Achtung!! PhP Sicherheitslücke.

[Akira]

Huhu zusammen,

Im Rahmen des fixes zu PHP2Shell bin ich auf ein Feature gestossen das sehr interessant ist. Automatic Upgrades. Claude meint zu dem Thema ob das eine gute Sache sei:

Kurz gesagt: Für die meisten Server ja, wenn du es auf Sicherheitsupdates beschränkst. Das grössere Risiko ist meistens ein Server, der wochenlang ungepatcht bleibt, weil niemand daran denkt. Ein Update, das etwas kaputt macht, ist seltener.

Warum es sinnvoll ist
Bei Debian und Ubuntu installiert unattended-upgrades standardmässig nur Pakete aus den Security-Repositories. Diese Updates sind bewusst klein gehalten: Sie beheben Fehler und bringen keine neuen Features. Dadurch ist das Risiko von Regressionen relativ gering. Gleichzeitig werden bekannte Lücken oft sehr schnell aktiv ausgenutzt, besonders bei Diensten, die aus dem Internet erreichbar sind.

Wo die Haken liegen

• Neustarts: Kernel-Updates werden zwar installiert, aber erst nach einem Reboot aktiv. Du musst entscheiden, ob
  Unattended-Upgrade::Automatic-Reboot
  mit einer festen Uhrzeit laufen soll oder ob du selbst neu startest. Ohne Reboot läuft weiter der alte, verwundbare Kernel.
  
• Dienst-Neustarts: Wenn eine Bibliothek wie OpenSSL oder glibc aktualisiert wird, starten Dienste kurz neu. Auf Ubuntu übernimmt das
  needrestart
  . Das kann zu kurzen Unterbrechungen führen.
  
• Konfigurationsdateien: Wenn du eine Paket-Konfiguration angepasst hast, kann ein Update daran hängen bleiben oder deine Version behalten. Das sollte man im Blick haben.
  
• Fremd-Repositories: Wenn du zusätzlich normale Updates oder Drittquellen (Docker, PPAs, Datenbanken) automatisch aktualisieren lässt, steigt das Risiko deutlich. Eine Datenbank-Hauptversion sollte man nie unbeaufsichtigt aktualisieren.
  

Empfehlung für ein vernünftiges Setup

1. Nur die Security-Quelle aktivieren (Standard so lassen).
   
2. Kritische Pakete bei Bedarf über
   Package-Blacklist
   ausschliessen.
   
3. Mail-Benachrichtigung einrichten (
   Unattended-Upgrade::Mail
   ) oder die Logs unter
   /var/log/unattended-upgrades/
   überwachen, damit du merkst, wenn etwas schiefgeht.
   
4. Den Reboot bewusst regeln, entweder automatisch nachts oder manuell. Bei Ubuntu ist Livepatch eine Option, um Kernel-Reboots seltener nötig zu machen.
   
5. Backups oder Snapshots haben, damit du zurückkannst.
   

Wann ich eher vorsichtig wäre
Bei sehr kritischen Produktivsystemen mit strengen Wartungsfenstern oder bei Clustern, die du kontrolliert nacheinander aktualisieren willst, ist ein gesteuerter Prozess oft besser, zum Beispiel über Ansible oder zuerst auf einem Staging-System. Auch dann gilt: Irgendein verlässlicher Patch-Prozess muss existieren. Kein automatisches Update ist nur dann besser, wenn jemand die Updates wirklich regelmässig manuell einspielt.

Die beste Lösung hängt von deinem Setup ab.