工业传感器、边缘人工智能控制器和连接医疗设备的运营商现在为必须保持补丁十多年的车队提供了更新的长期Linux选项。Canonical发布了Ubuntu Core 26，这是其最小、不可变操作系统的最新长期支持版本，安全维护持续15年。
该版本针对受歐盟《网络彈性法案》約束的裝置和執行已證明的邊緣人工智慧工作負載的客戶。核心系统上的每个组件都以沙盒、加密签名的快照的形式提供，产生一个经过测量的引导链，其中只有经过验证的软件才能运行。
更小的更新和更快的安装
对于在漫长的产品生命周期中管理大型设备车队的运营商来说，无线更新是重复性成本。Ubuntu Core 26引入了改进的snap-delta格式，将大多数snap的更新大小减少了50%到90%。Core 基础快照的更新现在重量为 1.5MB，从 16MB 减少。預設情況下，基於Initramfs的安裝會跳過冗餘重啟，從而縮短了配置裝置所需的時間。
Renesas与Canonical合作，将Core与其RZ系列微处理器单元集成。瑞萨嵌入式处理产品集团副总裁Mohammed Dogar表示，这种组合为运行人工智能工作负载的资源受限的硬件提供了加速的启动时间，并减少了基本图像占用空间。
凿子构建系统取代了分层配方
标题工程变化是一个基于凿子的新构建系统，凿子是Canonical的工具，用于从特定版本的软件包切片定义中组装文件系统。Core 26映像中的每个文件都可以追溯到其原始切片和源包，这提高了完整性检查和漏洞分类的准确性。该方法与Yocto构建不同，其中来源和依赖闭包隐含地位于分层配方和后处理脚本中。新的构建路径还将基本图像大小缩短了7%。
Ubuntu Core 26将u-boot配置移动到具有冗余环境支持的单个原始分区，使u-boot和snapd的写入更安全，并消除与基于文件的存储相关的恢复问题。
硬件根密钥和CRA问责制
全磁盘加密在此版本中发生了根本性变化。TPM密封密钥现在直接存储在LUKS2标头中，降低了跨设备状态重复使用密钥的风险。原生OP-TEE集成为嵌入式部署带来了ARM TrustZone硬件根基密钥保护，通过可信执行环境密封和解封磁盘加密密钥，并限制密钥暴露到正常操作系统。
Canonical根据《网络弹性法》承担操作系统发布周期的制造商责任，包括核心模块的安全维护、持续的CVE监控、协调披露以及遵守IEC 62443-4-1。
Livepatch是Canonical的无重启内核补丁服务，现在涵盖从Ubuntu Core 26开始的ARM64，并在Ubuntu Core 20开始的所有版本中正式支持AMD64。扩展将零停机内核更新扩展到更广泛的设备，解决了CRA的漏洞修复要求之一。
Canonical的Ubuntu工程副总裁Jon Seager表示，在平台首次出现十年后，严格限制组件、交易更新和独立可验证性的核心安全模型反映在新兴行业标准中。
开发人员工具和可观察性
Ubuntu Frame是嵌入式图形应用程序的核心显示服务器，现在支持单个显示器上的多个图形应用程序，具有可配置的布局、自定义客户端放置和新的可访问性启动器。gpu-2604接口通过Snapcraft扩展为Core 26应用程序带来图形加速。
设备可以将日志和指标流式传输到Canonical Observability Stack，该堆栈在Juju和Kubernetes上运行，Grafana、Loki和Prometheus部署在云或本地。Snapcraft引入了组件，这是在Ubuntu Core 24中首次测试的打包功能，用于提供NVIDIA驱动程序，允许维护者与主快照一起分发可选资源，如调试符号、翻译或额外驱动程序。
原文链接地址：https://www.helpnetsecurity.com/2026/05/19/ubuntu-core-26-released/
