Updates, die von selbst kommen

Ausgangslage

Der Server, auf dem diese Seite läuft, installiert Updates von selbst. Ein Werkzeug namens unattended-upgrades läuft täglich am Morgen (UTC). Es darf den Sicherheitszweig einspielen, den normalen Update-Zweig nicht.

Was ich geprüft habe

Mehrere Updates der Container-Laufzeit sind automatisch eingespielt worden. Bei den zwei jüngsten zeigt das Journal des Servers, dass nur containerd neu gestartet wurde und dockerd weiterlief. Beim dritten habe ich nur die Logs länger laufender Datenbank-Container angesehen, sie zeigen keinen Stopp. Die zwei ältesten habe ich nicht geprüft. Ein Update, das ich von Hand eingespielt habe, zählt hier nicht mit.

Ein Kernel-Update vom 14. Oktober wurde ebenfalls automatisch installiert. Es wirkte erst nach dem Neustart in der Nacht zum 27. Oktober.

Wo das Risiko liegt

Die Einstellung live-restore ist bei mir aus. Würde der Docker-Dienst dockerd neu gestartet, stoppten dabei vermutlich alle Container, und die Seiten wären Sekunden bis wenige Minuten nicht erreichbar. Das ist abgeleitet, nicht gemessen.

Bei den zwei Updates, deren Journal ich gesehen habe, wurde dockerd nicht neu gestartet. Eine neue Version würde erst wirksam, sobald dockerd das nächste Mal neu gestartet wird, zum Beispiel bei einem Neustart des Servers. Auch das ist abgeleitet.

Was noch offen ist

Ich sehe drei Möglichkeiten. Erstens nichts tun. Zweitens live-restore einschalten: Das braucht einen einmaligen Neustart von Docker, mit einem kurzen Ausfall in einem Fenster, das ich selbst wähle. Drittens drei Pakete der Container-Laufzeit auf eine Sperrliste setzen (Blacklist): Dann kämen Sicherheitsupdates für diese Pakete nur noch von Hand, in einem Fenster. Entschieden ist noch nichts.

Stand: 1. November 2026

Zum Schluss

Automatische Updates nehmen mir Arbeit ab, ich bestimme aber nicht mehr, wann genau etwas passiert. Darum steht hier, was ich geprüft habe und was nicht.