WTF Ubuntu？

原文 ↗ Hacker News 讨论 ↗

Ubuntu 对一个关键 Linux 内核漏洞（CVE-2026-98432，评分 9.8/10）的迟缓响应，动摇了人们对 Canonical 及时提供安全支持承诺的信心，即便是付费的 Ubuntu Pro 客户也不例外。评论者指出，像 Debian、Arch、Alpine 和 Slackware 这类志愿者维护的发行版早几天就已推出修补后的内核，这促使许多人考虑或已经开始把服务器和桌面迁移到 Debian、Rocky/Alma 或 NixOS。讨论还反映出对 Canonical 的文化、工具（Snaps、netplan）和优先级的更广泛担忧，并强调了诸如防火墙规则之类的临时缓解措施，同时质疑企业 Linux 用户是否还能继续信任 Ubuntu 来承载关键基础设施。

Ubuntu 对 CVE-2026-98432 的处理

  • 讨论焦点是：在一个高分 TCP/IP 内核漏洞披露数周后，Ubuntu 仍未发布稳定的内核更新，而 Debian 和其他发行版已经发布了。
  • Ubuntu 自己的 CVE 页面把它标为高危/严重，但长期没有列出缓解措施，而且包信息也显得混乱、质量不高。
  • 许多人认为这违反了 Ubuntu 的 LTS/安全承诺，尤其是考虑到 Canonical 付费的 Ubuntu Pro 产品，以及最近关于“加速 CVE 修复”的营销宣传。
  • 后来的 Canonical 评论称，针对 22.04 及以上版本的已修补内核已进入 -proposed 源，且他们 2 周的 SRU 周期需要在许多内核上做额外测试；批评者则认为，对于网络 RCE 级别的漏洞，这样的速度太慢了。

漏洞的严重性与可利用性

  • Anthropic 声称他们有可工作的利用代码，可通过特制 TCP 数据包获得 root 权限；一些安全团队和云厂商认为它严重到需要紧急规则。
  • 也有人指出，很多通告（例如来自厂商的）强调的是崩溃/拒绝服务，而不是已明确证明的远程代码执行，而且 EPSS 估计很低。
  • 分歧在于：一些人认为在没有公开 PoC 的情况下恐慌被夸大了；另一些人则认为，远程内核内存破坏与云基础设施高度集中这两点结合起来，足以要求最高级别的紧迫性。

缓解措施与临时修复

  • 讨论了若干实际缓解措施：
    • 使用防火墙规则（iptables/nftables 或 Suricata）丢弃设置了 IP 选项的 IPv4 数据包。
    • 最初有人建议禁用 MPTCP，但后来被认为并不完整；这个漏洞与 IP 选项有关，并不严格是 MPTCP 的问题。
  • 一些用户自行编译或进行了 live patch 内核；另一些则从 Ubuntu 的 -proposed 或非 Ubuntu 来源（例如 Debian、Proxmox）获取内核。

Ubuntu 与 Debian 及其他发行版

  • 许多人表示，这进一步印证了一个长期观点：对于服务器，纯 Debian（或 Rocky/Alma、Fedora、NixOS、Alpine、Slackware）比 Ubuntu 更合适。
  • 支持 Debian 的理由：这次安全响应更快、打包更简单/更“纯粹”、没有 snaps、没有 Pro 促销、长期信任度更高。
  • 历来支持 Ubuntu 的理由：对专有驱动的支持更好、LTS 节奏更可预测、厂商镜像、生态心智占有率以及商业支持；也有人仍为 Ubuntu 的整体记录辩护，并强调其要在许多内核上测试的负担。

免费软件与付费软件的预期

  • 一派观点是：“一分钱一分货；免费用户不该抱怨。”
  • 反方认为：Canonical 以企业级安全为卖点，对 Pro 收费，却连付费客户也没能及时拿到补丁，因此批评是合理的。

更广泛的主题

  • 有人提到最近多个 CVE（brotli、PHP、KVM “PwnEscape”）显示包括 Ubuntu 和 RHEL 在内的主要厂商都难以及时跟上。
  • 多位参与者表示，这次事件是他们个人的转折点，将把服务器从 Ubuntu 迁移到 Debian 或 RHEL 克隆版，往往还借助自动化和 AI 工具。