Auf Systemen, die auf Red Hat Enterprise Linux basieren (AlmaLinux, Rocky Linux, CloudLinux), kann der Paketmanager so konfiguriert werden, dass er ausschließlich Sicherheitspatches installiert und Updates, die Fehlerbehebungen oder neue Funktionen enthalten, auslässt. Dies ist nützlich, wenn Sie auf einem Produktionsserver Sicherheitslücken mit möglichst wenigen Änderungen schließen möchten.

Ab Version 8 und höher lautet der Paketmanager „dnf-re“; der Befehl „yum“ ist dort ein Alias für „dnf-re“, sodass auch die alten Befehle weiterhin funktionieren. Informationen zu Sicherheitskorrekturen (Errata) werden in den jeweiligen Versionen direkt im Paket-Repository veröffentlicht, sodass kein separates Plugin installiert werden muss.

Auflistung der verfügbaren Sicherheitsupdates

Eine Liste aller verfügbaren Support-Tickets (Sicherheits-, Fehlerbehebungs- und Entwicklungs-Tickets):

dnf updateinfo list

Nur die verfügbaren Sicherheitsupdates:

dnf updateinfo list --security

Sicherheitsupdates, zusammengefasst nach Schweregrad (Kritisch, Wichtig, Mittel, Gering):

dnf updateinfo summary

Auf einem Testrechner, der vor etwa zwei Wochen mit einem AlmaLinux-10-Image installiert wurde:

Updates Information Summary: available
    14 Security notice(s)
         1 Critical Security notice(s)
        10 Important Security notice(s)
         3 Moderate Security notice(s)

Der Befehl „dnf updateinfo list --security“ zeigt zeilenweise die ID des Support-Tickets, den Schweregrad und das Paket an, zum Beispiel „ALSA-2026:88455 Critical/Sec. ca-certificates-…“ (unter AlmaLinux beginnen die IDs mit dem Präfix „ALSA-“, unter Rocky Linux mit „RLSA-“).

Detaillierte Beschreibung der einzelnen Support-Tickets, einschließlich der entsprechenden CVE-IDs:

dnf updateinfo info --security

Liste der bereits installierten Sicherheitsupdates:

dnf updateinfo list --security --installed

Installation von Sicherheitsupdates

Installation aller verfügbaren Sicherheitsupdates:

sudo dnf upgrade --security

Dadurch wird die neueste Version aller Pakete installiert, für die mindestens ein Support-Ticket vorliegt. Enthält die neueste Version weitere Korrekturen, werden diese ebenfalls installiert, und aufgrund von Abhängigkeiten kann sich die Versionsnummer des Systems geringfügig erhöhen (beispielsweise von 9.5 auf 9.6).

Wenn Sie nur die kleinste Version installieren möchten, die den Sicherheitspatch enthält, verwenden Sie bitte Folgendes:

sudo dnf upgrade-minimal --security

Behebung einer bestimmten Sicherheitslücke anhand der CVE-ID oder des Support-Tickets:

sudo dnf upgrade --cve CVE-2026-12345
sudo dnf upgrade --advisory ALSA-2026:1234

Nur Korrekturen mit den Einstufungen „kritisch“ und „wichtig“:

sudo dnf upgrade --security --sec-severity=Critical --sec-severity=Important

Nach einem Kernel-Update wird die Korrektur erst nach einem Neustart wirksam. Der Befehl „dnf needs-restarting -r“ (aus dem Paket „dnf-plugins-core“, das standardmäßig installiert ist) gibt an, ob ein Neustart erforderlich ist. Im Test aktualisierte der Befehl „sudo dnf upgrade-minimal --security --sec-severity=Critical --sec-severity=Important“ 19 Pakete, darunter „glibc“ und den Kernel; anschließend forderte „needs-restarting -r“ einen Neustart an.

Automatische Sicherheitsupdates

Die automatische, tägliche Installation von Sicherheitsupdates erfolgt über das Paket „dnf-automatic“; die einzelnen Konfigurationsschritte werden in unserem Artikel zum Thema Systemaktualisierung beschrieben. In der Konfiguration beschränkt die Zeile „upgrade_type = security“ die Installation auf Sicherheitspatches.

Auf älteren Systemen

CentOS 7 und CloudLinux 7 erhalten keine regelmäßigen Updates mehr. Auf diesen Systemen funktionieren dieselben Befehle mit yum (yum updateinfo list security, yum update --security), doch aus Sicherheitsgründen empfiehlt es sich, den Server auf eine neuere Version zu aktualisieren oder umzuziehen.