Debian 11 Bullseye остался без обновлений безопасности: LTS закончился

Команда Debian LTS 31 августа объявила о конце поддержки Debian 11 Bullseye. Дистрибутив вышел 14 августа 2021 года, три года его сопровождали основные команды Debian, ещё два — команда LTS из волонтёров и заинтересованных компаний. С сентября Debian не выпускает для него обновлений безопасности: новая уязвимость в ядре, OpenSSL, nginx или PostgreSQL из репозиториев Bullseye исправления от проекта Debian не получит; для части пакетов остаётся платный Extended LTS сторонних компаний.

Практическая проблема в том, что Bullseye — не экзотика. Это образы VPS у хостеров, базовые слои Docker-образов, которые никто не пересобирал два года, и «тот сервер, который просто работает». Задача на сентябрь простая: найти их все и решить, куда переезжать.

Чем LTS отличается от обычной поддержки

Стабильный выпуск Debian живёт три года под присмотром команд Security и Release. После этого дистрибутив передают в LTS — проект, который ведут волонтёры и заинтересованные компании, а не основные команды Debian; так описывает его вики проекта. LTS добавляет ещё два года обновлений безопасности, но уже не для всех архитектур и не для всех пакетов. Для Bullseye этот срок закончился.

Starting in September, Debian will not provide further security updates for Debian 11.

Debian LTS Teamобъявление о конце поддержки (перевод: «Начиная с сентября Debian не будет предоставлять обновления безопасности для Debian 11»)

После LTS есть ещё одна ступень — Extended LTS. Это не часть Debian: несколько компаний за деньги продолжают чинить ограниченный набор пакетов для клиентов, которым переезд обходится дороже. Полного покрытия там нет, и рассчитывать на него как на бесплатную отсрочку не стоит.

Где искать Bullseye у себя

Три типичных места. Первое: старые VPS и физические серверы, поставленные в 2021–2023 годах. Второе: Docker-образы с базой debian:bullseye, python:3.x-bullseye или node:xx-bullseye, которые собраны один раз и с тех пор только тегаются заново. Третье: встроенные системы и Raspberry Pi, где Raspberry Pi OS на базе Bullseye стоял по умолчанию до конца 2023 года.

			# на сервере
cat /etc/debian_version        # 11.x — пора переезжать

# в образах: найти все Dockerfile с bullseye в репозиториях
grep -rn --include=Dockerfile -i bullseye .

# что уже крутится в кластере
docker ps --format '{{.Image}}' | sort -u | grep -i bullseye
		

Куда обновляться

Прямого пути с 11 на 13 нет: Debian поддерживает обновление только на следующий мажорный выпуск. Значит, сначала bullseye на bookworm, потом при желании bookworm на trixie. Debian 12 Bookworm — безопасный промежуточный вариант: у него LTS до 30 июня 2028 года, а из архитектур в LTS заявлены amd64, i386, arm64, armhf и ppc64el. Для второго шага есть отдельные release notes Trixie. Для Docker-образов проще: сменить тег базового образа на bookworm или trixie и пересобрать.

• Сделайте снимок или бэкап, затем apt update && apt full-upgrade в текущей версии, чтобы уйти с чистой точки.
• Сторонние репозитории (Docker, PostgreSQL, nginx) перед обновлением отключите, как советуют release notes, а после перехода подключите их версии для bookworm.
• Замените bullseye на bookworm в /etc/apt/sources.list и файлах в sources.list.d; для Bookworm секция non-free-firmware добавляется отдельно.
• apt update && apt upgrade --without-new-pkgs, затем apt full-upgrade, перезагрузка, проверка сервисов.
• В CI запретите тег bullseye в базовых образах линтером Dockerfile, чтобы он не вернулся через полгода.

Любое зеркало Debian продолжит раздавать пакеты Bullseye, но новых обновлений безопасности от проекта в них не появится, так что «репозиторий работает» не означает «сервер защищён». При заказе нового VPS выбирайте образы Debian 12 или 13, если хостер ещё предлагает 11.

Что дальше

Следующий такой рубеж — 30 июня 2028 года, когда закончится LTS у Bookworm, то есть меньше чем через два года. Если вы переезжаете сейчас, разумно сразу планировать повтор процедуры к этой дате и держать обновление ОС в регулярном графике, а не как аварийную операцию раз в пять лет.

Источники: Debian 11 Long Term Support reaching end-of-life (Debian News), Debian LTS Wiki, Release notes Debian 12: upgrading

Изображение на обложке: Debian Project