Ubuntu Sunucularda Otomatik Güvenlik Güncellemeleri

Son Güncelleme: Ağustos 2026

Ubuntu sunucularda otomatik güvenlik güncellemeleri, sistemin kritik açıklarını zamanında kapatmak ve saldırı yüzeyini azaltmak için kullanılan önemli bir yönetim pratiğidir. Özellikle VPS, VDS, bulut sunucu ve kiralık sunucu ortamlarında manuel güncelleme takibinin aksaması; web uygulamaları, veritabanları, SSH servisleri ve kontrol panelleri için ciddi riskler oluşturabilir.

Bu rehberde unattended-upgrades aracı ile otomatik güvenlik yamalarının nasıl yapılandırılacağını, hangi paketlerin güncelleneceğini, otomatik yeniden başlatma politikasını, log takibini ve üretim ortamları için güvenli uygulama önerilerini detaylı şekilde ele alacağız.

İçindekiler

• Otomatik Güvenlik Güncellemesi Nedir?
• Unattended Upgrades Nasıl Çalışır?
• Kurulum ve İlk Yapılandırma
• Paket Politikaları ve Güncelleme Kapsamı
• Yeniden Başlatma Yönetimi
• Log İzleme ve Test Komutları
• Güvenlik ve Operasyon Önerileri
• Pratik Kullanım Senaryoları
• Yaygın Sorunlar ve Çözümleri
• Sıkça Sorulan Sorular
• Sonuç

Otomatik Güvenlik Güncellemesi Nedir?

Otomatik güvenlik güncellemesi, işletim sisteminin güvenlik yamalarını belirlenen politika doğrultusunda kullanıcı müdahalesi olmadan indirip kurmasıdır. Ubuntu tabanlı sunucularda bu iş için en yaygın kullanılan araç unattended-upgrades paketidir. Araç, sistemdeki paket kaynaklarını kontrol eder, güvenlik deposundan gelen güncellemeleri ayıklar ve uygun paketleri otomatik olarak kurar.

Bir sunucuda sadece uygulama kodunun güvenli olması yeterli değildir. Linux çekirdeği, OpenSSH, OpenSSL, libc, systemd, sudo, nginx, apache, php, veritabanı istemcileri ve ağ kütüphaneleri gibi bileşenlerde zaman zaman güvenlik açıkları ortaya çıkabilir. Bu açıklar hızlı kapatılmadığında saldırganlar tarafından yetki yükseltme, uzaktan kod çalıştırma, servis dışı bırakma veya veri sızdırma amacıyla kullanılabilir.

Otomatik güncelleme yaklaşımı, özellikle küçük ekiplerin yönettiği sunucularda güvenlik seviyesini artırır. Ancak üretim ortamlarında her paketin otomatik güncellenmesi doğru olmayabilir. Bu nedenle ideal yapılandırma, güvenlik yamalarını otomatik, büyük sürüm değişikliklerini ise kontrollü bakım penceresinde uygulamaktır.

Manuel Güncelleme ile Otomatik Güncelleme Arasındaki Fark

Unattended Upgrades Nasıl Çalışır?

unattended-upgrades, Ubuntu sistemlerde apt paket yöneticisi ile birlikte çalışır. Temel mantık, belirlenen kaynaklardan gelen güncellemeleri listelemek, politika dosyasında izin verilen paketleri tespit etmek ve bunları otomatik olarak kurmaktır. Çalışma zamanı genellikle systemd zamanlayıcıları ve apt-daily görevleriyle yönetilir.

Bu mekanizma, güncellemeleri rastgele bir anda yapmaz. Ubuntu sistemlerde günlük paket listesi yenileme ve otomatik yükseltme işlemleri için zamanlayıcılar bulunur. Bu zamanlayıcılar sayesinde aynı anda çok sayıda sunucunun paket deposuna yük bindirmesi de azaltılır. Sunucu yöneticisi isterse bu zamanlamayı ayrıca özelleştirebilir.

