---
title: "Kernel live patching på Debian, Ubuntu og RHEL i 2026"
description: "Sådan virker kernel live patching, hvad det ikke kan rette, og de reelle muligheder pr. distribution i 2026, bl.a. hvorfor Debian ikke har egne live patches."
source: "https://wardio.net/da/guides/kernel-live-patching/"
---

**Patching**

# Kernel live patching på Debian, Ubuntu, RHEL og SUSE

Du vil have sikkerhedsrettelser til kernen på serveren uden at tage den ned. Om det kan lade sig gøre, og hvad det koster, afhænger næsten udelukkende af, hvilken distribution du kører. På Debian er svaret mindre indlysende, end leverandørernes sider giver indtryk af.

Af David Kabel · Opdateret 2026-09-24 · 11 min læsning

**Det korte svar**

Kernel live patching, altså kernepatching uden genstart, udskifter sårbare kernefunktioner med rettede udgaver i hukommelsen, så en sikkerhedsrettelse træder i kraft uden genstart. Debian udgiver ikke live patches. Et projekt, der skal tilføje dem, har været på designstadiet siden 2024, og der ligger intet i arkivet pr. september 2026. På Debian er dine muligheder en kommerciel tjeneste som TuxCares KernelCare eller regelmæssige genstarter. Ubuntu, Red Hat og SUSE udgiver deres egne. Overalt skal du stadig genstarte til nye kerner før eller siden.

## Live patching udskifter funktioner i hukommelsen

Mange sikkerhedsrettelser til kernen er små: et manglende bounds-tjek, et tjek for NULL-pointere, en lås omkring en kritisk sektion. En live patch indeholder nye kopier af netop de funktioner, der er ændret, pakket som et kernemodul. Når modulet indlæses, bruger kernen ftrace, sin indbyggede krog ved indgangen til funktioner, der kan spores, til at sende hvert kald til den gamle funktion videre til den nye. Patchen ændrer kun kernen i hukommelsen. Intet på disken ændrer sig, og `uname -r` viser stadig samme kerne.

Det svære er timingen. En proces kan være midt i den gamle funktion, når patchen kommer, og skifter man den midt i funktionen, kan den ende i en inkonsistent tilstand. Derfor skifter kernen hver task for sig på et tidspunkt, den ved er sikkert. Det er, når ingen af de patchede funktioner ligger på den pågældende tasks stak, eller når tasken næste gang vender tilbage fra kernen til user space. Kernedokumentationen kalder det konsistensmodellen, en hybrid af SUSEs kGraft og Red Hats kpatch. Normalt har alle tasks skiftet inden for få sekunder. En task, der sidder fast i en berørt funktion, kan holde overgangen åben på ubestemt tid, så kernen puffer til blokerende tasks med et falsk signal hvert 15. sekund.

## Begrænsninger ved live patching

**Ikke alle rettelser passer.** Live patching udskifter funktioner, men data bliver, hvor de er. Ifølge SUSEs dokumentation bliver datastrukturer på plads og kan ikke udvides eller fortolkes på en ny måde. Derfor kan nogle rettelser ikke blive til live patches, og en genstart er den eneste måde at få dem på. Funktioner, som kernen ikke kan spore, kan slet ikke patches. Når Canonical ikke kan bygge en live patch til en sårbarhed, udsender de en meddelelse om, at du skal opdatere og genstarte.

**Kun alvorlige sikkerhedsrettelser.** Canonical laver live patches til CVE'er med høj og kritisk prioritet. SUSE går efter CVSS 7 og derover samt rettelser for stabilitet og datakorruption og siger, at over 95 % af de rettelser, der opfylder kriterierne, udkommer som live patches. Red Hat skriver, at live patching ikke dækker alle kritiske eller vigtige CVE'er. Canonical skriver, at almindelige fejlrettelser, driveropdateringer og sikkerhedsrettelser med lavere prioritet kun kommer med en ny kerne og en genstart.

**Kun kernen.** Canonical nævner CPU-mikrokode, delte biblioteker som glibc og opdateringer af BIOS eller EFI som ting, der stadig kræver en genstart.

**Patches til en kerne udløber.** Canonical bygger live patches til en given kerne i 13 måneder efter dens udgivelse og i 9 måneder for HWE-kerner. SUSE gør det i 13 måneder, og et standardabonnement på RHEL giver dem kun indtil næste minor-udgivelse. Derefter installerer du en nyere kerne og genstarter for at forblive dækket. KernelCare patcher hver kerne, så længe dens leverandør udsender sikkerhedsopdateringer til den serie.

