Ubuntu LTS of interim-release voor uw server kiezen

Ubuntu LTS versus interim-releases: het korte antwoord

De keuze tussen een Ubuntu LTS en een interim-release op een server hangt af van één getal: hoe lang die release beveiligingsupdates ontvangt. Een LTS krijgt vijf jaar standaard beveiligingsonderhoud. Een interim-release krijgt negen maanden; daarna stoppen de updates en moet u upgraden of het systeem opnieuw opbouwen. Gebruik een LTS voor alles waar anderen afhankelijk van zijn. Gebruik een interim-release alleen in situaties waarin u het systeem opnieuw kunt opbouwen zonder dat u daarvoor toestemming aan anderen hoeft te vragen.

LTS staat voor long term support. Canonical brengt elke twee jaar een LTS uit, in april van even jaren, en elke zes maanden daartussen een interim-release. 26.04 LTS werd uitgebracht op 23 april 2026 en het standaard beveiligingsonderhoud loopt tot 2031. 26.10 staat gepland voor 15 oktober 2026 en is een interim-release, waardoor de ondersteuning in juli 2027 stopt.

Hoe lang elke Ubuntu-release wordt ondersteund

[
  {
    "label": "LTS, standard support",
    "support_months": 60,
    "upgrades_over_5_years": 1
  },
  {
    "label": "LTS with Ubuntu Pro",
    "support_months": 120,
    "upgrades_over_5_years": 0
  },
  {
    "label": "Interim release",
    "support_months": 9,
    "upgrades_over_5_years": 10
  }
]

Dit zijn de gepubliceerde beleidscijfers van Canonical per augustus 2026, geen metingen van een testsysteem. Een LTS-versie biedt 60 maanden standaard beveiligingsonderhoud, wat neerkomt op 1 geplande release-upgrades in vijf jaar. Een interim-release biedt 9 maanden. Op het interim-traject blijven gedurende diezelfde vijf jaar kost 10 release-upgrades, omdat u geen release kunt overslaan en er in vijf jaar tijd tien releases uitkomen.

Een Ubuntu Pro-abonnement verhoogt het LTS-cijfer naar 120 maanden, oftewel tien jaar, en breidt de dekking uit van de main-component naar het volledige archief. Per augustus 2026 is Pro gratis voor persoonlijk gebruik op maximaal vijf machines, wat de meeste kleine VPS-vloten dekt. Er is geen equivalent voor een interim-release. Negen maanden is het volledige aanbod en geen enkel abonnement verlengt dit.

Wat negen maanden kosten op een echte server

Neem 26.10 als uitgewerkt voorbeeld. Deze versie wordt uitgebracht op 15 oktober 2026 en het beveiligingsonderhoud eindigt in juli 2027; hetzelfde patroon van negen maanden dat 25.10 in juli 2026 beëindigde. Als u dit als een kalender leest, lijkt het op één onderhoudsvenster per drie kwartalen. Die kalenderinterpretatie is onjuist, en wel in de dure richting.

Een release-upgrade vervangt het besturingssysteem ter plaatse. do-release-upgrade herschrijft de apt-bronnen, schakelt externe repositories uit, wijzigt de versie van vrijwel elk geïnstalleerd pakket, pauzeert om vragen te stellen over configuratiebestanden die u heeft bewerkt en herstart het systeem aan het einde. Daarom is dit een gepland venster en geen achtergrondtaak.

Voer het uit via ssh en de tool beschermt u tegen het wegvallen van uw eigen verbinding. Het start een eigen screen-sessie en opent een tweede sshd, waarover het u vooraf informeert:

To make recovery in case of failure easier, an additional sshd will
be started on port '1022'. If anything goes wrong with the running ssh
you can still connect to the additional one.

Sta dit toe. Als uw firewall of de afzonderlijke netwerkfirewall van uw provider poort 1022 blokkeert, bestaat die fallback niet en laat een verbroken verbinding een half-geüpgradede pakketset achter. Zelf draaien binnen tmux of screen biedt u dezelfde bescherming op elke machine.

De vragen over configuratiebestanden veranderen een upgrade van vijftien minuten in een uur:

Configuration file '/etc/ssh/sshd_config'
 ==> Modified (by you or by a script) since installation.
 ==> Package distributor has shipped an updated version.
   What would you like to do about it ?