Temel Bileşenler

• unattended-upgrades: Otomatik paket yükseltme işlemini gerçekleştiren ana araçtır.
• apt: Paketlerin indirilmesi, kurulması ve bağımlılıkların yönetilmesini sağlar.
• /etc/apt/apt.conf.d/50unattended-upgrades: Hangi depolardan güncelleme alınacağını ve hangi paketlerin hariç tutulacağını belirleyen ana yapılandırma dosyasıdır.
• /etc/apt/apt.conf.d/20auto-upgrades: Otomatik güncellemenin aktif olup olmadığını belirleyen temel ayar dosyasıdır.
• apt-daily.timer ve apt-daily-upgrade.timer: Güncelleme kontrollerinin ne zaman çalışacağını belirleyen zamanlayıcılardır.

Bu yapı, Linux sunucularda güvenlik operasyonlarını otomatikleştirirken aynı zamanda denetlenebilir bir kayıt mekanizması sunar. Log dosyaları sayesinde hangi paketin ne zaman güncellendiğini takip etmek mümkündür.

Kurulum ve İlk Yapılandırma

Ubuntu sunucuların önemli bir bölümünde unattended-upgrades paketi varsayılan olarak kurulu gelebilir. Yine de sistemde mevcut olup olmadığını kontrol etmek ve yoksa kurmak en sağlıklı yöntemdir. İşleme başlamadan önce root yetkisine veya sudo kullanabilen bir yönetici hesabına sahip olmanız gerekir.

Paketin Kurulması

sudo apt update
sudo apt install unattended-upgrades apt-listchanges -y

apt-listchanges paketi zorunlu değildir ancak güncellenen paketlerle ilgili değişiklik notlarını takip etmek için faydalıdır. Özellikle üretim sunucularında hangi paketlerin ne tür değişiklikler içerdiğini görmek bakım süreçlerini kolaylaştırır.

Otomatik Güncellemeyi Etkinleştirme

sudo dpkg-reconfigure unattended-upgrades

Komutu çalıştırdıktan sonra ekranda otomatik güncellemelerin etkinleştirilip etkinleştirilmeyeceği sorulur. Evet seçildiğinde sistem gerekli temel yapılandırmayı oluşturur. Alternatif olarak dosya elle düzenlenebilir:

sudo nano /etc/apt/apt.conf.d/20auto-upgrades

Dosyanın temel içeriği aşağıdaki gibi olmalıdır:

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Unattended-Upgrade "1";

Buradaki Update-Package-Lists değeri paket listelerinin günlük olarak yenileneceğini, Unattended-Upgrade değeri ise uygun güncellemelerin otomatik kurulacağını ifade eder. Değerin 1 olması aktif, 0 olması pasif anlamına gelir.

Servis ve Zamanlayıcı Kontrolü

Yapılandırmadan sonra ilgili zamanlayıcıların aktif olup olmadığını kontrol etmek gerekir:

systemctl status apt-daily.timer
systemctl status apt-daily-upgrade.timer

Zamanlayıcıları listelemek için şu komut kullanılabilir:

systemctl list-timers | grep apt

Bu çıktı, güncelleme görevlerinin son çalışma ve sonraki çalışma zamanlarını gösterir. Böylece otomatik güncellemenin gerçekten planlandığından emin olabilirsiniz.

Paket Politikaları ve Güncelleme Kapsamı

Otomatik güncellemelerde en önemli konu, hangi paketlerin otomatik kurulacağıdır. Ubuntu sunucularda tavsiye edilen yaklaşım, öncelikle güvenlik deposu kaynaklı yamaları otomatik uygulamaktır. Standart güncellemeler, yeni özellikler veya davranış değişikliği içerebileceği için bazı ortamlarda manuel onay gerektirebilir.

Ana Yapılandırma Dosyası

sudo nano /etc/apt/apt.conf.d/50unattended-upgrades

Bu dosyada Allowed-Origins bölümü hangi depolardan gelen paketlerin otomatik güncelleneceğini belirler. Tipik güvenlik odaklı yapılandırma aşağıdaki mantığa benzer:

Unattended-Upgrade::Allowed-Origins {
        "${distro_id}:${distro_codename}-security";
};

Bu ayar, sistemin yalnızca güvenlik deposundan gelen paketleri otomatik yükseltmesini sağlar. Eğer standart güncellemeleri de otomatik almak istiyorsanız ${distro_codename}-updates kaynağı eklenebilir; ancak üretim sistemlerinde bu karar test sürecinden sonra verilmelidir.