**Scannere ser stadig den gamle kerne.** Fordi `uname -r` ikke ændrer sig, advarer Red Hat om, at sårbarhedsscannere kan blive ved med at melde grundkernen som sårbar, indtil du genstarter. Regn med det fund ved revisioner, og hav leverandørens CVE-liste klar som svar.

## Dine muligheder pr. distribution i 2026

| Distribution | Mulighed | Prismodel | Sådan kontrollerer du |
| --- | --- | --- | --- |
| Ubuntu LTS | Canonical Livepatch, en del af Ubuntu Pro | Gratis abonnement på op til fem fysiske maskiner under de personlige Pro-vilkår. Betalt Ubuntu Pro ud over det | canonical-livepatch status |
| RHEL 8, 9 og 10 fra 10.2 | kpatch | Inkluderet i RHEL-abonnementet. På et standardabonnement stopper patches til en minor-udgivelse, når den næste udkommer | kpatch list |
| SLES 15 SP7 og 16.0 | SUSE Kernel Live Patching | Separat Live Patching-abonnement på 15 SP7. Inkluderet i standardabonnementet på 16.0 | klp status |
| Debian | Intet fra Debian selv | Ikke tilgængelig | Ikke relevant |
| Debian, Ubuntu, RHEL-familien og andre | TuxCare KernelCare | Kommercielt, licenseret pr. server, prøveperiode tilgængelig | kcarectl --info |

**Ubuntu.** Canonical Livepatch følger med Ubuntu Pro og dækker Canonicals egne kerner på LTS-udgivelser. Tabellen over understøttede kerner nævner ingen interim-udgivelser. De personlige Pro-vilkår giver et gratis abonnement på op til fem fysiske maskiner, og en virksomhed må kun have én sådan konto. Canonical markedsfører det niveau som gratis til personligt brug, så læs vilkårene, før du bygger en forretning på det. Gratis maskiner ligger på niveauet "updates", som får patches før betalende kunder på niveauet "stable". Klientens eget statusoutput beskriver det som, at maskinen betatester nye patches.

**RHEL.** kpatch er en del af abonnementet og kommer som almindelige RPM-pakker. På RHEL 10 starter understøttelsen med 10.2. Bliver du på én minor-udgivelse, skal du have Red Hats udvidede support for at blive ved med at få live patches til den. Red Hat understøtter ikke live patches fra tredjepart på RHEL.

**SUSE.** På SLES 15 SP7 er Live Patching et separat abonnement, der registreres som en udvidelse. Dokumentationen til SLES 16.0 siger, at det er med i standardabonnementet. Den aktive live patch bliver lagt ind i initrd, så en uplanlagt genstart til samme kerne kommer op med patchen på.

**Debian.** Der findes ingen officielle live patches. To Debian-udviklere indsendte en intent to package (bug 1070494) i maj 2024 og præsenterede designet på DebConf24. I februar 2025 meldte de, at kpatch ikke fuldt ud kunne understøtte kernen i trixie, som ifølge dem slår `CONFIG_X86_KERNEL_IBT` til, og at de i stedet kiggede på klp-build. Freexians rapport, udgivet i juli 2026, beskriver en studerende fra Google Summer of Code, der stadig sammenligner byggeværktøjer. På kernesiden er Debian klar. Debians amd64-kerner til bookworm og trixie er bygget med `CONFIG_LIVEPATCH=y`, og trixie har kpatch 0.9.10, mens bookworm ingen kpatch-pakke har. Du kunne altså bygge dine egne patches, men så er du selv sikkerhedsteamet, der vælger hver rettelse og bygger og tester et modul til hver kerneversion, du kører. For en lille virksomhed er det efter min mening ikke realistisk. Canonical Livepatch hjælper heller ikke, fordi den kun patcher kerner, som Canonical har udgivet.

**KernelCare.** TuxCares tjeneste er kommerciel og dækker Enterprise Linux-familien, Ubuntu og Debian. Siden over understøttede distributioner viser Debian 11, 12 og 13 som aktivt patchet. Agenten tjekker for patches hver fjerde time. TuxCare siger, at den ikke må køre side om side med Canonical Livepatch. På RHEL er den netop den patching fra tredjepart, som Red Hat ikke vil understøtte.

