Cách cập nhật bảo mật hệ thống FreeBSD đúng cách

Cách FreeBSD xử lý các bản cập nhật bảo mật

FreeBSD xử lý các bản cập nhật bảo mật bằng hai công cụ riêng biệt, vì một máy chủ FreeBSD bao gồm hai thành phần tách rời. Hệ thống cơ sở (base system), bao gồm kernel và userland được phát hành kèm theo bản release, được vá bằng freebsd-update. Mọi thứ bạn cài đặt thêm vào sau đó đều là package, và các package này được vá bằng pkg. Nếu bạn chỉ chạy một công cụ mà bỏ qua công cụ còn lại, một nửa máy chủ sẽ không được vá, và hệ thống sẽ không cảnh báo bạn về điều này.

SSD Nodes không cung cấp các image FreeBSD. Các gói dịch vụ của chúng tôi chạy Linux. Bài viết này vẫn được đăng tải vì sự trùng lặp đối tượng người dùng là hoàn toàn: những người vận hành máy chủ Ubuntu và Debian của chúng tôi cũng chạy FreeBSD trên firewall hoặc trên một máy chủ mà họ được bàn giao lại. Mô hình vá lỗi tách biệt này là điểm dễ gây nhầm lẫn cho quản trị viên Linux, vì vậy đây là nội dung cần được ghi chú lại. Mọi lệnh, định dạng thông báo và ngày hỗ trợ bên dưới đều đã được kiểm tra đối chiếu với trang bảo mật của FreeBSD và các trang manual của dự án vào tháng 8 năm 2026.

Một lưu ý trước khi thực hiện các lệnh. FreeBSD không cài đặt sẵn sudo trong hệ thống cơ sở. Mọi thao tác tại đây đều yêu cầu quyền root. Hãy sử dụng su -, hoặc cài đặt sudo hoặc doas từ package trước khi bắt đầu.

Hệ thống cơ sở và các gói phần mềm là hai thế giới riêng biệt

Trên Ubuntu, apt quản lý toàn bộ máy chủ. Kernel, openssl, nginx và các công cụ của bạn đều được cung cấp dưới dạng các file .deb từ một công cụ duy nhất, và apt upgrade cập nhật tất cả chúng cùng lúc.

FreeBSD chia tách điều này thành hai phần. Hệ thống cơ sở được xây dựng như một khối thống nhất và được đánh phiên bản cùng nhau: 15.1-RELEASE-p3 là một con số duy nhất bao gồm kernel, thư viện C, sshd và bản sao OpenSSL nằm trong /usr/lib. Không thành phần nào trong số đó đến từ pkg. Mọi thứ khác nằm dưới /usr/local, được cài đặt dưới dạng gói nhị phân xây dựng từ ports tree và có phiên bản riêng.

Vì vậy, một máy chủ có thể chứa hai bản sao OpenSSL: bản cơ sở trong /usr/lib, chỉ được vá bởi freebsd-update, và bản gói phần mềm trong /usr/local/lib, chỉ được vá bởi pkg. Một chương trình sử dụng bản nào phụ thuộc vào việc nó được liên kết (link) với bản nào, và phần mềm cài từ gói thường liên kết với bản gói. Việc vá bản này không ảnh hưởng đến bản kia.

Ba lệnh sau đây cho bạn biết trạng thái hệ thống:

freebsd-version -u
freebsd-version -k
uname -r

freebsd-version -u in ra mức patch của userland đã cài đặt. freebsd-version -k in ra mức patch của kernel đã cài đặt, và freebsd-version(1) giải thích rõ tại sao con số này không giống với uname: "nếu một kernel mới đã được cài đặt nhưng hệ thống chưa reboot, freebsd-version sẽ in ra phiên bản và mức patch của kernel mới". uname -r in ra kernel đang chạy hiện tại. Ngoài ra còn có freebsd-version -r, lệnh này in ra kernel đang chạy nhưng "không bị ảnh hưởng bởi các biến môi trường", điều này quan trọng khi ở trong một jail nơi UNAME_r thường được thiết lập thành một giá trị khác.

Các thông báo bảo mật và bản sửa lỗi (Errata)

FreeBSD Security Team phát hành hai loại thông báo, mỗi loại có ý nghĩa khác nhau.

Một Security Advisory (Thông báo bảo mật) đề cập đến lỗ hổng bảo mật trong hệ thống cơ sở. Định danh của nó có dạng FreeBSD-SA-26:55.elf: bao gồm các chữ cái SA, hai chữ số của năm, một số thứ tự tăng dần trong năm đó, và thành phần bị ảnh hưởng. FreeBSD-SA-26:52.if_wg và FreeBSD-SA-26:50.kqueue đều được công bố vào ngày 2026-07-29. Danh sách đầy đủ nằm trên trang thông báo của FreeBSD.

