Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Canonical ha introdotto un nuovo modello di rilascio del kernel basato su cicli di due settimane, sovrapponendo le fasi di sviluppo e certificazione. Questo approccio permette di pubblicare versioni candidate settimanalmente, riducendo il tempo tra la scoperta di una vulnerabilità e la sua correzione. L'adozione di intelligenza artificiale per l'individuazione dei bug e l'espansione del numero di CVE hanno spinto la necessità di accelerare il processo. Gli amministratori possono testare i kernel proposti per ottenere aggiornamenti più rapidi, mantenendo al contempo alti standard di sicurezza.
Il flusso di vulnerabilità scoperte è diventato così intenso che il precedente programma di aggiornamento del kernel Ubuntu di Canonical non è più adeguato.
L’azienda sta migrando i suoi kernel stabili a un nuovo sistema SRU: invece di un ciclo di aggiornamento regolare di quattro settimane e un ciclo di sicurezza separato di due settimane, verrà mantenuto un unico processo di due settimane.
Il rilascio settimanale non significa che Canonical ridurrà tutte le revisioni del kernel a sette giorni. I cicli di due settimane si svolgeranno settimanalmente e si sovrapporranno. Durante la prima settimana, il team crea i pacchetti, esegue i controlli di avvio di base e pubblica le versioni candidate nel repository -proposed. La seconda settimana è dedicata alla certificazione hardware, all’integrazione e ai test di regressione.
La transizione inizierà il 28 settembre 2026, con due cicli consecutivi di due settimane. Un altro ciclo inizierà il 12 ottobre e, a partire dal 26 ottobre, Canonical lancerà una pipeline sovrapposta. Una volta che questa pipeline sarà operativa, verranno rilasciati settimanalmente nuovi kernel stabili, sebbene ciascuno richiederà un periodo completo di due settimane.
Canonical attribuisce l’accelerazione principalmente al forte aumento delle CVE. I modelli linguistici di grandi dimensioni e gli agenti di intelligenza artificiale specializzati hanno automatizzato la ricerca di errori nel codice, consentendo un rilevamento più rapido rispetto all’analisi manuale. Questa tendenza è già stata osservata in Linux: la vulnerabilità CopyFail è stata scoperta da uno strumento di intelligenza artificiale nel 2026 , portando allo sviluppo di un metodo efficace di escalation dei privilegi per sfruttare il bug.
Tuttavia, l’intelligenza artificiale spiega solo in parte l’aumento. Nel febbraio 2024, kernel.org ha ottenuto lo status di autorità di numerazione CVE e ha iniziato ad assegnare in modo indipendente identificatori a potenziali problemi del kernel. Gli sviluppatori Linux adottano deliberatamente un approccio cauto: a causa del ruolo del kernel, quasi ogni bug può teoricamente compromettere la sicurezza, anche se il percorso di sfruttamento non è ovvio al momento della correzione.
Questo approccio ha aumentato drasticamente il numero di record che le distribuzioni devono elaborare. La documentazione di Linux avverte specificamente che molti CVE assegnati non sono applicabili a un sistema specifico, poiché quest’ultimo utilizza solo un sottoinsieme del vasto codice sorgente del kernel. Per Canonical, questa crescita si traduce comunque in un maggiore lavoro di valutazione, segnalazione delle correzioni ai rami supportati e creazione e convalida dei pacchetti Ubuntu.
La portata del problema è chiaramente evidente nei recenti bollettini di sicurezza di Ubuntu. La sola release del kernel Azure del 22 settembre ha elencato oltre 1.400 vulnerabilità CVE corrette, mentre altri aggiornamenti dello stesso giorno ne contenevano decine e centinaia. Allo stesso tempo, il rischio non può essere valutato unicamente in base al numero di identificativi: alcuni bug non interessano configurazioni specifiche, mentre alcune vulnerabilità di Linux vengono già sfruttate in attacchi reali.
Gli amministratori che necessitano di correzioni più rapide potranno scaricare i kernel candidati dal canale -proposed dopo la prima settimana ed eseguire i propri test di accettazione. Questo approccio riduce i tempi di attesa a circa una settimana, ma trasferisce parte del lavoro di verifica al responsabile dell’infrastruttura. Canonical mantiene una serie completa di test di certificazione e regressione per il canale stabile standard.
Fino al rilascio della versione finale del kernel, Canonical prevede di pubblicare, laddove disponibili, correzioni temporanee sicure o raccomandazioni per il rafforzamento della sicurezza. L’azienda mira a rendere il sistema più sicuro entro 24-48 ore dalla divulgazione pubblica del problema. Queste correzioni temporanee non sostituiscono un aggiornamento del kernel, ma dovrebbero ridurre il periodo tra la divulgazione di una vulnerabilità e il rilascio di una correzione verificata.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.