#Linux & Open Source · 3 Min. Lesezeit · Tim Rinkel

UPDATE-PFLICHT! Debian 13.6 rettet JETZT deinen Secure Boot — und Bookworm bekommt sein letztes Paket

UPDATE-PFLICHT! Debian 13.6 rettet JETZT deinen Secure Boot — und Bookworm bekommt sein letztes Paket

Frisches Futter für deinen Server: Das Debian-Projekt hat am Samstag Debian 13.6 veröffentlicht — das sechste Punkt-Update der stabilen Version „Trixie“. Im Gepäck: 120 Sicherheitskorrekturen und 124 Stabilitäts-Updates, quer durch die Distribution.

Das eigentliche Highlight: Secure Boot wird gerettet

Der wichtigste Punkt versteckt sich im Kleingedruckten: Die UEFI-Secure-Boot-Zertifizierungsstelle von 2013 — auf den meisten PCs ab Werk installiert und zum Signieren von Bootloadern genutzt — ist abgelaufen. Bliebe das unbehandelt, könnten künftige Updates des signierten Shim-Bootloaders dazu führen, dass Systeme mit aktiviertem Secure Boot nicht mehr starten.

Debian 13.6 löst das elegant: Das Update bringt fwupd 2.0.20 mit, das die Secure-Boot-CA, den Key-Exchange-Key (KEK) und die Sperrliste (DBX) direkt aus dem laufenden System aktualisieren kann. Ein Firmware-Gefrickel im BIOS-Menü bleibt dir damit erspart.

Was noch drinsteckt

Die Sicherheitsupdates betreffen unter anderem den Linux-Kernel, Nginx, Redis, FFmpeg, Thunderbird, Chromium und PHP — also ziemlich genau den Werkzeugkasten, der auf Homelab-Servern und Webhosts täglich läuft. Außerdem wurde die zuletzt problematische GeoIP-Datenbank zurückgerollt. Wie immer gilt: Ein Punkt-Release ist keine neue Debian-Version, sondern aktualisiert nur Pakete — eine Neuinstallation brauchst du nicht.

Abschied von Bookworm: 12.15 ist das Finale

Parallel erschien Debian 12.15 — und das ist ein kleiner Meilenstein: Es ist das letzte reguläre Punkt-Release für „Bookworm“. Die Version wandert damit endgültig in die Obhut des LTS-Teams, das nur noch Sicherheitsupdates liefert. Wer noch produktive Bookworm-Systeme betreibt, sollte die Migration auf Trixie jetzt ernsthaft einplanen — der Umstieg per apt ist bei Debian traditionell gut dokumentiert und erprobt.

So updatest du richtig

Für bestehende Systeme reicht das bewährte Duo: sudo apt update gefolgt von sudo apt full-upgrade — danach einmal neu starten, fertig. Prüfe anschließend mit cat /etc/debian_version, ob dein System auf 13.6 steht. Auf Proxmox-Hosts (die auf Debian aufsetzen) kommen die Pakete wie gewohnt über die Proxmox-eigenen Repositories.

Häufige Fragen

Muss ich Debian 13.6 neu installieren?
Nein. Ein Punkt-Release aktualisiert nur Pakete innerhalb der stabilen Version. Ein einfaches „apt update && apt full-upgrade“ auf einem aktuellen Spiegel-Server bringt dein System auf 13.6.
Was hat es mit dem Secure-Boot-Problem auf sich?
Die 2013 ausgestellte UEFI-Zertifizierungsstelle, mit der Bootloader signiert werden, ist abgelaufen. Ohne Gegenmaßnahme könnten künftige Bootloader-Updates auf Systemen mit aktivem Secure Boot zum Startversagen führen. Das in 13.6 enthaltene fwupd 2.0.20 kann die nötigen Zertifikate (CA, KEK, DBX) direkt aktualisieren.
Bekommt Debian 12 Bookworm noch Updates?
Ja, aber nur noch Sicherheitsupdates über das LTS-Team. Debian 12.15 war das letzte reguläre Punkt-Release. Für neue Projekte und produktive Server empfiehlt sich der Wechsel auf Debian 13 „Trixie“.
Betrifft das Update auch Proxmox?
Indirekt ja: Proxmox VE baut auf Debian auf und übernimmt dessen Basispakete über die eigenen Repositories. Die Sicherheitsfixes aus 13.6 erreichen Proxmox-Hosts also mit den regulären Proxmox-Updates.

Quellen

Kommentar hinterlassen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert