Ubuntu 26.10 Secure Boot 变化与 /boot 布局检查

Ubuntu 26.10 精简了 Secure Boot 使用的签名 GRUB。是否受影响，取决于 GRUB 如何读取启动文件，而不只是根分区使用什么文件系统。 使用自定义磁盘布局的用户，应在升级前检查 /boot 的文件系统与底层存储。

Canonical 已在 2026 年 10 月 6 日的安全专题 确认这项变化。早期文章里的“提案”已不能代表当前状态。

哪些布局会受影响

这里描述的是启动路径。系统启动后仍然能够使用 Btrfs、ZFS、LVM、LUKS 和 RAID；加密根分区与加密 /boot 也不是同一情况。完整 GRUB 功能仍可在关闭 Secure Boot 的环境使用，但改变安全设置需要结合整台设备的启动与加密配置评估。官方变更说明 

第一步 检查 Secure Boot 状态

以下命令只读取状态，不修改配置：

mokutil --sb-state

SecureBoot enabled 表示已启用。如果工具不存在，可先查看 UEFI 设置；若提示不支持 EFI 变量，需要确认是否以 UEFI 模式启动，不能将报错等同于“已关闭”。

第二步 找到 /boot 实际所在的文件系统

findmnt --target /boot --output TARGET,SOURCE,FSTYPE,OPTIONS
lsblk --output NAME,TYPE,FSTYPE,MOUNTPOINTS

没有独立 /boot 分区也会返回结果：此时 findmnt 找到的是包含这个目录的文件系统，通常是根分区。不要因为 lsblk 没有单独列出 /boot 就跳过检查。

对常规 ext4 分区，可能看到：

TARGET SOURCE         FSTYPE OPTIONS
/boot  /dev/nvme0n1p2  ext4   rw,relatime

如果 FSTYPE 是 Btrfs、XFS 或 ZFS，应按上表处理。如果它是 ext4，但 SOURCE 指向 /dev/mapper/... 或 /dev/md...，仍需查看 lsblk 的存储层级：ext4 本身支持，不代表它下面的 LVM、加密或 RAID 层也支持。 软件 RAID 用户还需核实 RAID 级别。

/boot/efi 常用于 EFI 系统分区；它是 FAT，并不能证明存放内核和 initramfs 的 /boot 同样兼容。这些命令用于初步筛查，特殊启动链仍需核对实际配置。

第三步 按结果决定升级安排

• Secure Boot 开启，且 /boot 位于不兼容布局：先留在 26.04 LTS，准备备份和启动方案，再安排迁移。
• 普通分区上的受支持文件系统：没有发现本文所述限制，但仍需检查驱动与其他兼容问题。
• Secure Boot 关闭：此项精简不适用于当前完整 GRUB 路径；日后启用 Secure Boot 前要重新检查。

迁移 /boot 涉及分区、挂载、initramfs 和引导配置，不能用一条通用命令适配所有机器。先完成备份清单，记录当前磁盘布局并准备可启动的恢复介质。

如果设备使用 TPM 自动解锁，改变固件或启动设置前先准备恢复密钥。硬件加密文档 介绍了启动状态与磁盘解锁之间的关系。

常见误解

加密根分区是不是一定不能升级

不是。必须检查 GRUB 读取的启动文件是否处在加密层里。独立的普通 ext4 /boot 与加密根分区可以是不同存储路径。

RAID1 是不是一定兼容

官方保留了 RAID1 例外，但仍需核对文件系统和嵌套存储层，不能只看 RAID 级别。

换个 GRUB 主题会恢复文件系统支持吗

不会。主题或背景图片不改变签名 GRUB 包含的功能。不要通过绕过验证或任意替换引导程序处理兼容问题。

进一步阅读：官方早期设计讨论 、26.10 下载与升级建议。