Debian 13.6リリース:重要なセキュリティおよびUEFI修正

予測可能性と安定性の追求

安定版ディストリビューションが何よりも重視されるのは、その揺るぎない予測可能性ゆえです。Debian 13.6はこの美点を見事に体現しています。今回のリリースでは、Linuxカーネル、サーバーソフトウェア、仮想化関連機能に対する多数の修正が導入されました。2026年7月11日、Debianプロジェクトは「trixie」ことDebian 13の6回目のポイントリリースを公開しています。ただし、今回のリリースには一部予想外の要素も含まれていました。

Debian 13.6の位置づけ

Debian 13.6は、OSの新しいバージョンとして位置づけられるものではありません。これまでに公開されたセキュリティアップデートを取りまとめたものであり、加えて重大な不具合の修正と、新しいインストールメディアの提供も行っています。既存のシステムは、従来どおりAPTパッケージマネージャーを通じてシームレスにアップグレードできます。

UEFIセキュアブートに関する重要な変更

今回の最も重要な変更の一つが、UEFIセキュアブートに関するものです。fwupdユーティリティがバージョン2.0.20へと更新されました。これにより、ファームウェアを通じて新しい証明書や証明書失効リストを直接インストールできるようになります。2013年以降ハードウェアメーカーに広く組み込まれてきた証明書は、すでに有効期限が切れています。ファームウェアの更新を行わない場合、新しい署名を持つ今後のブートローダーは、セキュアブートが有効なハードウェア上で起動に失敗する可能性があります。

コアサービスと仮想化基盤の強化

さらに今回のリリースでは、Apache HTTPサーバーにおける深刻な脆弱性にも対処しています。メモリ破損、任意のファイル読み取り、クロスサイトスクリプティング(XSS)、サービス拒否(DoS)といった問題の修正に成功しました。同様にCurlも強化され、リダイレクト時や特定のネットワーク操作の際に認証情報、トークン、古いCookieが意図せず漏えいすることを防いでいます。QEMUも安定版リビジョンへと更新され、仮想環境向けの重要な修正が加えられました。

広範なセキュリティパッチとGeoIPの巻き戻し

主なセキュリティ強化の対象には、Linuxカーネル、OpenSSL、Chromium、Firefox ESR、Nginx、Redis、PostgreSQL 17、Thunderbird、Wireshark、Python 3.13など、多数のパッケージが含まれます。興味深いことに、Debianは新しいGeoLiteの各バージョンに課されたライセンス制限を理由に、GeoIPデータベースを2019年12月時点の状態に巻き戻しました。そのため、リアルタイムの位置情報マッピングを必要とするシステム管理者は、GeoLiteライセンスのもとでデータを直接取得する必要があります。

管理者への当面の推奨事項

管理者の皆さんには、システムをDebian 13.6へ移行することを強く推奨します。従来どおりapt updateとapt upgradeのコマンドを実行してください。セキュアブートを利用しているシステムでは、メーカー提供のCA、KEK、DBXのアップデートを事前にインストールしておくことを強く推奨します。そうすることで、証明書移行後に起こりうる起動失敗を確実に回避できます。