Il prossimo 30 giugno, quindi praticamente ora, come ampiamente annunciato e previsto CentOS 7 completerà il suo ciclo di esistenza, andrà cioè in quella che in gergo viene definita EOL, End Of Life, non riceverà più alcun aggiornamento di sicurezza o altro, sarà cioè una distribuzione morta.

Se qualcuno dovesse stupirsi di questo incipit saremmo sorpresi. È sostanzialmente dal dicembre del 2020 che il mercato è conscio di questo avvenimento, quando cioè il progetto (di proprietà di Red Hat che ne aveva assunto tutti i contributori) aveva deciso di concentrare i propri sforzi solo sulla versione Stream, che poco prima era stata posta come basamento di Red Hat Enterprise Linux, ribaltando il motivo per cui CentOS stessa era nata, ossia essere un clone di RHEL.

Ora siamo arrivati alla fine. Infatti CentOS 7 era l’ultima versione “completa” ad essere manutenuta, non è mai infatti esistita una CentOS 8, ma solo CentOS Stream 8, finita peraltro in dismissione il 31 maggio, poiché la sua consorella RHEL 8 è entrata nella fase di maintenance support. E se vi sembra che il tempo voli andate a leggere dell’avvio ufficiale di CentOS Stream 10, che fornirà la base per la prossima RHEL 10, sulla mailing list ufficiale del progetto.

Chiarito quindi lo stato delle cose rimane da chiedersi: ma con praticamente 4 anni di tempo il mercato si sarà organizzato? Le aziende saranno passate a RHEL o a una delle distribuzioni clone come AlmaLinux, Rocky Linux o Oracle Linux?

A quanto pare, decisamente no. O almeno certamente non tutte.

Il sondaggio pubblicato da Lansweeper che fa riferimento al febbraio 2024 non lascia troppo spazio ai dubbi, riassunti in questo chiaro schema:

Come si può chiaramente notare il numero la “fetta” occupata da CentOS Linux è la seconda in classifica, con ben il 26.05% dell’installato. Praticamente un server Linux su quattro è CentOS 7.

Cosa questo comporti in termini di rischi è inutile sottolinearlo: ogni giorno raccontiamo di vulnerabilità che emergono nei sistemi Linux, di situazioni in cui l’aggiornamento di un pacchetto diventa estremamente determinante per proteggersi (qualcuno si ricorda di XZ?), di motivi per cui lo shift-left non è più rimandabile.

Eppure questi dati sono assolutamente inequivocabili ed estremamente preoccupanti.

È vero che la mossa di Red Hat è stata inattesa, è vero che sicuramente è stato un modo per portare acqua al proprio mulino, ma la responsabilità di un mondo informatico sicuro è equamente distribuita tra i produttori ed i consumatori, ed i numeri descritti raccontano invece di un certo menefreghismo.

I produttori di malware si staranno sfregando le mani.