Du slår leverandørernes løsninger til med et par kommandoer:

```
# Ubuntu LTS: attach to Ubuntu Pro, then switch Livepatch on
sudo pro attach YOUR_TOKEN
sudo pro enable livepatch

# RHEL: subscribe current and future kernels to live patches
sudo dnf install kpatch-dnf
sudo dnf kpatch auto

# SLES 16.0 (15 SP7 needs the Live Patching extension registered first)
sudo zypper install -t pattern kernel_livepatching
```

## Tjek, at en patch er lagt på

"Installeret" er ikke det samme som "indlæst". Patches, der går gennem kernens livepatch-subsystem, dukker op under `/sys/kernel/livepatch` med én mappe pr. patchmodul. Red Hat dokumenterer, at deres kpatch-moduler registrerer sig der.

```
# Patches loaded through the kernel's livepatch subsystem
ls /sys/kernel/livepatch/
cat /sys/kernel/livepatch/*/enabled      # 1 = patched code is applied
cat /sys/kernel/livepatch/*/transition   # 0 = every task has switched over
```

Bliver `transition` ved med at stå på 1, kører en task stadig gammel kode. Kernedokumentationen viser, hvordan du finder den via `/proc/<pid>/patch_state`. Skriv ikke til filen `force` uden din patchleverandørs accept. Når en patch først er tvunget igennem, kan du aldrig fjerne patchmodulet, og dokumentationen siger, at du så skal planlægge en genstart og ikke lægge flere live patches på.

Hver leverandør har også sin egen statuskommando. Brug den, der passer til din tjeneste, og læg den ind i din overvågning i stedet for at tjekke i hånden:

```
canonical-livepatch status   # Ubuntu: coverage and patch state
kpatch list                  # RHEL: loaded modules show [enabled]
klp status                   # SLES
klp -v patches               # SLES: installed patches with their CVEs
kcarectl --info              # KernelCare: patches it has installed
kcarectl --uname             # KernelCare: the effective kernel version
cat /proc/kcare/cvelist      # KernelCare: CVEs the loaded patches address
```

På Ubuntu skal du læse linjen med kernens tilstand og ikke kun linjen med patchens tilstand. Den fortæller, om den kørende kerne stadig er dækket. Når den siger, at kernen ikke længere er dækket, kommer der ingen nye live patches, før du opgraderer og genstarter.

## Wardio kører KernelCare

Wardio kører KernelCare på hver maskine, vi drifter. Grunden er dækning. Vi påstår ikke, at den patcher bedre end leverandørerne selv. De fleste servere i små virksomheder kører Debian eller Ubuntu i blandede versioner, og Debian har slet ingen egen løsning. Ét værktøj på tværs af dem alle betyder én statuskommando og ét sted at kigge, når en revisor spørger, hvilke CVE'er der er dækket. Licensen er med i [månedsprisen](/da/priser/). Kører du RHEL eller SLES med abonnement, er leverandørens egen live patching det fornuftige udgangspunkt.

## Behold genstartsvinduet

Med live patching haster en genstart mindre, men du har stadig brug for den. En CVE i kernen går fra "genstart i nat" til "genstart i næste planlagte vindue". I det vindue får du de rettelser med, der ikke kunne live patches, du skifter til en ny kerne, før live patch-supporten til den gamle løber ud, og du indlæser ny glibc og mikrokode. Canonical påpeger også, at Livepatch ikke slår automatisk installation af sikkerhedsopdateringer i APT til. Er du ikke sikker på, at dine kører, så se [hvad du skal tjekke, når unattended-upgrades ikke virker](/da/guides/unattended-upgrades-virker-ikke/). Live patching er ét skridt i at [sikre en VPS](/da/guides/sikker-vps/), og det betaler sig først, når skridtene før det er på plads.

