Automatiska säkerhetsuppdateringar på Linux-servrar

Kort sagt: Med unattended-upgrades under Debian och Ubuntu samt dnf-automatic i RHEL-familjen installerar Linux-servrar säkerhetsuppdateringar på egen hand. För att en uppdatering också ska verka måste berörda tjänster som PHP-FPM därefter startas om; kontrollera det med needrestart eller processernas starttider. Tredjepartskällor som sury.org måste uttryckligen frisläppas, containrar och byten av huvudversion täcker inte automatiken.

Från patch till server: automatik sparar tid

När php.net den 21 oktober 2026 klockan 16 tysk tid publicerade patcharna mot PHP2Shell började ett lopp för administratörerna. Enligt rapporter levererade distributioner sina backports delvis samma dag. Servrar med automatiska säkerhetsuppdateringar kunde installera de nya paketen vid nästa schemalagda körning utan att någon behövde ingripa.

Det är de goda nyheterna. De mindre goda: installerat betyder inte verksamt. En PHP-FPM-tjänst som har körts i veckor fortsätter att arbeta med den gamla koden i minnet tills den startas om. Och paket från tredjepartskällor, containrar eller webbhotellspaneler med egen PHP-hantering förblir ofta orörda av automatiken.

Det här inlägget visar hur ni ställer in automatiska säkerhetsuppdateringar och kompletterar dem så att de verkligen skyddar i skarpt läge.

unattended-upgrades under Debian och Ubuntu

Under Ubuntu är paketet unattended-upgrades installerat som standard och installerar säkerhetsuppdateringar. Under Debian installerar ni det vid behov. Det styrs via två filer under /etc/apt/apt.conf.d/.

sudo apt install unattended-upgrades apt-listchanges
sudo dpkg-reconfigure -plow unattended-upgrades

Filen 20auto-upgrades anger om och hur ofta paketlistor uppdateras och uppdateringar installeras. Värdet är antalet dagar, "1" betyder dagligen:

// /etc/apt/apt.conf.d/20auto-upgrades
APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

I 50unattended-upgrades står från vilka källor uppdateringar får komma, om omstart sker därefter och vem som får ett meddelande. Som standard är bara distributionens officiella säkerhetskällor frisläppta. Enligt Ubuntu-dokumentationen räcker det inte att lägga in ytterligare ett repository: det måste dessutom stå i den här listan, annars ignoreras det av automatiken. Det gäller till exempel tredjepartsrepositoryt sury.org, som enligt rapporter har tillhandahållit PHP-byggen för alla grenar från 5.6 till 8.5. Bakgrund finns i inlägget Repositoryt sury.org.

Om allt stämmer visar en provkörning som inte ändrar något:

sudo unattended-upgrade -v --dry-run
# Loggar från de riktiga körningarna
ls -l /var/log/unattended-upgrades/

dnf-automatic på RHEL, AlmaLinux och Rocky Linux

I RHEL-familjen tar dnf-automatic över samma uppgift. Konfigurationen ligger i /etc/dnf/automatic.conf. Enligt dokumentationen kontrollerar upgrade_type = security bara uppdateringar med säkerhetsmeddelande, och apply_updates är som standard avstängd.

# /etc/dnf/automatic.conf (utdrag)
[commands]
upgrade_type = security
download_updates = yes
apply_updates = yes
reboot = never

sudo dnf install dnf-automatic
sudo systemctl enable --now dnf-automatic.timer
systemctl list-timers 'dnf-automatic*'

Vid sidan av dnf-automatic.timer, som följer konfigurationsfilen, finns timers som bara rapporterar, bara hämtar eller alltid installerar. Till att börja med är timern med konfigurationsfil lättast att följa.

Den underskattade delen: starta om tjänster

Pakethanteraren ersätter filer på disken. Pågående processer behåller den gamla koden i minnet. För PHP betyder det: så länge PHP-FPM eller Apache med mod_php inte har startats om förblir sårbarheten öppen.

Enligt Ubuntu-dokumentationen fortsätter tjänster som är undantagna från needrestart att köra med gamla filer fram till manuell omstart. Kontrollera därför efter varje PHP-uppdatering processernas starttid, som beskrivs i Starta om PHP-FPM och alla workers.

Vad automatiken inte täcker

Automatiska uppdateringar är en byggsten, inte en fullständig patchhantering. Vissa områden behöver egna rutiner:

1. Containrar: PHP i Docker-images uppdateras inte av värduppdateringar. Bygg om images, skapa om containrar.
2. Webbhotellspaneler: Plesk, cPanel och liknande paneler hanterar PHP delvis via egna paket och mekanismer.
3. Huvudversioner: Bytet från till exempel PHP 8.2, som når slutet på supporten den 31 december 2026, till en nyare version sker inte automatiskt.
4. Applikationer: CMS, tillägg och Composer-beroenden har egna uppdateringsvägar.
5. Kontroll: Någon måste läsa automatikens loggar och felmeddelanden. En körning som tyst misslyckas är värre än ingen, eftersom den vilseleder om säkerheten.

Hur dessa delar växer ihop till en process beskriver Patchhantering som process i stället för brandkår.

Slutsats: automatik ja, blint förtroende nej

Automatiska säkerhetsuppdateringar hör hemma på varje Linux-server som är nåbar från internet. PHP2Shell har visat hur knapp tiden kan bli: enligt mediarapporter observerades ett första angreppsförsök redan den 17 oktober, fyra dagar före patcharna. Den som därefter fortfarande väntar på ett manuellt underhållsfönster förlorar värdefull tid.

Automatiken tar dock bara över själva installationen. Omstart av tjänsterna, belägg för patchnivån, containrar, paneler och det rättidiga bytet till stödda versioner förblir uppgifter som någon måste vara ansvarig för. Fastställ det ansvaret skriftligen och kontrollera stickprovsvis att automatikens loggar verkligen läses. Först kombinationen av automatik och kontroll gör uppdateringar tillförlitliga.

Hur hjälper PHP SOS konkret?

• Ställa in: Vi konfigurerar unattended-upgrades eller dnf-automatic anpassat till era servrar, inklusive frisläppta tredjepartskällor.
• Säkra omstarter: Vi inrättar needrestart eller motsvarande kontroller och kontrollerar processernas starttider efter PHP-uppdateringar.
• Stänga luckor: Containrar, paneler och byten av huvudversion tar vi in i ett fast underhållsförlopp.
• Kontrollera: Inom ramen för säkerhetsunderhållsavtalet granskar vi automatikens loggar och rapporterar avvikelser.

Vanliga frågor

Källor

• Ubuntu Server: automatiska uppdateringar
• DNF Automatic
• Debian Security Tracker
• Ubuntu Security Notices