Paketleri Hariç Tutma

Bazı paketlerin otomatik güncellenmesi uygulama uyumluluğunu etkileyebilir. Örneğin belirli bir PHP sürümüne, özel bir veritabanı istemcisine veya uygulamanızın test edilmemiş bir bağımlılığına bağlıysanız ilgili paketleri geçici olarak hariç tutabilirsiniz.

Unattended-Upgrade::Package-Blacklist {
        "nginx";
        "php*";
        "mysql-server";
};

Bu örnekte nginx, php* ve mysql-server paketleri otomatik güncelleme dışında bırakılmıştır. Ancak bu yaklaşım dikkatli kullanılmalıdır. Kritik güvenlik yamaları da hariç kalabileceği için kara listeye alınan paketler manuel olarak düzenli kontrol edilmelidir.

Gereksiz Paketleri Temizleme

Eski çekirdek paketleri ve kullanılmayan bağımlılıklar zamanla disk alanını tüketebilir. Otomatik temizleme ayarı, özellikle küçük disk alanına sahip VPS sistemlerinde faydalıdır:

Unattended-Upgrade::Remove-Unused-Dependencies "true";
Unattended-Upgrade::Remove-New-Unused-Dependencies "true";

Disk alanı yönetimi, güncelleme sürecinin görünmeyen ama kritik parçasıdır. Paket kurulumu sırasında disk dolarsa sistem yarım yapılandırılmış paketlerle kalabilir. Bu nedenle düzenli yedekleme ve disk izleme politikası oluşturmak önemlidir. Kritik sistemlerde Corelux Yedekleme Hizmeti ile otomasyon süreçleri daha güvenli hale getirilebilir.

Yeniden Başlatma Yönetimi

Bazı güvenlik güncellemeleri yalnızca paket kurulumu ile tamamen aktif hale gelmez. Özellikle Linux çekirdeği, libc, systemd veya bazı düşük seviye kütüphaneler güncellendiğinde sistemin yeniden başlatılması gerekebilir. Bu noktada otomatik yeniden başlatma politikasının dikkatli belirlenmesi gerekir.

Otomatik Yeniden Başlatma Ayarı

50unattended-upgrades dosyasında aşağıdaki ayar kullanılabilir:

Unattended-Upgrade::Automatic-Reboot "false";

false değeri, paketler güncellense bile sunucunun kendiliğinden yeniden başlatılmayacağı anlamına gelir. Bu ayar üretim ortamları için genellikle daha güvenlidir. Ancak tek başına yeterli değildir; yeniden başlatma gerektiğinde yöneticinin haberdar olması gerekir.

Otomatik yeniden başlatma istiyorsanız bakım saatini tanımlayabilirsiniz:

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:30";

Bu örnekte gerekli olması halinde sistem saat 04:30 civarında yeniden başlatılır. Web sitesi trafiğinin düşük olduğu saatler tercih edilmelidir. E-ticaret, muhasebe, çağrı merkezi veya API altyapılarında bu karar mutlaka operasyon planına göre verilmelidir.

Yeniden Başlatma Gerekip Gerekmediğini Kontrol Etme

if [ -f /var/run/reboot-required ]; then
  cat /var/run/reboot-required
fi

Kurumsal ortamlarda bu kontrol, izleme sistemi veya bakım betikleri ile otomatik hale getirilebilir. Birden fazla sunucu yönetiyorsanız yeniden başlatmaları aynı anda yapmak yerine kademeli planlamak daha güvenlidir.

Log İzleme ve Test Komutları

Otomatik sistemlerde en sık yapılan hata, kurulumdan sonra süreci hiç kontrol etmemektir. Oysa otomasyon denetlenebilir olmalıdır. Hangi paketin güncellendiği, güncellemenin başarılı olup olmadığı ve hata oluşup oluşmadığı düzenli incelenmelidir.

Unattended Upgrades Logları

sudo less /var/log/unattended-upgrades/unattended-upgrades.log

Daha detaylı çıktı için şu dosya incelenebilir:

sudo less /var/log/unattended-upgrades/unattended-upgrades-dpkg.log

Bu loglar, paketlerin indirilmesi, kurulması, yapılandırılması ve olası hatalar hakkında bilgi verir. Ayrıca /var/log/apt/history.log dosyası genel paket geçmişini görmek için kullanılabilir.

