Разработчики дистрибутивов Linux столкнулись с новой проблемой — потоком отчётов об уязвимостях, который стало невозможно обрабатывать по старым правилам.
Canonical объявила об изменении цикла выпуска обновлений Ubuntu. Вместо прежней схемы — регулярные патчи раз в четыре недели и отдельные исправления безопасности раз в две недели — теперь все патчи объединяются в единый двухнедельный цикл.
Причина перемен — резкий рост числа CVE-отчётов. Большие языковые модели и ИИ-агенты превратили поиск уязвимостей в почти полностью автоматизированный процесс, и сопровождающие проекты оказались завалены сообщениями.
Со схожей ситуацией ранее столкнулось и ядро Linux. Линус Торвальдс отмечал, что при подготовке релиз-кандидатов Linux 7.0 число сообщений об ошибках заметно выросло, а сами релиз-кандидаты стали объёмнее обычного.
Критических багов среди них не нашлось, и версия 7.0 вышла в срок. Но при работе над Linux 7.1 стало ясно — рост числа отчётов не случайность, а новая тенденция.
Многие сообщения оказывались либо незначительными, либо дублировали уже существующие заявки. Процесс грозил стать неуправляемым, но сообщество разработчиков ядра нашло способ справляться с потоком — часть команды выделилась в отдельную структуру по присвоению CVE-номеров.
Поскольку на уровне ядра почти любая ошибка, способная повлиять на работу системы, формально может считаться уязвимостью, номера присваиваются тысячами. Теперь с аналогичным вызовом столкнулась и Canonical, вынужденная перестроить рабочие процессы под новую реальность.