Appliquer les mises à jour de sécurité

Une mise à jour de sécurité corrige une faille déjà connue. Retarder son application revient à laisser ouverte une porte dont la clé circule publiquement. Sur un VPS NeoHeberg, le noyau est géré par la plateforme : les paquets système se mettent à jour dans le conteneur, mais le noyau reste commun.

Mettre à jour les paquets Debian

Debian publie les correctifs dans le dépôt security.debian.org. Un apt update seul rafraîchit les index ; il n'installe rien.

sudo apt update
apt list --upgradable
sudo apt upgrade

apt list --upgradable montre ce qui sera installé et depuis quel dépôt. apt upgrade installe les nouvelles versions sans supprimer de paquet ; apt full-upgrade peut en retirer ou remplacer, ce qui se prépare avec une sauvegarde. Simulez toujours avant une intervention en production :

sudo apt-get -s upgrade

Lisez ensuite les changements importants avec apt changelog openssh-server avant de valider un service critique.

Noyau et redémarrage dans un conteneur

Dans un conteneur système, uname -r renvoie le noyau commun de la plateforme. Une mise à jour de linux-image-* dans le conteneur ne changera pas le noyau actif, même après redémarrage, et vous ne pouvez pas charger de module. Les failles du noyau sont traitées par la plateforme ; votre travail porte sur les bibliothèques et les services.

Un redémarrage reste nécessaire après une mise à jour de glibc, OpenSSL, systemd ou OpenSSH, car les processus utilisent encore l'ancienne bibliothèque en mémoire. Vérifiez-le avec :

cat /var/run/reboot-required 2>/dev/null
sudo needrestart -r l

Planifiez ce redémarrage dans une fenêtre courte, après sauvegarde, et vérifiez les services au retour.

Automatiser les correctifs de sécurité

Le paquet unattended-upgrades installe automatiquement les mises à jour de sécurité. Activez-le et limitez son périmètre aux dépôts de sécurité :

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades

La configuration se trouve dans /etc/apt/apt.conf.d/50unattended-upgrades et l'activation dans 20auto-upgrades. Laissez le redémarrage automatique désactivé et choisissez votre fenêtre : un serveur qui redémarre seul au mauvais moment est aussi gênant qu'un serveur non patché. Les journaux sont dans /var/log/unattended-upgrades/.

Sur l'hébergement web KeyHelp, PHP et les composants système sont mis à jour par la plateforme ; vous restez responsable des extensions, thèmes et plugins de votre site.

Dépendances applicatives

Les paquets système ne couvrent pas le code de votre application :

• PHP : apt met à jour PHP 8.4 et ses extensions, puis sudo systemctl reload php8.4-fpm recharge le service. Les dépendances Composer se mettent à jour avec composer audit puis composer update --with-dependencies dans un environnement testé.
• Node.js : le runtime est fourni par la plateforme, mais vos dépendances sont dans le package.json. Utilisez npm audit, mettez à jour avec un lockfile versionné et redéployez. Évitez npm audit fix --force, qui peut casser une API.
• WordPress : le cœur, les thèmes et les plugins ont leur propre cycle ; une mise à jour de PHP ne les corrige pas.

Vérifier après l'intervention

1. systemctl --failed ne doit signaler aucune unité en échec.
2. journalctl -p err -b relève les erreurs depuis le dernier démarrage.
3. ss -tulpn confirme que les services attendus écoutent toujours.
4. Le site répond en HTTP et HTTPS, y compris en IPv6.
5. apt list --upgradable ne montre plus de correctif de sécurité en attente.

Conservez une sauvegarde avant toute montée de version majeure et ne mélangez pas mise à jour de sécurité et changement de version dans la même fenêtre.