Automatiske opdateringer

Modul 4: Software og opdateringer · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du slå automatiske sikkerhedsopdateringer til og kontrollere dem. Du ved, hvad der sker automatisk og hvad der ikke gør, og du ved, hvornår en genstart er nødvendig.

Centrale begreber: unattended-upgrades, 20auto-upgrades, 50unattended-upgrades, Origins-Pattern og Allowed-Origins, apt-daily-timere, needrestart, /var/run/reboot-required, Automatic-Reboot, kerneopdatering, dnf-automatic

Hvorfor automatisk?

Sikkerhedshuller bliver fundet, rettet og derefter aktivt misbrugt, ofte inden for få dage. En server, som du opdaterer én gang om måneden, står altså i gennemsnit åben for kendte huller i flere uger. Det nederlandske NCSC regner rettidig installation af opdateringer blandt grundprincipperne for digital modstandskraft: "Rettidig opdatering og patching af software hjælper med hurtigt at udbedre sårbarheder."

Alligevel er "alt automatisk" heller ikke godt. En ny version af et program kan opføre sig anderledes end den gamle, og en server, der selv genstarter midt på dagen, kan ramme dine besøgende. Den almindelige mellemvej på Debian og Ubuntu er:

• sikkerhedsopdateringer automatisk, hver dag;
• andre opdateringer og release-opgraderinger manuelt, på et tidspunkt du selv vælger, med et snapshot først;
• planlagte genstarter, på et roligt tidspunkt og kontrolleret.

Programmet, der styrer dette, hedder unattended-upgrades.

Slå unattended-upgrades til

På Ubuntu Server er unattended-upgrades installeret som standard, og automatiske sikkerhedsopdateringer er slået til lige efter installationen. På Debian er det også med på mange installationer og images, men ikke altid. Kontrollér og slå til:

anna@web1:~$ sudo apt install unattended-upgrades
anna@web1:~$ sudo dpkg-reconfigure -plow unattended-upgrades

Den anden kommando spørger "Automatically download and install stable updates?". Vælg Yes. Det skriver filen /etc/apt/apt.conf.d/20auto-upgrades:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

1 betyder: hver dag. Med 0 slår du det fra. Selve arbejdet startes af to systemd-timere (lektion 6.3), som du kan se sådan her:

anna@web1:~$ systemctl list-timers 'apt*'
NEXT                        LEFT     LAST                        PASSED  UNIT                    ACTIVATES
Tue 2026-11-10 06:24:11 CET 9h left  Mon 2026-11-09 06:41:03 CET 14h ago apt-daily-upgrade.timer apt-daily-upgrade.service
Tue 2026-11-10 08:02:47 CET 11h left Mon 2026-11-09 19:12:30 CET 1h ago  apt-daily.timer         apt-daily.service

apt-daily henter listerne (ligesom apt update), apt-daily-upgrade installerer opdateringerne. Tidspunkterne har en tilfældig spredning, så ikke alle servere i verden belaster pakkekilderne på samme tid.

Hvad bliver installeret automatisk?

Det står i /etc/apt/apt.conf.d/50unattended-upgrades. På Debian hedder blokken Unattended-Upgrade::Origins-Pattern, på Ubuntu Unattended-Upgrade::Allowed-Origins. Som standard er sikkerhedskilden og den faste kilde for din release slået til, og kilden -updates slået fra. På Ubuntu ser det sådan ud:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}";
        "${distro_id}:${distro_codename}-security";
        "${distro_id}ESMApps:${distro_codename}-apps-security";
        "${distro_id}ESM:${distro_codename}-infra-security";
//      "${distro_id}:${distro_codename}-updates";
//      "${distro_id}:${distro_codename}-proposed";
//      "${distro_id}:${distro_codename}-backports";
};

Linjer med // foran er slået fra. Lad det stå sådan på en første server. Ret ikke direkte i filen, for en senere version af pakken vil måske erstatte den. Debian anbefaler, at du lægger dine egne ændringer i en egen fil, for eksempel /etc/apt/apt.conf.d/52unattended-upgrades-local; senere filer går forud for tidligere.

Pakker fra ekstra kilder (Docker, Caddy, PostgreSQL fra udvikleren) bliver som standard ikke opdateret automatisk. Det er et bevidst valg: dem følger du selv (lektion 9.4), eller du tilføjer kilden manuelt til listen, hvis du stoler på udvikleren og kender konsekvenserne.

Et par indstillinger, du ofte vil have:

// /etc/apt/apt.conf.d/52unattended-upgrades-local
Unattended-Upgrade::Mail "root";
Unattended-Upgrade::MailReport "only-on-error";
Unattended-Upgrade::Remove-Unused-Kernel-Packages "true";
Unattended-Upgrade::Automatic-Reboot "false";

Mail virker kun, hvis serveren kan sende mail (et lille relay, lektion 8.3). Kan den ikke det, så spring det over og brug overvågningen fra lektion 8.3.

Kontrollér at det virker

En automatik, der stille og roligt stopper, er farligere end ingen automatik, for du tror, du er sikker. Kontrollér derfor tre ting.