Uw eigen bestand behouden betekent dat u mist wat er in de nieuwe standaardinstellingen is gewijzigd. Het bestand van de beheerder overnemen betekent dat uw hardening verdwenen is totdat u deze terugplaatst. Geen van beide antwoorden is veilig zonder te weten wat er in die release is veranderd; daarom is het lezen van de release notes onderdeel van het venster en geen optioneel huiswerk.

Vermenigvuldig dit vervolgens met het aantal machines. Eén VPS op het interim-traject betekent tien upgradewensters in vijf jaar. Vijf VPS-machines betekenen vijftig, tenzij elke machine vervangbaar is en opnieuw wordt opgebouwd vanaf een image. Vijf machines op het LTS-traject betekenen vijf upgrades in dezelfde periode, en u kiest zelf de maand waarin elke upgrade plaatsvindt.

Waarom u een Ubuntu-release niet kunt overslaan

De upgradepaden staan vast. Een tussenliggende release upgradet naar de volgende release, ongeacht welke dat is. Een LTS upgradet direct naar de volgende LTS, of naar de volgende tussenliggende release als u daarom vraagt. Niets upgradet twee stappen tegelijk. Om van 26.10 naar 28.04 LTS te gaan, moet u via 27.04 en 27.10, of de machine opnieuw installeren.

Het mechanisme is belangrijk om te kennen, omdat het aangeeft dat de regel niet flexibel is. do-release-upgrade haalt een meta-releasebestand op van changelogs.ubuntu.com en downloadt vervolgens een upgradetool die is gebouwd voor één specifieke overgang. Canonical bouwt en test één overgang tegelijk, dus een sprong die een release overslaat, heeft geen tool en geen tests. De upgrader weigert niet uit voorzorg. Er is simpelweg niets beschikbaar om aan te bieden.

Welke release u aangeboden krijgt, hangt af van één configuratieregel:

grep -i prompt /etc/update-manager/release-upgrades
sudo do-release-upgrade -c

Prompt=lts biedt alleen de volgende LTS aan. Prompt=normal biedt de volgende release aan, ongeacht of het een LTS is of niet. Prompt=never biedt niets aan; dit is hoe u voorkomt dat een goedbedoelende collega een upgrade start die u niet had gepland. Op een release die geen LTS is, gedraagt lts zich precies als normal, omdat de volgende release na 26.10 in beide instellingen 27.04 is. De controle toont Checking for a new Ubuntu release en vervolgens een New release ... available.-regel of No new release found..

Nog één planningsregel verrast mensen vaak. Een LTS-naar-LTS-upgrade wordt niet aangeboden op de dag dat de nieuwe LTS uitkomt. Deze wordt geopend bij de eerste punt-release, en 26.04.1 staat gepland voor 27 augustus 2026. Een 24.04-systeem met Prompt=lts dat gedurende de zomer van 2026 No new release found. antwoordde, was niet defect. Het volgde het beleid. Wanneer het pad opent, is de 24.04 naar 26.04 LTS upgrade de actie die u moet plannen en testen.

Wanneer een interim-release de juiste keuze is

Vier gevallen waarin dit daadwerkelijk voordelen biedt:

• U heeft een kernel- of userspace-versie nodig die niet in het LTS-archief beschikbaar is, op deze machine, nu.
• De machine is een build-host, een CI-runner of een testomgeving die u vanuit een image opnieuw opbouwt, waardoor een upgrade neerkomt op een nieuwe instantie in plaats van een onderhoudsvenster.
• Hardware- of hypervisor-functionaliteit is toegevoegd nadat de LTS-versie werd bevroren en er is geen backport beschikbaar.
• U onderzoekt wat de volgende LTS zal bevatten. 28.04 wordt samengesteld uit 26.10, 27.04 en 27.10; het ontdekken van een breaking change op een reserve-VPS kost minder dan het ontdekken ervan op een kritieke server.

De meeste mensen die voor een interim-release kiezen, willen één nieuwer pakket, niet een nieuwere distributie. Er zijn twee goedkopere oplossingen. De hardware enablement stack brengt kernels van latere releases naar een LTS: op 24.04 is dat sudo apt install linux-generic-hwe-24.04, en deze wordt bij elke point-release bijgewerkt, beginnend bij de tweede. Voor een enkele applicatie zorgt een container-image of de eigen repository van de leverancier ervoor dat slechts één onderdeel wordt bijgewerkt in plaats van het volledige besturingssysteem.

