CloudLinux mette in cifre il costo del reboot per le patch del kernel

CloudLinux ha pubblicato il 21 ottobre 2026 sul proprio blog un'analisi che prova a mettere un prezzo, voce per voce, al reboot necessario dopo una patch di sicurezza del kernel Linux. Per chi gestisce hosting condiviso o VPS il tema non è accademico: ogni riavvio programmato significa preavviso ai clienti, turno fuori orario e giorni in cui la falla resta aperta sul kernel in produzione.

I numeri citati da CloudLinux

Exabytes ha gestito nello stesso modo Dirty COW nel 2016, quando la falla di privilege escalation nel kernel Linux ha colpito i suoi server di hosting condiviso: ha prenotato una finestra di tre ore e riavviato i server uno per uno per caricare il kernel corretto, il 29 ottobre, circa 10 giorni dopo la divulgazione pubblica della falla. Il provider TrueCore Hosting, citato nello stesso post, avvisa i clienti almeno 48 ore prima della manutenzione pianificata e dichiara che un reboot dura 2-5 minuti per server, salvo deroga per patch di emergenza e zero-day.

Il post calcola l'impatto su una flotta esemplificativa di 40 server:

Voce	Valore
Falle kernel censite da CloudLinux (apr-ago 2026)	13 in circa 110 giorni
Durata di un reboot per server (dato TrueCore)	2-5 minuti
Round di reboot stimati l'anno (1 falla su 3 richiede riavvio)	12-14
Ore totali di reboot l'anno su 40 server	16-40
Downtime visto da ogni account cliente l'anno	24-60 minuti
Tempo da divulgazione a reboot (Dirty COW, Exabytes 2016)	circa 10 giorni

Cosa resta fuori

Il patching rebootless di KernelCare agisce solo sul kernel: una falla in glibc o OpenSSL richiede comunque il riavvio dei servizi che caricano quelle librerie, a meno di attivare KernelCare+, licenziato separatamente. Un upgrade major del sistema operativo resta un reboot a tutti gli effetti. Gli scanner di vulnerabilità che leggono solo la versione del pacchetto possono segnalare come non patchato un kernel già corretto in memoria: KernelCare si integra con Qualys, Nessus, OpenSCAP e Rapid7 per far leggere agli scanner lo stato effettivo della patch.

Prezzo e copertura

KernelCare pricing starts at $3.95 per server per month, with volume discounts available for larger fleets, secondo il listino ufficiale di CloudLinux verificato oggi. La stessa pagina dichiara 59 distro versions supported, 10.762 Linux kernels supported, 5.364 vulnerabilità corrette e 269.100 patch live rilasciate.

Per attivare il patching rebootless su un server: curl -s -L https://kernelcare.com/installer | bash, poi kcarectl --register YOUR_KEY e kcarectl --update. Per verificare lo stato: kcarectl --uname mostra la versione effettiva del kernel patchato, kcarectl --patch-info elenca le patch caricate.