dias antes, levando muitos a considerar ou iniciar migrações para Debian, Rocky/Alma ou NixOS para servidores e desktops. A discussão também traz preocupações mais amplas sobre a cultura da Canonical, suas ferramentas (Snaps, netplan) e prioridades, além de destacar mitigação provisória como regras de firewall, enquanto questiona se usuários de Linux corporativo ainda podem confiar na Ubuntu para infraestrutura crítica.

O tratamento do CVE-2026-98432 pela Ubuntu

  • A discussão gira em torno da frustração de que a Ubuntu não publicou atualizações estáveis do kernel para uma vulnerabilidade do kernel TCP/IP com pontuação alta, semanas após a divulgação, enquanto Debian e outras distros já o fizeram.
  • A própria página de CVE da Ubuntu o classifica como alto/crítico, mas por muito tempo não सूचीava mitigação e tinha informações de pacote confusas/de baixa qualidade.
  • Muitos veem isso como uma quebra das promessas de LTS/segurança da Ubuntu, especialmente considerando a oferta paga Ubuntu Pro da Canonical e o marketing recente sobre “acelerar correções de CVEs”.
  • Um comentário posterior da Canonical diz que kernels corrigidos estão no pocket -proposed para 22.04+ e que o ciclo SRU de 2 semanas exige testes extras em muitos kernels; críticos argumentam que isso é lento demais para um bug do tipo RCE de rede.

Gravidade e explorabilidade da falha

  • A Anthropic afirma ter um exploit funcional que obtém root por meio de pacotes TCP especialmente elaborados; algumas equipes de segurança e fornecedores de nuvem tratam isso como sério o bastante para exigir regras de emergência.
  • Outros observam que muitos avisos (por exemplo, de fornecedores) enfatizam travamento/DoS, não uma execução remota de código claramente demonstrada, e que uma estimativa de EPSS é baixa.
  • Divergência: alguns argumentam que o pânico é exagerado sem um PoC público; outros dizem que a combinação de corrupção de memória remota no kernel e a centralização da infraestrutura de nuvem justifica urgência máxima.

Mitigações e correções temporárias

  • Várias mitigações práticas foram discutidas:
    • Regras de firewall (iptables/nftables ou Suricata) descartando pacotes IPv4 com opções de IP definidas.
    • Desativar MPTCP foi sugerido inicialmente, mas depois considerado incompleto; a falha diz respeito a opções de IP, não estritamente ao MPTCP.
  • Alguns usuários compilaram ou aplicaram patches ao kernel por conta própria; outros pegaram kernels do -proposed da Ubuntu ou de fontes não Ubuntu (por exemplo, Debian, Proxmox).

Ubuntu vs. Debian e outras distros

  • Muitos dizem que isso confirma uma visão antiga: para servidores, Debian puro (ou Rocky/Alma, Fedora, NixOS, Alpine, Slackware) é preferível à Ubuntu.
  • Argumentos a favor do Debian: resposta de segurança mais rápida neste caso, empacotamento mais simples/“puro”, sem snaps, sem insistência do Pro, confiança de longo prazo.
  • Argumentos historicamente a favor da Ubuntu: melhor suporte a drivers proprietários, cadência previsível de LTS, imagens de fornecedores, presença no ecossistema e suporte comercial; alguns ainda defendem o histórico geral da Ubuntu e enfatizam o peso de testes em muitos kernels.

Expectativas de software gratuito vs pago

  • Um lado: “Você recebe o que paga; usuários gratuitos não deveriam reclamar.”
  • O lado oposto: a Canonical faz marketing de segurança de nível corporativo, cobra pelo Pro e ainda assim não entregou patches em tempo hábil nem mesmo para clientes pagantes, então a crítica é justificada.

Temas mais amplos

  • Múltiplos CVEs recentes (brotli, PHP, KVM “PwnEscape”) são citados como sinais de que grandes fornecedores, incluindo Ubuntu e RHEL, estão com dificuldade para acompanhar.
  • Vários participantes dizem que este incidente foi o ponto de virada pessoal para migrar servidores da Ubuntu para Debian ou clones de RHEL, muitas vezes com ajuda de automação e ferramentas de IA.