Wanneer een interim-release de verkeerde keuze is

• Alles met betalende gebruikers of een on-call-rooster. U accepteert hiermee twee keer per jaar een verplichte upgrade in ruil voor pakketversies die u wellicht nooit gebruikt.
• Elke server waar unattended-upgrades uw beveiligingspatches afhandelt. Die automatisering is slechts zo betrouwbaar als de security-repository waaruit deze put.
• Een serverpark dat u handmatig bijwerkt, omdat de werkelijke kosten bestaan uit één onderhoudsvenster vermenigvuldigd met het aantal servers.
• Alles wat u installeert en vervolgens een jaar lang niet meer bekijkt. Een interim-release die u bent vergeten, is negen maanden later een ongepatchte server die direct aan het internet is blootgesteld.

Dat laatste probleem verloopt geruisloos, wat het gevaarlijk maakt. Wanneer een release het einde van zijn levenscyclus (EOL) bereikt, verhuizen de pakketten naar old-releases.ubuntu.com, waardoor sudo apt update fouten van het type 404 begint te geven bij het benaderen van archive.ubuntu.com. De pakketlijsten op de schijf raken verouderd. unattended-upgrades blijft op de achtergrond draaien volgens de ingestelde timer en blijft regels zoals deze wegschrijven naar /var/log/unattended-upgrades/unattended-upgrades.log:

No packages found that can be upgraded unattended and no pending auto-removals

Die regel ziet er op een volledig gepatchte server exact hetzelfde uit als op een server waarvan de release vier maanden geleden is verlopen. Tenzij iemand de apt-fouten leest of de EOL-datum bijhoudt, is er op de machine niets dat aangeeft met welke situatie u te maken heeft.

Het type wijziging dat als eerste op het interim-traject verschijnt

In maart 2026 stelde een Canonical-engineer op het Ubuntu-discourse voor om de ondertekende GRUB-bootloader die wordt meegeleverd voor secure boot in 26.10 te strippen. Het voorstel verwijdert de bestandssysteemdrivers voor btrfs, hfsplus, xfs en zfs, de JPEG- en PNG-imageparsers, Apple-partitietabellen, /boot op LVM, software-RAID anders dan RAID 1, en een LUKS-versleutelde /boot. De opgegeven reden is dat parsers in een bootloader een terugkerende bron van beveiligingslekken zijn, en dat opslag- en versleutelingslogica thuishoort in de initramfs, het kleine initiële RAM-bestandssysteem dat de kernel koppelt vóór de echte root. Sinds augustus 2026 is dit een voorstel in discussie, geen doorgevoerde wijziging.

Voor de meeste VPS-instanties zou dit niets veranderen, omdat zij opstarten zonder secure boot vanaf een standaard ext4 /boot op een GPT-partitietabel. Controleer uw eigen systeem in plaats van ervan uit te gaan. Als uw root ZFS is, of /boot zich op btrfs of binnen LUKS bevindt, dan is dit precies het type wijziging dat u als eerste tegenkomt op het interim-traject. Het advies in de thread zelf aan getroffen gebruikers is om op een LTS te blijven. Dat advies is het hele argument in één zin. Interim-releases zijn bedoeld om wijzigingen te testen. Een LTS is waar ze arriveren nadat twee jaar aan interim-releases hebben uitgewezen wat ze kapotmaken.

Hetzelfde patroon is op kleinere schaal zichtbaar bij elke interim-release. Standaardversies van de database, de language runtime en de init-configuratie worden bijgewerkt, waardoor configuratiebestanden die voorheen werkten, kunnen stoppen met functioneren. Het vooruitstreven van standaardinstellingen is de taak waarvoor een interim-release bestaat. Dit betekent dat het lezen van de release notes vóór elk van die tien upgrades onderdeel is van de prijs waar u mee akkoord bent gegaan.