1. En prøvekørsel. Den viser, hvad der ville ske, uden at ændre noget:

anna@web1:~$ sudo unattended-upgrade --dry-run --debug
...
Allowed origins are: origin=Debian,codename=trixie,label=Debian, origin=Debian,codename=trixie-security,label=Debian-Security, ...
Packages that will be upgraded: libssl3t64 openssh-server

2. Loggen. Hver kørsel skriver til /var/log/unattended-upgrades/unattended-upgrades.log:

anna@web1:~$ sudo tail -n 5 /var/log/unattended-upgrades/unattended-upgrades.log
2026-11-09 06:41:15,201 INFO Packages that will be upgraded: openssh-server
2026-11-09 06:41:15,202 INFO Writing dpkg log to /var/log/unattended-upgrades/unattended-upgrades-dpkg.log
2026-11-09 06:41:29,874 INFO All upgrades installed

3. Hvad der stadig mangler. apt list --upgradable (lektion 4.1) bør efter en nat ikke længere vise pakker fra -security. Står de der flere dage i træk, er der noget galt: en fuld disk, en lås fra en manuel apt, der hænger, eller en pakke, der stiller et spørgsmål.

Genstart: tjenester og kernen

Et opdateret program på disken er ikke det samme som et opdateret program i hukommelsen. Har OpenSSH kørt i tre uger, kører den gamle kode, indtil tjenesten starter igen.

• Tjenester: programmet needrestart undersøger efter en opdatering, hvilke tjenester der stadig bruger gamle biblioteker. På Ubuntu 24.04 og nyere genstarter unattended-upgrades som standard selv de tjenester via needrestart. På Debian er needrestart en separat pakke (apt install needrestart), som interaktivt spørger dig, hvilke tjenester der skal genstartes.
• Kernen: en ny kerne virker først efter en genstart af hele serveren. Debian og Ubuntu opretter så filen /var/run/reboot-required:

anna@web1:~$ cat /var/run/reboot-required
*** System restart required ***
anna@web1:~$ cat /var/run/reboot-required.pkgs
linux-image-6.12.57+deb13-amd64

Du har to muligheder. Enten genstarter du selv, for eksempel hver uge på et fast tidspunkt, efter at du har tjekket, om filen findes. Eller du lader unattended-upgrades gøre det:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";

Standarden er false. Slå den kun til, hvis du er sikker på, at alt kommer op af sig selv efter en genstart: tjenester med enable (lektion 6.1), containere med en restart:-politik (lektion 9.3) og en overvågning, der advarer dig, hvis det ikke sker (lektion 8.3). Test det først én gang manuelt: sudo reboot, og se om alt kommer tilbage.

Ubuntu tilbyder via Ubuntu Pro også Livepatch, som anvender nogle kernerettelser uden genstart. Det er et supplement, ikke en erstatning: også med Livepatch genstarter du en gang imellem.

Hvad du ikke gør automatisk

• Release-opgraderinger (fra Debian 12 til 13, fra Ubuntu 24.04 til 26.04): altid manuelt, med en plan (lektion 4.3).
• Store versioner af dine egne applikationer (en ny hovedversion af en database, et CMS): altid manuelt, efter en backup og efter at have læst release notes.
• Containere: dem opdaterer unattended-upgrades ikke. Et image fra 2024 forbliver et image fra 2024, indtil du kører docker compose pull (lektion 9.4).

På AlmaLinux og Rocky Linux

Her hedder værktøjet dnf-automatic. Installér med dnf install dnf-automatic. I /etc/dnf/automatic.conf sætter du upgrade_type = security og apply_updates = yes, og du slår timeren til med systemctl enable --now dnf-automatic.timer. På RHEL-lignende systemer er en genstart af kernen lige så nødvendig som på Debian; dnf needs-restarting -r fortæller, om det er tilfældet.

I praksis

Hos WebOké fungerer en VPS på samme måde som andre steder: hvad der opdateres inde i serveren, styrer du selv. Udbyderen opdaterer hardwaren og virtualiseringsplatformen, ikke dit styresystem. Tag et snapshot i din udbyders panel før en stor manuel opdatering; til de daglige automatiske sikkerhedsopdateringer er det ikke nødvendigt.

Opsummering

• Slå automatiske sikkerhedsopdateringer til med unattended-upgrades (Ubuntu: slået til som standard; Debian: kontrollér med dpkg-reconfigure -plow unattended-upgrades).
• Som standard opdateres kun sikkerhedskilden og den faste releasekilde automatisk; ekstra kilder ikke.
• Kontrollér med en prøvekørsel, loggen i /var/log/unattended-upgrades/ og apt list --upgradable.
• Tjenester skal genstartes efter en opdatering (needrestart), kernen kræver en genstart af serveren (/var/run/reboot-required).
• Release-opgraderinger, store applikationsversioner og containere opdaterer du manuelt.

Quiz

Opgave

Opgave O4.2: Slå automatiske opdateringer til og kontrollér dem. Slå unattended-upgrades til på din egen server (eller kontrollér, at det er slået til), lav en prøvekørsel, og se på loggen og timerne. Udfyld tjeklisten og svar: hvilke kilder bliver opdateret automatisk hos dig, hvornår kørte den seneste kørsel, venter der lige nu en genstart, og hvordan vil du genstarte (selv på et fast tidspunkt eller automatisk, og hvorfor)?

Læs mere

• Sikr din VPS: de første fem minutter
• Debian Wiki, automatiske opdateringer (UnattendedUpgrades): https://wiki.debian.org/PeriodicUpdates
• Det nederlandske NCSC (nederlandsk kilde), grundprincip 3: Beskyt systemer, applikationer og enheder: https://www.ncsc.nl/basisprincipes/basisprincipe-3-bescherm-systemen-applicaties-en-apparaten
• Ubuntu Server-dokumentation, Automatic updates: https://ubuntu.com/server/docs/how-to/software/automatic-updates/
• VPS: fra første login til sikker server 3.3: Opdateringer og automatiske opdateringer