Microsoft выпустила обновление Azure Linux 3.0.2022 с более чем 470 упоминаниями CVE в списке изменений. Патчи затрагивают ядро Linux, OpenSSL, curl, Kubernetes, Docker, QEMU и контейнерную инфраструктуру — то есть базовый набор компонентов, на котором держится заметная часть облачных нагрузок. Для российских команд, использующих Azure-совместимые практики, Kubernetes и Linux-контейнеры, это очередное напоминание: окно между публикацией уязвимости и обязательным обновлением становится всё уже.
По данным The Register, цифра в 470 не означает ровно столько же независимых дыр в защите. Одни и те же CVE могут встречаться в нескольких пакетах и компонентах, поэтому число записей в журнале изменений больше числа уникальных уязвимостей. Но даже с этой поправкой масштаб релиза выглядит внушительно: Microsoft собрала в одном выпуске исправления для существенного слоя своей Linux-платформы.
Azure Linux — дистрибутив Microsoft, ранее известный как CBL-Mariner. Компания использует его прежде всего в собственной облачной инфраструктуре и сервисах. Поэтому обновление Azure Linux — не декоративная смена номера версии, а техническая работа над фундаментом, на котором запускаются сервисы, виртуальные машины и контейнерные нагрузки. В версии 3.0.2022 универсальное ядро Linux обновлено до 6.6.161.1.
Список затронутых пакетов хорошо показывает, почему такие релизы редко бывают безболезненными для эксплуатации. OpenSSL и curl отвечают за сетевые соединения и криптографию, Kubernetes и Docker — за оркестрацию и доставку контейнеров, QEMU — за виртуализацию. Обновление одного компонента обычно можно проверить локально; одновременное обновление нескольких уровней стека требует уже не героизма дежурного инженера, а нормального процесса: инвентаризации зависимостей, тестового контура, контроля образов и понятного плана отката.
Отдельный блок релиза связан с инцидентом вокруг сертификатов eMudhra, который отслеживается как CVE-2026-114406. Microsoft удалила либо перевела в недоверенные корневые сертификаты, способные подтверждать скомпрометированные промежуточные сертификаты eMudhra. Дополнительно в Python и Go добавлены проверки, отклоняющие затронутые сертификаты. При этом доверие к TLS-сертификатам SSL.com там, где оно необходимо, сохранено. На практике это означает, что после установки пакетов стоит проверять не только успешность развёртывания, но и сценарии, завязанные на нестандартные корпоративные цепочки доверия.
Контейнерный слой тоже получил плотную порцию исправлений: в релиз вошли патчи для KubeVirt, containerd, Docker Compose и других компонентов. Повторяющиеся CVE в связанных пакетах частично объясняют длину changelog, но для DevOps-команд важнее другое: безопасность контейнера не заканчивается на сканировании собственного образа. Уязвимыми могут оказаться рантайм, оркестратор, виртуализация и системные библиотеки хостовой ОС. Если эти уровни обновляются с разной скоростью, формально «чистый» образ не спасает от проблем внизу стека.
В выпуск также вошли изменения, не сводящиеся к CVE: новые Dockerfile, патч OpenVMM для поддержки конфиденциальных вычислений, исправления зависаний systemd и корректировки метаданных GRUB Secure Boot. Такие пункты редко попадают в презентации для руководства, но именно они могут стать причиной ночного инцидента после планового патча. Командам, которые собирают собственные базовые образы или используют Azure Linux в цепочках CI/CD, стоит сверить версии пакетов, пересобрать образы и прогнать нагрузочные либо интеграционные тесты до выката в production.
Релиз выходит на фоне роста числа найденных уязвимостей, который связывают в том числе с более активным применением ИИ-инструментов в исследованиях безопасности. Создатель Linux Линус Торвальдс недавно говорил, что в подсистеме eBPF исправления начинают поступать быстрее новых сообщений об ошибках, хотя для остального ядра такой оптимизм пока преждевременен. Microsoft не уточняла, использовались ли ИИ-инструменты при обнаружении уязвимостей из этого выпуска.
Главный вывод для бизнеса здесь не в пугающем числе CVE, а в цене накопленного патч-долга. Чем шире инфраструктурный стек, тем сложнее отделить «обычное обновление ОС» от риска для контейнеров, сертификатов и сервисов. Патч-менеджмент всё больше становится задачей инженерной дисциплины, а не ежемесячной формальности. Детали масштабного выпуска описаны в материале .
