L'albero del kernel upstream è il principale ramo del codice sorgente Linux in cui le nuove funzionalità e le correzioni di sicurezza vengono integrate per prime. In pratica, è la versione di riferimento per lo sviluppo del kernel: una volta che una patch viene inserita upstream, i vendor e le distribuzioni downstream possono esaminarla, retroportarla e costruire da essa le release supportate.
Questo è importante nella sicurezza informatica perché molti record di vulnerabilità vengono creati a partire da correzioni già presenti upstream. Una CVE può essere annunciata anche se il codice è già corretto nell'albero mainline, quindi i difensori devono verificare se la loro specifica build del kernel include la correzione, se è stata retroportata e se il sottosistema interessato è effettivamente in uso. Gli attaccanti prendono di mira kernel che sono in ritardo rispetto all'upstream o che non ricevono gli aggiornamenti del vendor; i difensori usano l'albero upstream come fonte autorevole per lo stato delle patch, la revisione del codice e i test di regressione.