## Faldgruber

-   **kpatch list lykkes, selv om intet er indlæst.** På Debian 13 med kpatch 0.9.10 og uden patchmoduler skrev `kpatch list` overskrifterne `Loaded patch modules:` og `Installed patch modules:` uden noget under dem og sluttede med exitkode 0. Et overvågningstjek, der kun ser på exitkoden, består på en upatchet maskine. Tjek i stedet efter en modullinje, der ender på `[enabled]`.
-   **Et tomt glob tæller ikke som bestået.** Uden nogen patch indlæst skriver `cat /sys/kernel/livepatch/*/enabled` `No such file or directory` for det bogstavelige mønster og slutter med exitkode 1, både på Debian og Ubuntu. Sørg for, at et script behandler det som "ikke patchet" og ikke som en fejl, der kan ignoreres.
-   **Kernerne i bookworm og trixie er forskellige netop der, hvor kpatch er følsom.** Læser man `/boot/config-*` fra Debians kernepakker, har bookworms 6.1.0-53 `CONFIG_X86_KERNEL_IBT` ikke sat, og trixies 6.12.107 har den sat til y. Det er netop den indstilling, som Debians udviklere af live patching sagde, at kpatch ikke fuldt ud kan understøtte. Bygger du dine egne patches, så tjek `grep CONFIG_X86_KERNEL_IBT /boot/config-$(uname -r)` på den kerne, du faktisk kører.
-   **På Ubuntu ændrer Livepatch genstartsflaget.** De kernehooks, der skriver `/var/run/reboot-required` på Ubuntu 24.04, i unattended-upgrades 2.9.1+nmu4ubuntu1 og update-notifier-common 3.192.68.2, springer skrivningen over for `linux`\-pakker, når `canonical-livepatch` er installeret og slået til. Ud fra de scripts udløser en ny kerne alene muligvis ikke den automatiske genstart i unattended-upgrades. Det har vi læst i selve scriptene. Vi kunne ikke genskabe det her, fordi Livepatch ikke kan køre i en container. Hold i stedet øje med linjen for kernens tilstand i `canonical-livepatch status`.

**Sådan blev det testet.** Den 23. september 2026 kontrollerede vi påstandene om Debian og kommandoerne i Docker-containere: Debian 13 (debian:trixie) med pakken linux-image-amd64 installeret (6.12.107-1) og kpatch 0.9.10-1, Debian 12 (debian:bookworm-slim) med linux-image-6.1.0-53-amd64 (6.1.187-1) hentet ned og dens `/boot/config` læst, og Ubuntu 24.04.5 LTS med ubuntu-pro-client 37.2ubuntu~24.04.1 til syntaksen for `pro attach` og `pro enable livepatch`. Kontrollen på tværs af hele arkivet efter en Debian-pakke med live patches brugte ftp-masters madison-API, og vi kontrollerede `dnf kpatch auto` med kpatch-dnf 0.9.10 på AlmaLinux 10.2, en genopbygning af RHEL. Ikke testet: selve live patching, som kræver en rigtig kerne med livepatch-understøttelse; `canonical-livepatch`, som er en snap og kræver et Ubuntu Pro-token; SUSEs `klp` og zypper-pattern, som kræver et registreret SLES-system; TuxCares proprietære `kcarectl`; og alle vilkår for abonnementer og priser, som vi har taget fra leverandørernes sider nedenfor.

## Kilder

1.  [Livepatch](https://docs.kernel.org/livepatch/livepatch.html), The Linux Kernel documentation, kerneudviklernes fællesskab
2.  [ABI: /sys/kernel/livepatch](https://docs.kernel.org/admin-guide/abi-testing.html#abi-sys-kernel-livepatch), The Linux Kernel documentation
3.  [Livepatch](https://ubuntu.com/security/livepatch), Canonical
4.  [Kernels covered by Livepatch](https://ubuntu.com/security/livepatch/docs/client/reference/platform/supported-kernels/), Canonical Livepatch-dokumentation
5.  [Updates not provided by Livepatch](https://ubuntu.com/security/livepatch/docs/client/explanation/architecture/what-kind-of-updates-are-not-provided-by-livepatch/), Canonical Livepatch-dokumentation, opdateret 18. juni 2026
6.  [When to reboot](https://ubuntu.com/security/livepatch/docs/client/explanation/troubleshooting/do-i-need-to-reboot/), Canonical Livepatch-dokumentation, opdateret 18. juni 2026
7.  [How to check the Livepatch Client status](https://ubuntu.com/security/livepatch/docs/client/how-to-guides/operations/check-client-status/), Canonical Livepatch-dokumentation
8.  [Livepatch tiers](https://ubuntu.com/security/livepatch/docs/client/explanation/architecture/what-are-livepatch-tiers/), Canonical Livepatch-dokumentation
9.  [Ubuntu Pro, personal: Terms of Service](https://canonical.com/legal/ubuntu-pro/personal), Canonical
10.  [Managing, monitoring, and updating the kernel, chapter 9: Applying patches with kernel live patching](https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/10/html-single/managing_monitoring_and_updating_the_kernel/index), Red Hat Enterprise Linux 10-dokumentation
11.  [Managing, monitoring, and updating the kernel](https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/9/html-single/managing_monitoring_and_updating_the_kernel/index), Red Hat Enterprise Linux 9-dokumentation
12.  [Kernel Live Patching on SUSE Linux Enterprise Server](https://documentation.suse.com/sles/16.0/html/SLES-klp/index.html), SUSE, SLES 16.0
13.  [Live kernel patching with KLP](https://documentation.suse.com/sles/15-SP7/html/SLES-all/cha-klp.html), SUSE, SLES 15 SP7 Administration Guide
14.  [Bug #1070494: ITP: linux-livepatching](https://bugs.debian.org/1070494), Debians bugtracker, oprettet 6. maj 2024
15.  [Linux live patching in Debian](https://debconf24.debconf.org/talks/91-linux-live-patching-in-debian/), DebConf24, 2. august 2024
16.  [Debian Contributions: Python 3.14 as default transition, DebConf 26 preparations, debvm, pconr and more!](https://www.freexian.com/blog/debian-contributions-06-2026/), Freexian, 15. juli 2026
17.  [Debian kernel amd64 config, trixie branch](https://salsa.debian.org/kernel-team/linux/-/blob/debian/6.12/trixie/debian/config/amd64/config), Debians kerneteam
18.  [kpatch package](https://tracker.debian.org/pkg/kpatch), Debians pakketracker, og [madison-opslag for kpatch og linux-livepatching](https://api.ftp-master.debian.org/madison?package=kpatch+linux-livepatching&text=on), Debian FTP masters, tjekket 23. september 2026
19.  [KernelCare documentation](https://docs.tuxcare.com/live-patching-services/), TuxCare
20.  [Supported distributions and lifecycle status](https://patches.kernelcare.com/supported-distros.html), TuxCare

