Ubuntu 26.10 ersetzt letzte GNU-Coreutils durch Rust

Mit cp, mv und rm stellt Ubuntu 26.10 auch die letzten drei GNU-Kommandozeilenwerkzeuge auf Rust-Nachbauten um.

Mit der für den 15. Oktober 2026 geplanten Version 26.10 „Stonking Stingray“ schließt Ubuntu-Entwickler Canonical die Umstellung seiner grundlegenden Kommandozeilenwerkzeuge von den klassischen GNU-Coreutils auf Nachbauten des Rust-Projekts uutils ab. Zuletzt verblieben mit cp, mv und rm noch drei zentrale Befehle auf der GNU-Basis; alle übrigen Werkzeuge, von ls und cat bis chmod und du, waren bereits in früheren Ubuntu-Versionen umgestellt worden. Über die Umstellung berichtete zuerst das Portal It’s FOSS.

Sicherheitsbedenken bremsten den letzten Schritt

Canonical hatte mit der „Oxidierung“ genannten Umstellung im Jahr 2025 begonnen; Ubuntu 25.10 war die erste Version, die die Rust-Coreutils standardmäßig auslieferte und zugleich das ebenfalls in Rust geschriebene sudo-rs zum Standard-Berechtigungswerkzeug machte. Für die LTS-Version 26.04 im April 2026 verlangsamte Canonical das Tempo jedoch deutlich und beließ cp, mv und rm zunächst bei den GNU-Versionen. Grund waren mehrere sogenannte TOCTOU-Probleme (Time-of-Check-to-Time-of-Use), eine Klasse von Sicherheitslücken, die Wettlaufbedingungen zwischen Prüfung und tatsächlicher Nutzung einer Datei ausnutzen können.

Die Probleme waren im Rahmen einer von Canonical beauftragten Sicherheitsprüfung durch die Firma Zellic aufgefallen, die zwischen Dezember 2025 und März 2026 in zwei Prüfrunden zunächst die sicherheitskritischsten Werkzeuge untersuchte. Insgesamt meldete Zellic dabei 113 Probleme, für 44 davon wurden eigene CVE-Kennungen vergeben; nach Angaben von Canonical ist der überwiegende Teil davon inzwischen behoben.

Kurzzeitiger Rückschlag im Juli

Der letzte Abschnitt der Umstellung verlief nicht ganz reibungslos: Im Juli 2026 musste die uutils-Version von cp vorübergehend wieder aus dem Ubuntu-Archiv entfernt werden, nachdem sie den Bau von Live-Abbildern der Distribution störte. Der Fehler wurde von den Entwicklern als „kritisch“ eingestuft und rasch behoben, sodass die vollständige Umstellung rechtzeitig für Ubuntu 26.10 fertiggestellt werden konnte.

Für Nutzer keine spürbaren Änderungen erwartet

Beim Eintippen von Befehlen soll sich für Nutzerinnen und Nutzer oberflächlich nichts ändern: Die uutils-Coreutils sind als direkter Ersatz für die essenziellen GNU-Werkzeuge konzipiert, und das Projekt behandelt jede Abweichung vom GNU-Verhalten grundsätzlich als Fehler. Das Projekt weist allerdings selbst darauf hin, dass einzelne Optionen noch fehlen oder sich abweichend verhalten können. Wer lieber bei den GNU-Versionen bleiben möchte, kann dafür das Paket coreutils-from-gnu installieren, das alle benötigten Komponenten enthält.

Ein technischer Unterschied bleibt bestehen: Während die klassischen GNU-Coreutils unter der GPL-Lizenz stehen, wird uutils unter der freizügigeren MIT-Lizenz vertrieben; zudem ist die als Multicall-Binary ausgelieferte Rust-Version mit rund 16 Megabyte deutlich größer als die bisherigen GNU-Programme, was sich vor allem bei sehr kleinen Container-Images bemerkbar machen kann.

Teil einer größeren Rust-Strategie

Die Umstellung der Coreutils ist Teil einer umfassenderen Strategie: Canonical unterstützt als Sponsor die Trifecta Tech Foundation mit jährlich 40.000 Euro, die unter anderem an einer Rust-Neuimplementierung des Network Time Protocol (NTP) arbeitet; diese soll nach aktuellen Plänen ab Ubuntu 27.10 zum Standard-Zeitsynchronisationsclient werden.

(red)