Linux Kernel 7.x dan Rust: Perubahan Penting untuk Keamanan

Linux kernel 7 sudah hadir lewat rilis 7.0 pada April 2026 dan 7.3 pada Oktober 2026, sementara Rust resmi tidak lagi berlabel eksperimental sejak keputusan Desember 2025. Perubahan itu membawa fitur pengerasan baru dan arah jangka panjang soal keamanan memori. Artikel ini merangkum yang penting bagi admin dan engineer Linux per 29 Oktober 2026.

Peta Rilis: 6.18 LTS, 7.0, dan 7.3

• Linux 6.18 (30 November 2025): rilis long-term kernel terbaru di kernel.org. Menurut KernelNewbies, rilis ini menghapus kode inti bcachefs dari kernel utama dan memperkenalkan Tyr, driver Rust untuk GPU Arm Mali berbasis CSF yang menurut commit-nya masih dalam pengerjaan dan mungkin belum berfungsi. Proyeksi akhir dukungan di kernel.org adalah Desember 2028.
• Linux 7.0 (12 April 2026): menurut KernelNewbies, membawa filter cBPF untuk io_uring, penghapusan SHA-1 untuk penandatanganan modul, dukungan tanda tangan ML-DSA, dan sejumlah pengerasan lain.
• Linux 7.3 (18 Oktober 2026): rilis mainline terbaru di kernel.org per 30 Oktober 2026. Salah satu sorotan di catatan rilis KernelNewbies adalah teknik sandbox baru berbasis failfs dan syscall baru fchroot(2).

Daftar kernel long-term di kernel.org memuat 6.18, 6.12, 6.6, 6.1, 5.15, dan 5.10. Menurut proyeksi halaman itu, kernel 5.10 dan 5.15 berakhir dukungannya pada Desember 2026, 6.1 dan 6.6 pada Desember 2027, serta 6.12 dan 6.18 pada Desember 2028. Proyeksi ini bisa diperpanjang, tetapi bila server Anda masih memakai kernel lama, jadwal migrasi perlu disiapkan sekarang.

Rust di Kernel Tidak Lagi Eksperimental

Menurut laporan LWN pada 10 Desember 2025, para pengembang kernel dalam Maintainers Summit sepakat bahwa Rust tidak lagi eksperimental, menjadi bagian inti kernel, dan "di sini untuk tetap". Label eksperimental akan dihapus. Keputusan ini menyangkut status Rust; ia bukan pengumuman penulisan ulang kode C yang sudah ada.

Mengapa ini penting bagi keamanan? Banyak kerentanan kernel yang serius berasal dari kesalahan memori seperti use-after-free dan buffer overflow, kelas bug yang desain Rust mempersempit pada kode yang aman. Driver baru yang ditulis dengan Rust, seperti Tyr di 6.18, mengurangi jenis bug itu pada kode baru. Namun Rust bukan penjamin mutlak: kode unsafe, logika yang keliru, dan bug di bagian C tetap ada. Dukungan Rust pun terus berkembang, termasuk dukungan Rust untuk arsitektur PowerPC yang tercatat di catatan rilis 7.3.

Fitur Keamanan Linux Kernel 7.x yang Perlu Diketahui

Ringkasan fitur bernilai praktis bagi admin, dari catatan rilis KernelNewbies untuk 7.0 dan 7.3:

• Filter io_uring (7.0). Filter cBPF dan pembatasan per-task, diwariskan lewat fork, dan filter berikutnya hanya dapat mempersempit. Berguna untuk sandbox dan kontainer yang ingin membatasi apa yang boleh dilakukan sebuah opcode io_uring.
• SHA-1 dihapus dari penandatanganan modul, ML-DSA ditambahkan (7.0). Kernel kini mendukung tanda tangan ML-DSA pada sertifikat X.509 dan pesan PKCS#7/CMS, langkah menjauh dari hash lama menuju kriptografi pasca-kuantum.
• Pengurangan permukaan serangan dan integritas (7.0). Dukungan NFSv4.0 kini bisa ditinggalkan saat build, dan ada keyring untuk dm-verity serta atribut berkas baca-saja yang menandai berkas fs-verity.
• fchroot(2) dan failfs (7.3). failfs adalah pseudo-filesystem tempat tidak ada operasi yang didukung, dan fchroot(2) adalah versi chroot berbasis file descriptor. Dengan memindahkan root (dan direktori kerja) proses ke failfs, setiap pencarian path absolut gagal, sehingga proses hanya bisa mengakses berkas lewat file descriptor direktori yang sudah ia pegang secara eksplisit.
• Landlock dan AppArmor (7.3). Landlock mendapat flag LANDLOCK_RESTRICT_SELF_NO_NEW_PRIVS, sehingga satu panggilan menggantikan pasangan prctl(PR_SET_NO_NEW_PRIVS) dan landlock_restrict_self(2), plus tracepoint baru. AppArmor mendapat dukungan awal kebijakan terkompresi dan mode audit untuk meredam pesan complain.
• ksmbd dan ketahanan memori (7.3). Server SMB di kernel kini menolak nomor urut pesan yang di luar jendela, duplikat, atau melingkar, dan ada sysctl opsional vm.panic_on_unrecoverable_memory_failure yang membuat kernel panic saat terjadi galat memori yang tak bisa dipulihkan pada halaman milik kernel.

