Автообновления VPS закрывают дыры без ручного
apt upgradeкаждый день.
apt update
apt install -y unattended-upgrades apt-listchanges
dpkg-reconfigure -plow unattended-upgrades
По умолчанию ставятся security-обновления. Конфиг: /etc/apt/apt.conf.d/50unattended-upgrades.
unattended-upgrades --dry-run --debug
После обновлений ядра может понадобиться reboot.