Обновление ядра Ubuntu 26.04 до версий 7.0.0-41 и выше привело к сбоям в работе контейнеризированных приложений. Проблема вызвана исправлением уязвимости CVE-2026-90231, которое изменило механизм работы AppArmor. Теперь при использовании стандартных профилей контейнеров ядро принудительно накладывает метки, блокирующие передачу сигналов между процессами.
Инцидент затрагивает системы с включенным параметром kernel.apparmor_restrict_unprivileged_unconfined=1. В результате приложения, такие как PostgreSQL, теряют возможность отправлять сигналы, а Go-бинарные файлы, использующие gosu, зависают в бесконечном цикле. В логах ядра фиксируются ошибки доступа, а контейнеры перестают отвечать на проверки готовности.
Технически проблема заключается в несовместимости составных меток AppArmor с правилами стандартных профилей containerd. Сигналы, которые ранее проходили штатно, теперь отклоняются ядром. Разработчики отмечают, что это не баг ядра, а изменение поведения, к которому инфраструктурное ПО оказалось не готово, что привело к массовым отказам сервисов после перезагрузки нод.
Для устранения сбоя рекомендуется обновить профиль containerd, добавив разрешения для составных меток. Альтернативные методы, такие как отключение защиты или откат ядра, снижают уровень безопасности системы. Специалисты советуют рассматривать обновление ядра как полноценный релиз, требующий обязательного тестирования на стендах перед внедрением в продуктивную среду.