Beberapa fitur ini terkait dengan tema yang kami bahas sebelumnya, seperti celah eskalasi hak akses di Copy Fail dan Fragnesia. Pembatasan syscall dan sandbox mengurangi dampak jika kerentanan tetap muncul di kernel.

Yang Perlu Dilakukan Admin dan Engineer Sekarang

1. Petakan versi kernel di seluruh armada. Catat versi, sumber (distro atau upstream), dan tanggal akhir dukungannya. Prioritaskan yang berakhir Desember 2026.
2. Ikuti kernel dari distro Anda. Kebanyakan server produksi memakai kernel yang dikelola distro. Terapkan pembaruan keamanan secara rutin, dan uji pada staging sebelum produksi.
3. Manfaatkan fitur pembatas. Jika Anda membangun sandbox atau platform kontainer, evaluasi filter io_uring, Landlock, dan failfs begitu kernel Anda mendukungnya.
4. Periksa dependensi modul. Penghapusan bcachefs dari mainline berarti penggunanya harus memakai modul di luar pohon kernel. Selain itu, bila Anda menandatangani modul sendiri, periksa penggunaan SHA-1.
5. Terapkan hardening dasar. Fitur kernel baru melengkapi, bukan menggantikan, konfigurasi dasar. Panduannya ada di artikel Linux security hardening.
6. Ikuti arah Rust di userland. Pergeseran serupa terjadi pada alat sistem, seperti dibahas di artikel Ubuntu 26.04 dan sudo-rs.

Relevansi untuk Indonesia

Banyak server di Indonesia berjalan di distro enterprise atau LTS yang membawa kernel lebih tua dengan backport keamanan. Artinya Anda tidak perlu mengejar versi terbaru, tetapi perlu tahu kapan dukungan kernel yang Anda pakai berakhir. Bagi pengembang driver, startup perangkat keras, dan peneliti, keputusan soal Rust membuka jalur kontribusi baru. Bagi tim keamanan, fitur pembatas seperti Landlock dan filter io_uring dapat memperkuat isolasi layanan.

Perlu diingat bahwa catatan rilis menampilkan fitur, bukan jaminan keamanan. Sebelum mengandalkan sebuah fitur pengerasan, baca dokumentasinya, uji perilakunya pada beban kerja Anda, dan pastikan konfigurasi default distro Anda memang mengaktifkannya.

Baca juga: Malware di AUR Arch Linux: Kasus Atomic Arch, Kali Linux 2026: Rangkuman Rilis 2026.1 hingga 2026.3.

Pertanyaan yang Sering Diajukan

Apakah saya harus segera upgrade ke Linux 7.3?

Tidak harus. Gunakan kernel yang didukung distro Anda dan terapkan pembaruan keamanannya. Pindah ke versi baru bila Anda memerlukan fiturnya, setelah pengujian.

Apakah Rust membuat kernel bebas bug?

Tidak. Rust mempersempit kelas bug keamanan memori pada kode yang aman, tetapi kernel masih sebagian besar C, dan bug logika serta kode unsafe tetap mungkin terjadi.

Apa itu failfs dan fchroot?

failfs adalah pseudo-filesystem tempat semua operasi gagal, dan fchroot(2) memindahkan root proses ke sana agar proses hanya dapat mengakses file descriptor yang diberikan secara eksplisit. Fitur ini membantu membuat sandbox yang lebih ketat.

Kesimpulan

Kernel 7.x memperlihatkan dua arah yang jelas: pengerasan yang makin praktis untuk sandbox, dan Rust sebagai bagian permanen kernel. Langkah paling berguna sekarang adalah memetakan versi kernel Anda, mengejar pembaruan keamanan, dan mulai mengenal fitur pembatas yang tersedia. Untuk mempelajari administrasi dan keamanan Linux secara sistematis, jelajahi kursus Linuxhackingid.