Debian 13.6 Released With Security Updates for Linux, Apache, Curl, QEMU, and More
2026/07/13 gbhackers — Debian Project が公表したのは、安定版 Debian 13 trixie ディストリビューション向けの 6 回目のアップデートである、Debian 13.6 のリリースに関する情報である。この更新は 2026年7月11日にリリースされ、セキュリティ修正や重大なバグ修正などを取り込んだものである。これは Debian の新バージョンに該当するものではない。既存のシステムに対して、更新された Debian ミラーからの標準的な APT 更新により、最新リビジョンへのアップグレードを提供するものである。
Debian 13.6 がリリース
Debian Security Advisories (DSA) を通じて以前に提供されたパッケージが、Debian 13.6 により統合される。そのため、trixie-security リポジトリから定期的に更新をインストールしているシステムにおいては、ダウンロードするパッケージ数が少なくなる。
更新されたインストーラには、この安定版リリースの修正が含まれており、Linux カーネル ABI はバージョン 6.12.94+deb13 へバンプされている。管理者は apt update && apt upgrade の実行によるシステム更新が可能である。また、新規のデプロイメントでは、更新された Debian 13.6 インストール・メディアを使用できる。
このリリースにおける重要な変更は、UEFI Secure Boot に関するものである。Debian は fwupd を upstream バージョン 2.0.20 へ更新した。これにより、Secure Boot Certificate Authority (CA)／Key Exchange Key (KEK)／禁止署名データベース (DBX) データに対する、ファームウェア仲介型の更新が可能になる。
2013 年以降に、一般的な PC にインストールされた CA は期限切れになっているため、Secure Boot が有効なシステムで将来の shim-signed 更新を適用する際には、起動継続性に潜在的な問題が生じる。
Debian がユーザーに対して推奨するのは、影響を受ける Secure Boot コンフィグへ移行する前に、OEM が提供する CA／KEK／DBX の更新をインストールすることである。
このリリースでは、Apache HTTP Server に存在する広範な脆弱性にも対処されている。そこに含まれるのは、Use-After-Free／バッファオーバーフロー／バッファアンダーライト／境界外読み取り／任意ファイル読み取り／クロスサイト・スクリプティング／サービス拒否などの欠陥である。
それに加えて Curl は、リダイレクトをまたぐ認証情報および Bearer トークンの漏洩／古い Cookie の露出／SMB の Use-After-Free 状態／STARTTLS の平文接続再利用／プロキシ認証状態の問題を修正するために更新されている。
QEMU も、新しい upstream 安定版へアップグレードされており、仮想化ワークロードに関連する多数の問題が対処されている。
さらに Debian は、2019年12月頃のバージョンへ geoip-database を差し戻した。これは、それ以降の GeoLite データベースが Debian Free Software Guidelines の下では配布できないためである。
正確な IP 割り当てと位置情報インテリジェンスに依存する組織は、GeoLite ライセンスを直接取得すべきである。現在のデータについては、Debian のリポジトリ・パッケージに依存すべきではない。
修正された主な CVE
Apache2：CVE-2026-29167／CVE-2026-48913／CVE-2026-29170／CVE-2026-34355／CVE-2026-34356／CVE-2026-42536／CVE-2026-42535／CVE-2026-44186／CVE-2026-49975／CVE-2026-43951／CVE-2026-44185／CVE-2026-44119／CVE-2026-44631
Curl：CVE-2025-14524／CVE-2026-3783／CVE-2025-14819／CVE-2026-1965／CVE-2026-3784／CVE-2026-5545／CVE-2026-4873／CVE-2026-3805／CVE-2026-5773／CVE-2026-6253／CVE-2026-6429／CVE-2026-6276／CVE-2026-7168
QEMU：CVE-2024-6519／CVE-2026-2243／CVE-2026-3195／CVE-2026-3196／CVE-2026-3842／CVE-2026-3886／CVE-2026-3890／CVE-2026-41435 から CVE-2026-41440／CVE-2026-5744／CVE-2026-5761／CVE-2026-5763／CVE-2026-6502／CVE-2026-8341／CVE-2026-48002 から CVE-2026-48004／CVE-2026-48914／CVE-2026-48915／CVE-2026-6425／CVE-2026-8343
Linux カーネル：署名済み AMD64 および ARM64 カーネルパッケージの更新とともに、複数の Debian セキュリティ・アドバイザリを通じて更新された。
その他の影響を受けるソフトウェア：dcmtk／dhcpcd／giflib／libxml2／mutt／python3.13／rsync／sshfs-fuse／xz-utils／wireshark／OpenSSL／Chromium／Firefox ESR／Nginx／Redis／PostgreSQL 17／Thunderbird などが、セキュリティ関連の更新を受けている。
訳者後書：長期間にわたり運用されている Debian 13.6 未満では、ビルトインされている古い電子証明書が有効期限を迎えてしまい、システムの安全な起動を検証する仕組みが正常に動かなくなる恐れがあります。この影響により、対象の OS を搭載した機器において、将来的なプログラムの更新時にシステムが起動不能になるという深刻な事態につながる可能性があります。対応策として、各ハードウェアのメーカーが提供する最新のファームウェア更新を適用し、システム内の鍵情報をあらかじめ新しくしておくことが重要になります。合わせて、搭載される Apache2 などの Web サーバについても、情報漏洩や機能停止を招く CVE-2026-29167 などの脆弱性が解消されています。速やかなパッケージ適用が推奨されています。
IoT OT Security News 
You must be logged in to post a comment.