Ubuntu 26.04 LTS: Migração de Servidores e Novidades

O Ubuntu 26.04 LTS, com o nome de código Resolute Raccoon, foi lançado a 23 de Abril de 2026 e já tem imagens finais disponíveis para desktop e servidor. É o primeiro salto de LTS desde o 24.04 (Noble Numbat) e traz mudanças profundas que afectam directamente servidores em produção: kernel 7.0, substituição do sudo por uma implementação em Rust, OpenSSH 10.2 com criptografia pós-quântica activada por defeito, e Chrony a substituir o systemd-timesyncd. Neste artigo, vês as novidades relevantes para PMEs e um checklist de migração testado para actualizar servidores 22.04/24.04 com segurança.

Neste artigo:

O que muda no 26.04

O suporte padrão é de 5 anos (até Abril de 2031), extensível a 10 anos (Abril de 2036) com Ubuntu Pro — o mesmo modelo dos LTS anteriores. A tabela seguinte resume as diferenças face ao 24.04 para quem gere servidores:

Componente 24.04 LTS (Noble) 26.04 LTS (Resolute)
Kernel 6.8 7.0
OpenSSH 9.6p1 10.2p1
PostgreSQL 16 18
Docker 24 29
PHP 8.3 8.5
Python 3.12 3.13
systemd 255 259
sudo sudo (C) sudo-rs (Rust)
initramfs initramfs-tools Dracut
Sincronização de hora systemd-timesyncd Chrony (NTS)

No desktop, o GNOME sobe para a versão 50 e a sessão passa a ser exclusivamente Wayland (o X11 desaparece do GDM, mantendo-se apenas via XWayland para aplicações antigas). O requisito mínimo de RAM do desktop sobe de 4 GB para 6 GB. Para servidores, estes números não afectam directamente, mas importa saber que o live server mantém os requisitos modestos: 1,5 GB de RAM e 4 GB de disco.

Novidades para servidores

Kernel 7.0

O salto para o 7.0 é mais simbólico do que técnico (o Linus trocou de versão ao passar do 6.19), mas o conteúdo é substancial: drivers e módulos em Rust deixam de ser experimentais, o escalonador foi optimizado para CPUs híbridos, há suporte para Intel Nova Lake/Diamond Rapids e AMD Zen 6, e os crash dumps (kdump) vêm activados por defeito — útil para diagnóstico post-mortem em produção. O kernel linux-lowlatency foi retirado; se o usavas, passa para linux-generic com o pacote de afinação low-latency.

OpenSSH 10.2 e criptografia pós-quântica

O OpenSSH 10.2 traz o troca de chaves híbrida pós-quântica mlkem768x25519-sha256 activada por defeito, remove o algoritmo de assinatura DSA e deixa de gerar chaves de hospedeiro DSA. Há também uma nova opção PerSourcePenalties que penaliza endereços de clientes que falham autenticações repetidamente — atenção em ambientes com NAT agressivo ou balanceadores, porque pode bloquear IPs legítimos partilhados. Para PMEs que seguem o guia de SSH do curso, as chaves e o hardening existentes continuam a funcionar, mas vale a pena rever as chaves DSA antigas antes de actualizar.

sudo-rs: o sudo em Rust

O binário sudo foi substituído pelo sudo-rs, reescrito em Rust com garantias de segurança de memória. A sintaxe e o comportamento visíveis para o administrador mantêm-se, mas ficheiros /etc/sudoers.d/ muito personalizados merecem uma revisão num ambiente de testes antes da actualização em massa.

Chrony substitui systemd-timesyncd

Em instalações novas, o Chrony passa a ser o daemon de hora por defeito, com NTS (NTP autenticado e cifrado) a apontar para os servidores de hora da Ubuntu. Em sistemas actualizados a partir do 24.04, podes migrar manualmente:

# Instalar e activar o Chrony no sistema actualizado
sudo apt install chrony
sudo systemctl disable --now systemd-timesyncd
sudo systemctl enable --now chrony

# Verificar sincronização
chronyc tracking

Os servidores NTP da Ubuntu ficam definidos em /etc/chrony/sources.d/ubuntu-ntp-pools.sources. Se personalizaste o /etc/chrony/chrony.conf, garante que não defines os mesmos servidores duas vezes.