De track kiezen bij het opbouwen van de server

Kies de track tijdens de installatie, aangezien wijzigingen achteraf een herinstallatie of een reeks upgrades vereisen. Op een nieuwe server geven vier commando's aan waar u staat:

lsb_release -a
grep -i prompt /etc/update-manager/release-upgrades
sudo do-release-upgrade -c
pro security-status

lsb_release -a hoort de release te noemen die u wilde installeren, en op een LTS eindigt de beschrijvingsregel met LTS. De regel Prompt moet overeenkomen met de track die u heeft gekozen, niet met de image die de provider toevallig meeleverde. do-release-upgrade -c op een huidige LTS hoort No new release found. te antwoorden. Als het systeem in plaats daarvan een interim-release aanbiedt, staat Prompt ingesteld op normal en moet iemand bepalen of dit bewust is gedaan. pro security-status rapporteert hoeveel geïnstalleerde pakketten onder welke update-stream vallen en geeft duidelijk aan wanneer de machine niet aan een abonnement is gekoppeld.

Noteer vervolgens de einddatum van de ondersteuning op een plek waar u deze weer zult zien, naast de rest van de build-notities voor die server. Dit hoort bij het overige werk in de eerste tien minuten op een nieuwe VPS, omdat een ondersteuningsdatum die alleen in iemands geheugen leeft, de datum is die onopgemerkt verloopt. Als u de zesmaandelijkse cyclus volledig wilt vermijden, is het FreeBSD release-model vergeleken met Linux het waard om een uur te lezen voordat u een vloot aan een van beide verbindt.

FAQ

Moet ik een Ubuntu interim-release draaien op een productieserver?

In bijna alle gevallen: nee. Een interim-release ontvangt negen maanden na de release geen beveiligingsupdates meer. Productieomgevingen op dit traject vereisen dus voor altijd een verplichte upgradecyclus van ongeveer twee keer per jaar. De enige eerlijke uitzonderingen zijn machines die u toch al opnieuw opbouwt vanuit een image, zoals CI-runners en build-hosts, waarbij een upgrade neerkomt op een nieuwe instantie in plaats van een onderhoudsvenster. Als er echte gebruikers afhankelijk zijn van de server, installeer dan de LTS en besteed de bespaarde tijd aan andere zaken.

Hoe lang wordt een Ubuntu interim-release ondersteund?

Negen maanden. 26.10 verschijnt op 15 oktober 2026 en het beveiligingsonderhoud eindigt in juli 2027; hetzelfde patroon als bij 25.10, dat in juli 2026 eindigde. Elke interim-release volgt dit schema: uitgebracht in april of oktober, beëindigd negen maanden later. Een LTS krijgt vijf jaar standaard beveiligingsonderhoud, uitbreidbaar tot tien jaar met Ubuntu Pro, wat sinds augustus 2026 gratis is voor persoonlijk gebruik op maximaal vijf machines.

Kan ik Ubuntu-releases overslaan tijdens het upgraden?

Nee. do-release-upgrade werkt in stappen: een interim-release gaat naar de volgende release, en een LTS kan direct naar de volgende LTS. Om van 26.10 naar 28.04 LTS te gaan, moet u de upgrade via 27.04 en 27.10 uitvoeren, of de machine opnieuw installeren. Canonical bouwt en test telkens één overgang en de upgrader downloadt een tool voor die specifieke sprong; een sprong van twee stappen wordt daarom niet ondersteund en nooit aangeboden.

Wat gebeurt er als mijn Ubuntu-release het einde van de levensduur bereikt?

De pakketten verhuizen naar old-releases.ubuntu.com, waardoor sudo apt update foutmeldingen (404) geeft bij het benaderen van archive.ubuntu.com en er geen nieuwe beveiligingsupdates meer worden gepubliceerd voor die release. De machine geeft dit zelf niet aan. De server blijft draaien en netwerkverkeer afhandelen, terwijl elk nieuw ontdekt beveiligingslek open blijft staan. Herstel vereist een release-upgrade onder tijdsdruk of een volledige herinstallatie; monitor daarom de datum in plaats van te wachten op symptomen.

Is de LTS-kernel te oud voor nieuwe hardware?

Meestal niet, omdat een LTS niet vijf jaar lang dezelfde kernel behoudt. De hardware enablement stack, HWE, brengt kernels van latere releases naar de LTS via point-releases. Een serverinstallatie kan hiervoor kiezen met een pakket zoals linux-generic-hwe-24.04. Controleer welke kernel u draait met uname -r voordat u aanneemt dat de kernel de beperkende factor is. Als het ontbrekende onderdeel een userspace-versie is in plaats van een kernel, is een container of een vendor-repository een veel kleinere wijziging dan de gehele machine overzetten naar het interim-traject.