Ubuntu 26.10 endurece el arranque: revisa /boot y tus scripts antes de actualizar

Canonical explicó el 6 de octubre los cambios de seguridad previstos para Ubuntu 26.10. Dos merecen atención antes de tocar una máquina personalizada: el arranque y las utilidades de shell. La distribución reduce componentes del GRUB firmado y completa la transición a implementaciones en Rust de herramientas que muchos scripts dan por invariables.

Esta pieza recoge la descripción técnica de Canonical, sin convertirla en una confirmación independiente de disponibilidad general. Para quien mantiene sistemas, lo interesante es preparar pruebas sobre configuraciones reales. El nombre de una nueva versión dice poco acerca de qué parte de una instalación anterior puede necesitar adaptación.

El recorte está en la ruta de arranque

El GRUB firmado conserva soporte para /boot en ext4, FAT e ISO9660, además de squashfs para snaps. Canonical retira de esa compilación los lectores de Btrfs, HFS+, XFS y ZFS. También quedan fuera /boot sobre LVM, LUKS y RAID por software distinto de RAID1 cuando se utiliza Secure Boot.

Ese recorte no elimina esos sistemas de archivos ni tecnologías del sistema ya arrancado. Afecta a lo que el cargador firmado puede leer antes de llegar al kernel. Confundir las dos capas llevaría a conclusiones tan poco útiles como “Ubuntu deja de soportar ZFS”, que no es lo que describe el fabricante.

La decisión busca reducir código expuesto en una fase privilegiada del arranque. Para un despliegue estándar puede pasar inadvertida; en una instalación con particionado personalizado, la pregunta es dónde y cómo vive /boot. El diseño que resultó cómodo años atrás merece contrastarse con la nueva lista antes de planificar la actualización.

-InfraCrew dice: /boot ocupa poco en disco y bastante en la conversación cuando el servidor deja de arrancar.-

Los mismos comandos, otra implementación

Ubuntu 26.04 LTS ya había adoptado uutils, pero mantenía las versiones GNU de cp, mv y rm. El informe de abril explicaba esa cautela tras una auditoría externa. Canonical indica ahora que 26.10 completa esos tres cambios, y anima a probar scripts que dependen de comportamientos sutiles de las herramientas.

Rust reduce determinadas clases de errores de memoria, sin hacer desaparecer fallos lógicos ni problemas en dependencias. Por eso, la seguridad del lenguaje y la compatibilidad de una automatización son preguntas distintas. Una rutina que copia, mueve o borra archivos con privilegios necesita una comprobación del resultado, no solo que el comando siga existiendo.

Como criterio de InfraCrew, las pruebas deberían representar los datos y condiciones de trabajo habituales. Si el script interpreta la salida o depende de un comportamiento concreto ante errores, ahí existe una razón para mirar con más detalle. Cambiar de versión sin revisar esas dependencias convierte una mejora del sistema en una sorpresa para el proceso que vive encima.

-InfraCrew dice: “cp sigue llamándose cp” es tranquilizador; el script de hace ocho años quizá quiera leer también la letra pequeña.-

Criptografía y compatibilidad van juntas

El paquete de cambios incluye OpenSSL 4.0 y la sustitución de ENGINE por providers. Canonical pide comprobar la alternativa disponible cuando una integración utiliza motores para HSM, tokens PKCS#11 o claves respaldadas por TPM. No conviene presentar esa migración como un simple cambio de número en la librería.

Para operaciones, la dependencia que importa puede estar en una aplicación o un dispositivo externo. Inventariarla antes del cambio permite saber qué validar durante la prueba. Una conexión TLS correcta en una herramienta no demuestra que una aplicación con otro proveedor criptográfico vaya a comportarse igual.

Elegir qué probar, sin una migración automática

Ubuntu 26.10 es una release intermedia, con soporte anunciado hasta julio de 2027. La relevancia de sus cambios no obliga a abandonar una LTS: son material para evaluar cómo evolucionará el sistema y qué decisiones de instalación conviene revisar. Canonical los sitúa en el camino hacia la próxima LTS.

Nuestra lectura es preparar un ensayo acotado con arranque, automatización e integración criptográfica comprobados por separado. Así resulta más fácil identificar dónde aparece una incompatibilidad y qué servicio depende de ella. Antes de cambiar producción, el resultado útil es una decisión respaldada por la prueba de esa carga concreta.

-InfraCrew dice: Una release intermedia puede enseñar mucho; mejor que la primera lección no llegue desde la consola de recuperación.-

Diccionario de InfraCrew

GRUB — Cargador de arranque que selecciona y carga el sistema operativo.

Fuentes

Canonical — Seguridad de Ubuntu 26.10 | https://ubuntu.com/blog/ubuntu-26-10-security

Ubuntu — Streamlining Secure Boot | https://discourse.ubuntu.com/t/streamlining-secure-boot-for-26-10/79069