Atualizações automáticas de segurança na VPS Ubuntu com unattended-upgrades

Comente! ,

Tempo de leitura: 3 minutos

A maior parte das invasões em servidores Linux não usa nenhuma técnica sofisticada. Elas exploram falhas que já foram corrigidas há semanas, em pacotes que o dono da VPS simplesmente esqueceu de atualizar. O unattended-upgrades resolve isso: ele instala as correções de segurança automaticamente, todos os dias, sem você precisar entrar no servidor.

Uma VPS bem cuidada começa com o básico rodando sozinho. Se você ainda não tem onde rodar isso, a Cloud VPS Brasil já entrega o servidor pronto.

O que o unattended-upgrades faz

É um pacote oficial do Debian e do Ubuntu que roda uma vez por dia, verifica se existem atualizações e instala apenas as origens que você permitir. Por padrão, ele aplica somente as atualizações de segurança, o que reduz muito o risco de uma atualização quebrar a sua aplicação.

Passo 1: instalar o pacote

Em muitas imagens do Ubuntu ele já vem instalado. Para garantir:

sudo apt update
sudo apt install unattended-upgrades apt-listchanges -y

Depois ative o agendamento diário:

sudo dpkg-reconfigure -plow unattended-upgrades

Responda Sim na tela que aparecer. Isso cria o arquivo /etc/apt/apt.conf.d/20auto-upgrades com o seguinte conteúdo:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Passo 2: conferir quais origens serão atualizadas

A configuração principal fica em /etc/apt/apt.conf.d/50unattended-upgrades. Abra o arquivo:

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

No bloco Unattended-Upgrade::Allowed-Origins, deixe ativa a linha que termina em -security. As outras (como -updates) podem continuar comentadas com // se você prefere atualizar o resto manualmente, com calma.

Passo 3: decidir sobre o reinício automático

Algumas correções, principalmente do kernel, só passam a valer depois de reiniciar. Você tem duas opções:

  • Reiniciar sozinho num horário calmo: bom para servidores que aguentam um minuto fora do ar de madrugada.
  • Não reiniciar e ser avisado: melhor para aplicações críticas, em que você escolhe a hora.

Para reiniciar automaticamente às 4h da manhã, ajuste estas linhas no mesmo arquivo:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

Quando um reinício estiver pendente, o arquivo /var/run/reboot-required existe. Dá para conferir assim:

ls /var/run/reboot-required

Passo 4: receber o resumo por e-mail

Se a VPS consegue enviar e-mail, preencha:

Unattended-Upgrade::Mail "[email protected]";
Unattended-Upgrade::MailReport "only-on-error";

Com only-on-error você só recebe mensagem quando algo dá errado, sem lotar a caixa de entrada.

Passo 5: testar antes de confiar

Rode uma simulação para ver o que seria instalado:

sudo unattended-upgrade --dry-run --debug

E acompanhe o histórico real em:

cat /var/log/unattended-upgrades/unattended-upgrades.log

Boas práticas

  • Mantenha backup em dia. Atualização automática reduz risco, mas não substitui cópia de segurança.
  • Exclua pacotes sensíveis da atualização automática com Unattended-Upgrade::Package-Blacklist, por exemplo uma versão de banco de dados que você quer controlar.
  • Combine com outras camadas: firewall com UFW e bloqueio de força bruta com Fail2ban.

Servidor atualizado, servidor estável

Com o unattended-upgrades ligado, a sua VPS se protege sozinha das falhas mais comuns e você ganha tempo para cuidar do projeto. Na Cloud VPS Brasil você conta com Intel Xeon Gold, SSD NVMe, baixa latência, tráfego ilimitado, preço fixo em reais e suporte humano via WhatsApp e ticket. Fale com a equipe pelo WhatsApp e escolha o plano ideal para o seu projeto.

Artigos relacionados