Test Modunda Çalıştırma

Gerçek kurulum yapmadan önce yapılandırmanın nasıl davranacağını görmek için dry-run testi yapılabilir:

sudo unattended-upgrade --dry-run --debug

Bu komut paketleri gerçekten kurmadan hangi işlemlerin yapılacağını gösterir. Özellikle yeni bir sunucu hazırlarken veya kara liste politikasını değiştirdikten sonra test modunu çalıştırmak faydalıdır.

Apt Kilidi Kontrolü

Otomatik güncelleme sırasında manuel olarak apt install veya apt upgrade çalıştırırsanız kilit çakışması yaşanabilir. Bu durumda aceleyle kilit dosyalarını silmek yerine önce aktif işlemleri kontrol etmek gerekir:

ps aux | grep -E 'apt|dpkg|unattended'

Aktif bir güncelleme işlemi varsa tamamlanmasını beklemek en güvenli yoldur. Yarım kalan işlemlerde ise paket veritabanı onarımı gerekebilir.

Güvenlik ve Operasyon Önerileri

Otomatik güncelleme tek başına tam güvenlik sağlamaz; ancak sağlam bir sunucu güvenliği stratejisinin önemli bir katmanıdır. Güncelleme yönetimi, erişim güvenliği, yedekleme, izleme, güvenlik duvarı, uygulama sertleştirme ve olay müdahale süreçleriyle birlikte düşünülmelidir.

• Önce yedekleme: Otomatik güncellemeleri etkinleştirmeden önce düzenli yedekleme politikanız olduğundan emin olun.
• Güvenlik deposuna odaklanın: Üretim ortamlarında öncelikle sadece güvenlik güncellemelerini otomatikleştirin.
• Bakım penceresi tanımlayın: Yeniden başlatma gerektiren yamalar için düşük trafik saatlerini belirleyin.
• Logları izleyin: Güncelleme loglarını haftalık olarak kontrol edin veya merkezi log sistemine gönderin.
• Kritik servisleri test edin: Güncelleme sonrası web sunucusu, veritabanı, SSH, cron görevleri ve uygulama servislerinin çalıştığını doğrulayın.
• Paket kara listesini abartmayın: Çok fazla paketi hariç tutmak otomatik güncellemenin güvenlik faydasını azaltır.
• Staging ortamı kullanın: Büyük yapılarda güncellemeleri önce test sunucusunda deneyin.

Eğer yeni bir proje için izole ve yönetilebilir bir altyapı planlıyorsanız Corelux Sanal Sunucu çözümleri üzerinde otomatik güncelleme politikalarını kolayca uygulayabilirsiniz. Daha yüksek donanım izolasyonu ve özel kaynak ihtiyacı olan projelerde ise Kiralık Sunucu seçenekleri tercih edilebilir.

Bildirim Mekanizması Kurmak

Güncellemelerden sonra e-posta bildirimi almak isterseniz yapılandırma dosyasında ilgili bildirim ayarları kullanılabilir. Bunun için sunucuda çalışan bir posta gönderim yapılandırması gerekir.

Unattended-Upgrade::Mail "admin@example.com";
Unattended-Upgrade::MailReport "on-change";

on-change değeri, yalnızca bir değişiklik olduğunda bildirim gönderilmesini sağlar. E-posta altyapısı olmayan sunucularda bu bildirim yerine log takip sistemi, izleme aracı veya özel webhook betikleri kullanılabilir.

Pratik Kullanım Senaryoları

Otomatik güvenlik güncellemeleri her sunucuda aynı şekilde uygulanmamalıdır. Sunucunun görevi, trafik yoğunluğu, uygulama mimarisi ve yedekleme stratejisi politika seçiminde belirleyici olmalıdır.

Senaryo 1: Küçük İşletme Web Sitesi

Bir kurumsal tanıtım sitesi veya düşük trafikli WordPress sitesi için güvenlik güncellemelerinin otomatik yapılması çoğu zaman avantajlıdır. Bu tip yapılarda manuel bakım genellikle düzenli yapılmadığı için otomasyon güvenlik açığı penceresini daraltır. Ancak PHP, web sunucusu ve veritabanı paketleri güncellendikten sonra sitenin çalıştığını kontrol edecek basit bir izleme mekanizması kurulmalıdır.

