Làn sóng CVE do AI khiến Ubuntu chuyển sang chu kỳ phát hành kernel hàng tuần

Canonical đang thay đổi cách phát hành kernel Ubuntu nhằm đối phó với tình trạng số lượng lỗ hổng bảo mật (CVE) tăng vọt. Thay vì chu kỳ cũ gồm bốn tuần cho bản cập nhật thông thường và hai tuần cho bản vá bảo mật, hãng sẽ chuyển sang các chu kỳ hai tuần chồng lấn, qua đó đẩy ra một bản kernel mới mỗi tuần.

Nguyên nhân chính đến từ làn sóng CVE ngày càng dày đặc. Các mô hình ngôn ngữ lớn (LLM) và tác nhân AI chuyên dụng đã biến việc tìm lỗi từ một quy trình thủ công, tốn thời gian thành một cỗ máy tự động hóa cao độ. Bên cạnh đó, cộng đồng kernel Linux thượng nguồn đã trở thành Cơ quan Đánh số CVE (CVE Numbering Authority) từ năm 2024 và bắt đầu gán mã cho hàng nghìn lỗi, với lập luận rằng gần như mọi khiếm khuyết trong kernel đều có thể gây ảnh hưởng bảo mật.

Chu kỳ mới hoạt động như thế nào?

Theo thiết kế mới, mỗi chu kỳ Cập nhật Phát hành Ổn định (SRU) kéo dài hai tuần, nhưng một chu kỳ mới sẽ bắt đầu mỗi tuần.

• Tuần đầu tiên: Tích hợp bản vá, chuẩn bị và biên dịch gói kernel, đồng thời chạy các kiểm tra cơ bản để đảm bảo hệ thống không gặp sự cố. Cuối giai đoạn này, các bản ứng viên phát hành (release candidate) sẽ được đưa lên kho -proposed của Ubuntu.
• Tuần thứ hai: Dành cho các bước nặng hơn như chứng nhận phần cứng, tích hợp bản phân phối và kiểm thử hồi quy. Sau khi hoàn tất, kernel chính thức được phát hành.

Vì chu kỳ tiếp theo đã khởi động trong lúc quá trình kiểm thử đang diễn ra, Canonical có thể công bố thêm một bản kernel khác ngay tuần kế tiếp.

Với những tổ chức cần vá còn nhanh hơn, hãng đưa ra một lựa chọn khác: lấy bản ứng viên từ kho -proposed sau tuần đầu tiên và tự chạy kiểm thử chấp nhận. Đánh đổi ở đây khá rõ ràng — người dùng tiếp cận bản vá sớm hơn, nhưng trước khi Canonical hoàn tất quy trình chứng nhận đầy đủ. Nếu chấp nhận tự kiểm thử, các bản vá CVE cho kernel có thể sẵn sàng trong vòng một tuần.

Giảm thiểu rủi ro trong 24 đến 48 giờ

Không chỉ tăng tốc phát hành, Canonical còn muốn giảm khoảng thời gian hệ thống bị phơi nhiễm giữa lúc lỗ hổng được công bố và lúc bản vá xuất hiện. Hãng đặt mục tiêu cung cấp các biện pháp xử lý tạm an toàn khi có thể, hoặc đề xuất các biện pháp tăng cường bảo mật chung nếu không có cách vá cụ thể, đưa hệ thống vào trạng thái "có thể phòng thủ, an toàn hơn" trong vòng 24 đến 48 giờ sau khi công bố công khai.

Những biện pháp này không nhằm thay thế việc vá lỗi, mà chỉ để quản trị viên có phương án tốt hơn là cầu may trong lúc chờ bản vá đi qua quy trình phát hành.

Ý nghĩa với người dùng Ubuntu

Với các quản trị viên hệ thống và đội ngũ vận hành tại Việt Nam — đặc biệt là những đơn vị chạy Ubuntu trên máy chủ, hạ tầng cloud hoặc thiết bị biên — lịch phát hành kernel dày hơn đồng nghĩa với việc cần chủ động hơn trong khâu kiểm thử và triển khai.

Việc cập nhật kernel thường xuyên hơn giúp rút ngắn cửa sổ rủi ro, nhưng cũng đòi hỏi quy trình kiểm thử nội bộ chặt chẽ hơn để tránh xung đột với ứng dụng đang chạy. Các tổ chức nhạy cảm với thời gian vá có thể cân nhắc tự kiểm thử bản ứng viên, trong khi phần lớn người dùng nên bám sát kênh phát hành chính thức.

Kết quả là một lịch phát hành kernel bận rộn hơn hẳn — điều dường như khó tránh khi máy móc ngày càng được huy động để tìm lỗi nhanh hơn tốc độ con người có thể vá. AI vốn được kỳ vọng sẽ giúp công việc của mọi người nhẹ nhàng hơn, nhưng đội ngũ kernel của Ubuntu có lẽ sẽ có vài lời muốn nói về điều đó.