## Spørgsmål

### Hvad er kernel live patching?

Kernel live patching lægger en sikkerhedsrettelse på en kørende Linux-kerne uden genstart. Rettelsen kommer som et kernemodul med nye udgaver af de berørte funktioner, og kernen omdirigerer kald fra de gamle funktioner til de nye via sin ftrace-mekanisme og skifter hver proces over, når det er sikkert. Det dækker kun alvorlige sårbarheder i kernen, og du genstarter stadig til nye kerner efter en fast plan.

### Understøtter Debian kernel live patching?

Debians amd64-kerner er bygget med live patching slået til, men Debian udgiver ikke live patches. Et projekt, der skal tilføje dem (Debian-bug 1070494), har været på designstadiet siden maj 2024 og havde ingen pakke i arkivet pr. september 2026. Canonical Livepatch dækker kun Canonicals egne kerner. På Debian er de praktiske muligheder en kommerciel tjeneste som TuxCares KernelCare eller en genstart efter hver kerneopdatering.

### Er kernel live patching inkluderet i RHEL?

Ja. Red Hat leverer live patches med kpatch som RPM-pakker gennem de normale kanaler på RHEL 8, 9 og 10 (fra 10.2). Med et standardabonnement stopper live patches til en minor-udgivelse, når den næste minor-udgivelse udkommer, så hvis du vil blive på én minor-version, kræver det et tilbud med udvidet support. Tjek resultatet med kpatch list. Red Hat understøtter ikke live patches fra tredjepart på RHEL-systemer.

### Hvordan slår jeg kernel live patching til på Ubuntu?

Tilknyt maskinen til Ubuntu Pro med sudo pro attach og dit token, og kør derefter sudo pro enable livepatch. Tjek det med canonical-livepatch status, som skal melde kernen som dækket og alle relevante patchmoduler som lagt på. Det virker kun på Canonicals kerner til LTS-udgivelser. De personlige Ubuntu Pro-vilkår tillader et gratis abonnement på op til fem fysiske maskiner, med én konto pr. virksomhed.

### Skal jeg stadig genstarte, hvis jeg bruger live patching?

Ja, det haster bare mindre. Live patches dækker kun alvorlige sårbarheder i kernen, nogle rettelser kan slet ikke live patches, og fejlrettelser, driveropdateringer, glibc og CPU-mikrokode kræver stadig en genstart. Leverandørerne holder også op med at patche en given kerne efter et stykke tid: 9 til 13 måneder på Ubuntu og 13 måneder på SUSE. Behold et planlagt genstartsvindue, og brug live patching til at dække tiden mellem vinduerne.

**Usikker på, om din kerne faktisk er patchet?**

Den gratis gennemgang ser på, hvordan dine servere bliver patchet, kernen medregnet. [Priser](/da/priser/).

[Gratis servergennemgang](/da/kontakt/)