Обновления ОС: почему важно и как автоматизировать

Большинство взломов серверов эксплуатируют известные уязвимости с давно выпущенными патчами: взламывают не нулевыми днями, а забытыми обновлениями. Пятница-вечер, apt upgrade, перезагрузка — дешёвая страховка, дешевле любого инцидента.

Ручной режим — по привычке

Ubuntu/Debian:

apt update && apt upgrade -y
# перезагрузка, если просит (новое ядро)
reboot

RHEL-семейство (AlmaLinux/Rocky): dnf upgrade. Arch: pacman -Syu (почаще — там rolling). Fedora: dnf upgrade.

Когда просит перезагрузка: обновились ядро, systemd, libc — старые версии живут в памяти до рестарта. Проверка «нужен ли рестарт»: файл /var/run/reboot-required (Ubuntu).

Автоматические security-обновления

Для Ubuntu/Debian есть штатный демон, который ставит только обновления безопасности — компромисс «безопасно, но не ломает совместимость»:

apt install unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades   # ответить «Да»

Проверка работы: systemctl status unattended-upgrades, журнал — /var/log/unattended-upgrades/. RHEL-семейство: dnf install dnf-automatic и включить apply_updates для security-репозиториев.

Правила осторожности

• Бэкап перед крупным обновлением. Апгрейд мажорной версии ОС или СУБД — повод снять бэкап руками: восстановление лучше сожаления.
• Обновления приложений ≠ обновления ОС. Версии из сторонних репозиториев (Docker, PHP, nginx) обновляются своими командами — смотрите их changelog на breaking changes.
• Перезагрузка — это нормально. Посуточный биллинг не зависит от аптайма; сервер, который не перезагружался год, обычно просто копит неприменённые патчи.

Проверка результата

apt list --upgradable пуст (или показывает только то, что вы осознанно держите); unattended-upgrades активен; /var/run/reboot-required отсутствует.

Если что-то пошло не так

Симптом	Причина	Что делать
После upgrade сервис не стартует	Конфликт конфигов	journalctl -u сервис -n 50; смотрите diff .dpkg-dist конфигов
apt висит на «waiting for lock»	Параллельный apt/автообновление	Подождать; `ps aux
Сервер не стартует после reboot	Редкий, но живой случай	VNC-консоль — там видно загрузку; откат ядра через grub

Частые вопросы

Обновления бесплатны?

Да, это пакеты вашей ОС. Тратится только время (и минуты посуточной оплаты, если делаете reboot).

Автообновления не сломают прод?

Security-набор консервативен: точечные патчи без смены мажорных версий. Для критичного прода всё же обновляйте руками в контролируемое окно.

Как часто нужно?

Security — по мере выхода (автообновления сами). Полный upgrade — раз в пару недель. Релизы ОС (например, Ubuntu 24.04→26.04) — по осознанному плану с бэкапом.