Senaryo 2: E-Ticaret Sunucusu

E-ticaret sistemlerinde kesinti maliyeti yüksek olabilir. Bu nedenle sadece güvenlik depoları otomatikleştirilmeli, otomatik yeniden başlatma kapalı tutulmalı ve yeniden başlatma işlemleri bakım penceresinde yapılmalıdır. Sipariş, ödeme, stok ve kargo entegrasyonları güncelleme sonrasında test edilmelidir.

Senaryo 3: API ve Mikroservis Altyapısı

API sunucularında birden fazla instance varsa güncellemeler kademeli uygulanmalıdır. Önce bir sunucu güncellenir, sağlık kontrolü yapılır, ardından diğer sunucular sırayla güncellenir. Bu yaklaşım kesinti riskini azaltır. Tek sunuculu API yapılarında ise bakım penceresi ve hızlı geri dönüş planı mutlaka bulunmalıdır.

Senaryo 4: Geliştirme ve Test Sunucusu

Geliştirme sunucularında standart güncellemelerin de otomatik kurulması kabul edilebilir. Hatta üretimden önce uyumluluk sorunlarını erken görmek için test ortamları daha agresif güncelleme politikasıyla çalıştırılabilir. Ancak test ortamı ile üretim ortamının paket sürümleri tamamen kopuk hale gelmemelidir.

Yaygın Sorunlar ve Çözümleri

Otomatik güncelleme sistemi genellikle kararlı çalışır; ancak paket kilitleri, bozuk bağımlılıklar, disk doluluğu veya yanlış yapılandırma gibi durumlarda müdahale gerekebilir. Aşağıdaki adımlar temel sorun giderme için kullanılabilir.

Paket Veritabanını Onarma

sudo dpkg --configure -a
sudo apt install -f

Bu komutlar yarım kalmış paket yapılandırmalarını tamamlamaya ve bozuk bağımlılıkları düzeltmeye yardımcı olur.

Disk Alanını Kontrol Etme

df -h
sudo apt autoremove --purge
sudo apt clean

Güncelleme sırasında disk dolması, özellikle eski çekirdek paketlerinin biriktiği sistemlerde görülebilir. apt autoremove kullanılmayan paketleri temizlerken apt clean indirilen paket önbelleğini temizler.

Otomatik Güncellemenin Devre Dışı Bırakılması

Geçici bakım sırasında otomatik güncellemeyi kapatmak gerekebilir. Bunun için 20auto-upgrades dosyasında değerler 0 yapılabilir:

APT::Periodic::Update-Package-Lists "0";
APT::Periodic::Unattended-Upgrade "0";

Bakım tamamlandıktan sonra bu değerlerin tekrar 1 yapılması unutulmamalıdır. Kalıcı olarak kapatmak, güvenlik açıklarının uzun süre yamalanmadan kalmasına neden olabilir.

Yapılandırma Hatalarını Tespit Etme

sudo unattended-upgrade --dry-run --debug

Bu komut, yazım hataları, izin verilen depo eşleşmeleri ve hariç tutulan paketlerle ilgili ayrıntılı çıktı sağlar. Yapılandırma dosyasında tırnak, noktalı virgül veya süslü parantez eksikliği sık görülen hatalardandır.

Sıkça Sorulan Sorular

Sonuç

Ubuntu sunucularda otomatik güvenlik güncellemeleri, güncel ve güvenli bir altyapı için güçlü bir savunma katmanıdır. unattended-upgrades ile güvenlik yamalarını otomatik uygulayabilir, paket kapsamını sınırlandırabilir, yeniden başlatma politikasını belirleyebilir ve loglar üzerinden süreci denetleyebilirsiniz.

En iyi sonuç için otomatik güncelleme; düzenli yedekleme, izleme, bakım penceresi, test ortamı ve erişim güvenliğiyle birlikte ele alınmalıdır. Yeni projelerinizde yönetilebilir ve esnek bir altyapı arıyorsanız Corelux Linux Hosting, Türkiye VDS Sunucu ve Bulut Sunucu hizmetleriyle güvenli, ölçeklenebilir ve performans odaklı çözümlerden yararlanabilirsiniz.