☕️ Ubuntu : un noyau toutes les deux semaines pour suivre la cadence des correctifs

Jusqu’à présent, Ubuntu publiait un nouveau noyau toutes les quatre semaines selon un schéma appelé « 4/2 ». Ce rythme stable était en place depuis 2023. Deux semaines après chaque publication ordinaire, une version d’urgence pouvait être publiée si une faille critique nécessitait une correction immédiate. Ce système permettait de maintenir une certaine stabilité tout en offrant une réactivité limitée en cas de menace majeure. Cependant, ce délai de quatre semaines était jugé trop long face à l’augmentation rapide des vulnérabilités détectées dans le noyau Linux.

À partir de septembre 2026, Ubuntu adopte un rythme unifié de publication de noyaux toutes les deux semaines. Ce changement vise à accélérer la distribution des correctifs de sécurité. Chaque cycle se divise en deux phases : la première semaine est consacrée à la préparation des patchs et à la compilation des nouveaux noyaux, tandis que la seconde semaine est dédiée aux tests et aux certifications avant la mise à disposition des utilisateurs. Pour les utilisateurs les plus avancés, il sera possible d’activer une récupération automatique hebdomadaire des mises à jour.

Canonical justifie ce changement par l’explosion du nombre de correctifs nécessaires pour sécuriser le noyau Linux. Cette augmentation est directement liée à l’utilisation croissante des Large Language Models (LLM) dans la détection de vulnérabilités. Par exemple, Mozilla a corrigé 271 failles en 2026 grâce à l’outil Mythos 5 d’Anthropic, tandis que Microsoft utilise son infrastructure Perception pour identifier des failles similaires. Ces outils automatisés permettent de repérer bien plus de vulnérabilités qu’auparavant, rendant les cycles de quatre semaines insuffisants pour une protection optimale.

Le processus de préparation des noyaux évolue pour s’adapter au nouveau rythme. Les correctifs sont intégrés en continu dans une branche dédiée, puis figés à une date fixe pour compiler les nouvelles versions. Ces compilations sont ensuite envoyées dans un dépôt nommé « -proposed », où les utilisateurs peuvent tester les versions candidates avant leur publication finale. Dès qu’un noyau entre dans sa phase finale, le suivant est déjà en préparation, permettant un flux continu de mises à jour. Canonical souligne qu’il est impossible de publier plus rapidement sans compromettre les tests approfondis de chaque version.

Pour garantir la stabilité des noyaux publiés, Canonical maintient un processus de tests rigoureux. Les versions candidates sont d’abord placées dans le dépôt « -proposed », où les utilisateurs peuvent effectuer leurs propres tests de validation. Ce dépôt est mis à jour chaque semaine, offrant une transparence totale sur les versions en cours de validation. Cependant, Canonical précise que les mesures d’atténuation des vulnérabilités, comme les correctifs spécifiques, ne seront pas publiées plus rapidement. En cas d’absence de solution spécifique, l’entreprise recommandera des mesures générales de durcissement du système.

Canonical s’est fixé un objectif ambitieux : rendre un système « défendable » dans un délai de 24 à 48 heures après la découverte d’une vulnérabilité. Cet objectif reflète l’urgence croissante à laquelle sont confrontés les éditeurs de systèmes d’exploitation face à la multiplication des failles. Les chiffres récents illustrent cette pression : entre les versions 6.9 et 6.19 du noyau Linux, une moyenne de 500 vulnérabilités (CVE) étaient corrigées. La version 7.0 a dépassé les 1 000 corrections, tandis que la version 7.2 a franchi la barre des 1 500. La version 7.3 pourrait, selon les projections, corriger plus de 2 000 failles, confirmant la nécessité d’un rythme de publication plus soutenu.