Canonical이 Ubuntu 커널의 보안 패치(CVE 수정) 배포 주기를 개편해, 기존 4주·2주 주기를 통합하여 사실상 매주 새 커널을 배포하는 체계로 전환합니다. 취약점이 공개된 후 24~48시간 내 임시 완화책을 제공하고, 정식 패치는 2주 주기 내에 릴리즈됩니다. 더 빨리 패치를 적용하고 싶은 조직은 Canonical의 인증 테스트가 완료되기 전인 `-proposed` 채널에서 릴리즈 후보(RC) 빌드를 가져올 수 있지만, 이 경우 검증되지 않은 빌드에서 발생하는 문제는 해당 조직이 직접 감수해야 합니다. Ubuntu 서버를 운영하는 보안·인프라 담당자는 이 새 주기에 맞춰 패치 관리 계획을 업데이트할 필요가 있습니다.
Canonical이 Ubuntu 커널 패치 배포 방식을 개편하여 기존 분리된 4주(일반 SRU)·2주(보안) 주기를 2주 단위 사이클로 통합, 사이클이 1주 간격으로 시작되어 실질적으로 매주 커널 릴리즈가 이루어지는 체계를 발표했다.
Ubuntu 서버 플리트를 운영하는 조직은 이제 매주 커널 업데이트를 고려해야 하며, 패치 적용 속도와 안정성 사이의 트레이드오프를 조직 내부 정책에 따라 결정해야 한다.
LLM과 AI 에이전트의 확산으로 버그 탐지가 자동화되고, 업스트림 커널 커뮤니티가 자체 CVE 발급 기관이 되어 CVE 수가 급증함에 따라 더 빠른 패치 배포 체계가 필요해졌다.
Canonical은 취약점 공개 후 24~48시간 내 완화책을 제공하고, 전체 인증 테스트를 유지한 채 2주 주기로 공식 패치를 릴리즈한다. 신속한 패치가 필요한 팀은 `-proposed` 채널에서 RC 빌드를 직접 가져와 자체 테스트 후 적용할 수 있다.
빠른 패치 적용을 원한다면 `-proposed` 채널 활용이 가능하지만, Canonical의 인증 테스트를 거치지 않은 빌드이므로 자체 검증 프로세스(smoke test, 회귀 테스트)를 갖춘 팀만 사용하는 것이 권장된다. 대부분의 조직은 공식 2주 주기 릴리즈를 따르되, 주 단위 패치 검토 체계를 갖출 것을 권고한다.
본문
Canonical이 새 릴리즈 일정을 도입하면서 Ubuntu 커널을 매주 배포하게 됩니다. 기존의 일반 안정 릴리즈 업데이트(SRU, Stable Release Updates)를 위한 4주 주기와 보안 수정을 위한 2주 주기를 단일 2주 주기로 통합하는 방식입니다. 각 사이클이 이전 사이클보다 1주 늦게 시작되어 서로 겹치면서 결과적으로 주 1회 릴리즈가 이루어집니다.
전체 주기가 끝나기 전에 커널 CVE 수정이 필요한 관리자에게는 이제 공식적으로 인정된 방법이 생겼습니다. Canonical이 인증 테스트를 완료하기 전에 -proposed 채널에서 릴리즈 후보(RC) 빌드를 가져오는 것입니다. Ubuntu 서버 플리트를 운영하는 누구든 주 단위 커널 릴리즈에 대비하고, 인증되지 않은 빌드를 적용할 수 있는 시스템이 있는지 사전에 결정해 두어야 합니다.
Canonical은 안전한 완화책이 존재하는 경우, 취약점 공개 후 24~48시간 내에 해당 완화책을 제공하는 것을 목표로 합니다. 완화책이 없는 경우에는 일반적인 보안 강화(hardening) 방법을 안내할 예정입니다.
두 가지 일정을 하나로
수정 사항은 컷오프 날짜까지 지속적으로 누적되며, 이후 커널 트리의 스냅샷이 생성됩니다. 첫 번째 주에는 Canonical이 커널을 빌드하고 정상 부팅 및 동작 여부를 확인하는 smoke 테스트를 실행합니다. 이 빌드는 이후 릴리즈 후보를 보관하는 Ubuntu 아카이브 영역인 -proposed에 올라갑니다. 두 번째 주에는 Ubuntu Certified 프로그램 하드웨어에서 인증, 통합, 회귀 테스트가 진행되며, 주기 말에 커널이 정식 릴리즈됩니다.
Canonical은 이번 변경의 배경으로 CVE(공개적으로 알려진 취약점에 부여되는 공식 식별자) 수 급증을 꼽습니다. LLM과 AI 에이전트가 버그 탐지의 상당 부분을 자동화했습니다. 또한 업스트림 커널 커뮤니티가 자체 CVE 발급 기관(CVE Numbering Authority)이 되어 수천 개의 버그에 식별자를 부여했는데, 실행 중인 시스템에 영향을 주는 거의 모든 커널 버그가 취약점이 될 수 있다는 논리에서입니다.
빠른 채널은 미검증 빌드
Canonical은 모든 릴리즈에 대해 전체 테스트를 유지합니다. "모든 릴리즈 후보를 철저히 테스트하면서 신속한 릴리즈를 동시에 제공하는 것은 불가능하다"고 회사 측은 밝혔습니다.
기다릴 수 없는 팀은 매주 업데이트되는 -proposed 빌드로 자체 수용 테스트(acceptance test)를 시작할 수 있습니다. Canonical은 이를 인증 단계를 건너뛰고 1주 내에 커널 CVE 수정을 받을 수 있는 경로로 제시하며, 이는 인증 단계 생략을 감수할 의향이 있는 팀을 위한 것입니다. Canonical이 제공하는 가장 빠른 커널은 아직 테스트가 완료되지 않은 빌드이므로, 해당 빌드에 포함된 회귀(regression) 문제는 이를 채택한 팀의 책임이 됩니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