Stack de aplicações

Para quem aloja serviços: PostgreSQL 18, PHP 8.5, Docker 29 e Python 3.13. O pacote monolítico linux-firmware foi dividido em pacotes por componente (ex.: linux-firmware-intel-wireless), reduzindo o tamanho das actualizações de rotina. O ClamAV sobe para 1.4.3, com análise de anexos OneNote e extracção de partições UDF.

Checklist de migração passo a passo

Onde executar: todos os comandos nesta secção correm no servidor a actualizar, via SSH, com uma conta que tenha sudo. Precisas também de um ambiente de staging (VM ou servidor de teste) e de acesso ao hipervisor/console de recuperação caso algo corra mal.

A Canonical activa o caminho de actualização entre LTS algumas semanas após o lançamento, quando os primeiros bugs ficam resolvidos. Antes de avançar, confirma que o do-release-upgrade já oferece o 26.04:

# Verificar para que versão o upgrade tool aponta
do-release-upgrade --check-dist-upgrade-only

Fase 1 — Preparação (no servidor actual):

# 1. Actualizar tudo no LTS actual
sudo apt update && sudo apt full-upgrade -y
sudo apt autoremove --purge -y

# 2. Registar o estado actual (pacotes, kernel, serviços activos)
dpkg --get-selections | grep -v deinstall > ~/pacotes-antes.txt
systemctl list-units --type=service --state=running > ~/servicos-antes.txt

# 3. Backup completo — snapshot do hypervisor OU backup de dados
# (ver Artigos Relacionados: Kopia, rsync/BorgBackup)

# 4. Verificar espaço livre (a actualização precisa de vários GB)
df -h /

Fase 2 — Staging: clona o servidor para um ambiente de teste (VM a partir do snapshot, ou máquina de staging com a mesma stack) e corre lá a actualização completa. Testa os serviços críticos: arranque, autenticação, portas à escuta, e o comportamento das aplicações com as novas versões (PostgreSQL 16→18 e PHP 8.3→8.5 são os saltos mais sensíveis).

Fase 3 — Actualização em produção (janela de manutenção):

# Executar a actualização de distribuição
sudo do-release-upgrade

# Durante o processo:
# - Responder à pergunta sobre reiniciar serviços sem perguntar (lxd/ssh)
# - Manter a versão actual dos ficheiros de config modificados (opção "keep
#   the local version") e reconciliar manualmente depois

# Após o reboot, validar:
lsb_release -a
uname -r
sudo systemctl --failed

Fase 4 — Pós-actualização: compara systemctl list-units --type=service --state=running com o ficheiro servicos-antes.txt, confirma que o firewall ficou activo (sudo ufw status ou as regras nftables), testa a autenticação SSH com chaves, e valida a sincronização de hora (chronyc tracking). Só depois desactiva o pacote de kernels antigos.

Armadilhas frequentes

1. PostgreSQL salto de versão (16 → 18): a actualização do sistema não migra o cluster de base de dados automaticamente. Planeia um pg_dumpall ou usa o pg_upgradecluster depois da actualização, e testa as aplicações contra o novo cluster antes de cortar.

2. Snap vs apt: o 26.04 continua a privilegiar snaps para componentes de sistema, e o GNOME passa a gerir pacotes DEB pelo App Center. Em servidores, mantém a regra simples: pacotes de sistema com apt, aplicações auto-contidas com snap — e documenta o que está em cada gestor antes de actualizar, para não perder nada na confusão.

3. Chaves de hospedeiro DSA e clientes antigos: se ainda tens equipamentos (NAS, impressoras, sistemas legados) a ligar por SSH com algoritmos antigos, o OpenSSH 10.2 pode recusar as ligações. Inventaria com ssh -Q key e logs do sshd antes da janela de manutenção.

4. Ubuntu Pro e janela de suporte: se os teus servidores 22.04 estão em fim de suporte padrão (Abril de 2027), activa o Ubuntu Pro (gratuito até 5 máquinas para uso pessoal, pago em empresa) para garantir ESM até 2032 — ou inclui a migração para 26.04 no plano. Verifica o estado com pro status.

5. Scripts GDM PreLogin/PostSession removidos: se usavas estes scripts em desktops corporativos para sincronizar diretórios ou limpar dados sensíveis, foram removidos na limpeza do X11. Reimplementa com módulos PAM (pam_exec).

Artigos Relacionados

Fontes oficiais: Ubuntu 26.04 LTS Release Notes · Anúncio no Ubuntu Discourse · releases.ubuntu.com/26.04 · Ubuntu Pro