Automatiske sikkerhedsopdateringer på Linux-servere

Kort sagt: Med unattended-upgrades under Debian og Ubuntu samt dnf-automatic i RHEL-familien indspiller Linux-servere sikkerhedsopdateringer selvstændigt. For at en opdatering også virker, skal berørte tjenester som PHP-FPM genstartes bagefter; kontrollér det med needrestart eller processernes starttidspunkter. Tredjepartskilder som sury.org skal udtrykkeligt frigives, containere og hovedversionsskift dækker automatikken ikke.

Fra patch til server: Automatik sparer tid

Da php.net den 21. oktober 2026 kl. 16 tysk tid offentliggjorde patcherne mod PHP2Shell, begyndte et kapløb for administratorer. Ifølge rapporter leverede distributioner til dels deres backports allerede samme dag. Servere med automatiske sikkerhedsopdateringer kunne installere de nye pakker ved næste planmæssige kørsel, uden at nogen behøvede at gribe ind.

Det er den gode nyhed. Den mindre gode: Installeret betyder ikke virksomt. En PHP-FPM-tjeneste, der har kørt i uger, arbejder videre med den gamle kode i hukommelsen, indtil den genstartes. Og pakker fra tredjepartskilder, containere eller hostingpaneler med egen PHP-administration forbliver ofte upåvirket af automatikken.

Dette indlæg viser, hvordan I opsætter automatiske sikkerhedsopdateringer og supplerer dem, så de i alvorlige tilfælde virkelig beskytter.

unattended-upgrades under Debian og Ubuntu

Under Ubuntu er pakken unattended-upgrades som standard installeret og indspiller sikkerhedsopdateringer. Under Debian installerer I den efter behov. Den styres via to filer under /etc/apt/apt.conf.d/.

sudo apt install unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades

Filen 20auto-upgrades fastlægger, om og hvor ofte pakkelister opdateres, og opdateringer indspilles. Værdien er antallet af dage, "1" betyder dagligt:

// /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

I 50unattended-upgrades står det, fra hvilke kilder opdateringer må komme, om der genstartes bagefter, og hvem der får en meddelelse. Som standard er kun distributionens officielle sikkerhedskilder frigivet. Ifølge Ubuntu-dokumentationen er det ikke nok at indbinde et yderligere repository: Det skal desuden stå på denne liste, ellers ignoreres det af automatikken. Det berører for eksempel tredjeparts-repositoryet sury.org, som ifølge rapporter har stillet PHP-builds til rådighed for alle grene fra 5.6 til 8.5. Baggrund står i indlægget sury.org-repositoryet.

Om alt stemmer, viser en prøvekørsel, der intet ændrer:

sudo unattended-upgrade -v --dry-run
# Protokoller fra de rigtige kørsler
ls -l /var/log/unattended-upgrades/

dnf-automatic på RHEL, AlmaLinux og Rocky Linux

I RHEL-familien overtager dnf-automatic den samme opgave. Konfigurationen ligger i /etc/dnf/automatic.conf. Ifølge dokumentationen kontrollerer upgrade_type = security kun opdateringer med sikkerhedsmeddelelse, og apply_updates er som standard slået fra.

# /etc/dnf/automatic.conf (uddrag)
[commands]
upgrade_type = security
download_updates = yes
apply_updates = yes
reboot = never

sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic.timer
systemctl list-timers 'dnf-automatic*'

Ud over dnf-automatic.timer, der følger konfigurationsfilen, findes der timere, der kun melder, kun downloader eller altid installerer. Til at begynde med er timeren med konfigurationsfil den mest forståelige.

Den undervurderede del: Genstart tjenester

Pakkehåndteringen erstatter filer på disken. Kørende processer beholder den gamle kode i hukommelsen. Ved PHP betyder det: Så længe PHP-FPM eller Apache med mod_php ikke er genstartet, forbliver sårbarheden åben.

Ifølge Ubuntu-dokumentationen kører tjenester, der er undtaget fra needrestart, med gamle filer indtil den manuelle genstart. Kontrollér derfor efter hver PHP-opdatering processernes starttidspunkt, som beskrevet under Genstart PHP-FPM og alle workers.

Hvad automatikken ikke dækker

Automatiske opdateringer er en byggesten, ikke et fuldstændigt patch-management. Nogle områder kræver egne forløb:

1. Containere: PHP i Docker-images opdateres ikke af værtsopdateringer. Byg images påny, opret containere påny.
2. Hostingpaneler: Plesk, cPanel og lignende paneler administrerer til dels PHP via egne pakker og mekanismer.
3. Hovedversioner: Skiftet f.eks. fra PHP 8.2, der den 31.12.2026 når udløbet af understøttelsen, til en nyere version sker ikke automatisk.
4. Applikationer: CMS, plugins og Composer-afhængigheder har egne opdateringsveje.
5. Kontrol: Nogen skal læse automatikkens protokoller og fejlmeddelelser. En kørsel, der stille mislykkes, er værre end ingen, fordi den foregiver sikkerhed.

Hvordan disse dele vokser sammen til en proces, beskriver Patch-management som proces i stedet for brandslukning.

Konklusion: Automatik ja, blind tillid nej

Automatiske sikkerhedsopdateringer hører hjemme på hver Linux-server, der kan nås fra internettet. PHP2Shell har vist, hvor knap tiden kan blive: Ifølge mediernes rapporter blev et første angrebsforsøg allerede observeret den 17. oktober, fire dage før patcherne. Den, der derefter stadig venter på et manuelt vedligeholdelsesvindue, mister værdifuld tid.

Automatikken tager dog kun indspilningen fra jer. Genstart af tjenester, dokumentation af patch-status, containere, paneler og det rettidige skifte til understøttede versioner forbliver opgaver, som nogen skal være ansvarlig for. Fastlæg dette ansvar skriftligt, og kontrollér stikprøvevis, om automatikkens protokoller faktisk bliver læst. Først kombinationen af automatik og kontrol gør opdateringer pålidelige.

Hvordan hjælper PHP SOS konkret?

• Opsætning: Vi konfigurerer unattended-upgrades eller dnf-automatic passende til jeres servere, inklusive frigivne tredjepartskilder.
• Sikr genstarter: Vi opsætter needrestart eller tilsvarende kontroller og kontrollerer procesernes starttidspunkter efter PHP-opdateringer.
• Luk huller: Containere, paneler og hovedversionsskift optager vi i et fast vedligeholdelsesforløb.
• Kontroller: I sikkerhedsvedligeholdelsesaftalen kontrollerer vi automatikkens protokoller og melder påfaldende forhold.

Ofte stillede spørgsmål

Kilder

• Ubuntu Server: Automatiske opdateringer
• DNF Automatic
• Debian Security Tracker
• Ubuntu Security Notices