Actualizar FreeBSD: freebsd-update para el sistema base, pkg upgrade para los paquetes y pkg audit para las vulnerabilidades conocidas

Objetivo

Aplicar parches de seguridad y actualizaciones de paquetes a un host FreeBSD 14.x, realizar una actualización de versión mayor, y comprobar los paquetes instalados frente a vulnerabilidades conocidas antes o después de cualquiera de las dos operaciones.

Requisitos previos

Acceso root; las actualizaciones binarias existen solo para compilaciones RELEASE (y ALPHA/BETA/RC) en arquitecturas admitidas, no para sistemas compilados desde el código fuente; para una actualización de versión, una ventana de mantenimiento con al menos un reinicio y, según el FreeBSD Handbook, una copia de seguridad completa realizada de antemano.

Pasos

1. Aplicar parches al sistema base (el kernel y los binarios del espacio de usuario, no los paquetes de terceros): freebsd-update fetch seguido de freebsd-update install. La página de manual describe freebsd-update como la herramienta «usada para obtener, instalar y revertir» actualizaciones binarias. fetch se niega a ejecutarse sin una terminal; para comprobaciones programadas, usar freebsd-update cron, que solo descarga. Si los parches afectan al kernel, el Handbook señala que el sistema necesitará un reinicio para arrancar con el kernel parcheado; en caso contrario, basta con reiniciar los demonios afectados.
2. Para un cambio de versión, aplicar primero los parches vigentes y luego ejecutar freebsd-update -r 14.3-RELEASE upgrade (sustituyendo el destino) y revisar la lista de componentes. Este paso descarga la versión y fusiona los archivos de configuración, lo que puede abrir un editor para fusiones manuales; no se ejecuta de forma desatendida. Después, freebsd-update install instala el kernel; reiniciar; ejecutar freebsd-update install de nuevo para el espacio de usuario; tras un cambio de versión mayor, reinstalar todos los paquetes (pkg-static upgrade -f) y ejecutar freebsd-update install una vez más para eliminar las bibliotecas compartidas antiguas.
3. Actualizar los paquetes de terceros instalados con independencia del sistema base: pkg update (refrescar el catálogo) y luego pkg upgrade (o pkg upgrade -y para una ejecución no interactiva). pkg-upgrade(8) describe el comando como una comparación de las versiones de los paquetes instalados «con lo disponible» en los repositorios configurados, que añade los desactualizados a una lista de trabajo; no instala paquetes nuevos salvo para satisfacer dependencias.
4. Comprobar las vulnerabilidades conocidas antes o después de actualizar: pkg audit -F. pkg-audit(8) documenta el comando como una auditoría de «los paquetes instalados frente a vulnerabilidades conocidas» que genera informes con referencias a avisos de seguridad; -F obtiene primero la base de datos de vulnerabilidades. Cualquier paquete reportado debe tratarse como prioritario para actualizar o eliminar.
5. Tener presente el estado de pkgbase antes de depender de él: la publicación del sistema base como paquetes pkg(8) comenzó en octubre de 2023, y el Handbook afirma sin rodeos que «su uso con FreeBSD 14 es actualmente experimental», y que freebsd-base(7) se convierte en vista previa tecnológica solo a partir de FreeBSD 15.0-RELEASE para la instalación y las actualizaciones menores y mayores. En FreeBSD 14.x, freebsd-update sigue siendo la vía documentada para actualizar el sistema base.

Resultado esperado

freebsd-update install termina con código 0 sin parches pendientes en la siguiente freebsd-update fetch; freebsd-version -kru muestra las versiones esperadas del kernel instalado, el kernel en ejecución y el espacio de usuario; pkg audit no reporta paquetes vulnerables instalados.

Límites y base de verificación

Una actualización de versión con freebsd-update upgrade no puede automatizarse de principio a fin por las solicitudes interactivas de fusión de configuración; conviene combinarla con un entorno de arranque ZFS (véase el artículo complementario sobre bectl) para poder revertir una actualización fallida sin restaurar desde una copia de seguridad. pkg audit comprueba los paquetes instalados; las vulnerabilidades del sistema base se gestionan mediante los avisos de seguridad de FreeBSD y freebsd-update, de modo que un pkg audit limpio no demuestra que el sistema base esté parcheado.