Một Errata Notice (Thông báo sửa lỗi) đề cập đến vấn đề về tính chính xác hoặc độ ổn định cần được đẩy vào nhánh release, không gây ảnh hưởng đến bảo mật. Nó có định dạng tương tự, nhưng thay EN bằng SA: FreeBSD-EN-26:19.zfs, FreeBSD-EN-26:18.tzdata. Cập nhật dữ liệu múi giờ là ví dụ điển hình. Không ai có thể tấn công bạn bằng dữ liệu múi giờ cũ, nhưng các dấu thời gian (timestamp) của bạn sẽ sai cho đến khi bạn áp dụng bản sửa lỗi. Các Errata được liệt kê trên trang thông báo sửa lỗi của FreeBSD.

Cả hai loại thông báo đều được ký bằng khóa PGP (pretty good privacy) của Security Officer và lưu trữ tại security.FreeBSD.org, đồng thời cả hai đều được gửi đến máy của bạn thông qua freebsd-update.

Đây là phần dễ gây nhầm lẫn cho các quản trị viên Linux. Không loại nào trong số này bao gồm các package. Trang bảo mật đã nêu rõ: các vấn đề trong FreeBSD Ports Collection "được đề cập riêng biệt trong tài liệu FreeBSD VuXML". Một lỗ hổng từ xa trong package nginx sẽ không bao giờ nhận được số SA. Nếu bạn chỉ theo dõi nguồn cấp dữ liệu advisory, bạn sẽ không bao giờ biết về nó.

Làm thế nào để biết về các bản cập nhật bảo mật của FreeBSD?

Danh sách bạn cần tham gia là freebsd-security-notifications. Đây là danh sách được kiểm duyệt với lưu lượng thấp, chuyên gửi các thông báo về lỗ hổng bảo mật (advisories) và bản sửa lỗi (errata). Hãy đăng ký tại lists.freebsd.org.

freebsd-announce cũng là danh sách được kiểm duyệt, chứa các thông báo bảo mật cùng với thông báo phát hành, vì vậy nó phù hợp nếu bạn muốn nhận mọi thông tin trong một danh sách duy nhất. freebsd-security là danh sách thảo luận. Bạn nên đọc để tham khảo, nhưng đây không phải là nơi để nhận thông báo về việc cần phải vá lỗi.

Tất cả các danh sách này chỉ cung cấp tin tức về hệ thống cơ sở (base system). Các lỗ hổng của gói phần mềm (package) sẽ không được gửi qua email. Bạn cần kiểm tra chúng bằng cách chạy lệnh.

pkg audit và cơ sở dữ liệu đi kèm

VuXML, viết tắt của Vulnerabilities and Exposures Markup Language, là hồ sơ của dự án FreeBSD về các vấn đề bảo mật trong ports và packages. Mỗi mục ghi lại tên package bị ảnh hưởng, các dải phiên bản dễ bị tổn thương, định danh CVE (common vulnerabilities and exposures) và một mô tả ngắn. Bạn có thể duyệt toàn bộ tập hợp này tại chỉ mục VuXML, được sắp xếp theo package, theo CVE hoặc theo ngày.

pkg audit là công cụ đọc dữ liệu này:

pkg audit -F

-F sẽ tải một bản sao mới của cơ sở dữ liệu trước khi kiểm tra. Hãy sử dụng nó mỗi lần thực hiện. Nếu không có -F, bạn đang đối chiếu với bất kỳ bản sao nào máy đang có sẵn, vốn có thể đã cũ hàng tháng trời, vì vậy kết quả "sạch" sẽ không có ý nghĩa gì. Lệnh này so sánh mọi phiên bản package đã cài đặt với từng mục trong VuXML, in ra mỗi kết quả khớp kèm số CVE và liên kết đến trang VuXML, sau đó kết thúc bằng một dòng tổng kết cho biết có bao nhiêu vấn đề được tìm thấy trong bao nhiêu package đã cài đặt.

Có hai flag khác từ pkg-audit(8) rất đáng lưu tâm. pkg audit -r còn "in ra các package phụ thuộc vào package bị lỗi và do đó cũng có khả năng bị ảnh hưởng", đây là cách bạn biết được một thư viện bị lỗi quan trọng như thế nào vì có sáu thứ đã cài đặt đang liên kết với nó. pkg audit -R in kết quả dưới định dạng JSON hoặc định dạng máy đọc được khác, đây là thứ bạn dùng để nạp vào một công cụ giám sát.

Package pkg cài đặt một script định kỳ tại /usr/local/etc/periodic/security/410.pkg-audit. Nó chạy như một phần của kiểm tra bảo mật hàng ngày và gửi kết quả qua email cho root. Hãy xác nhận nó đã được bật bằng một dòng trong /etc/periodic.conf:

daily_status_security_pkgaudit_enable="YES"

Email hàng ngày đó là thứ gần nhất với thói quen unattended-upgrades trên Ubuntu mà FreeBSD có, và sự khác biệt chính là điểm mấu chốt: unattended-upgrades tự cài đặt bản vá khi bạn đang ngủ, còn pkg audit chỉ thông báo cho bạn rằng cần có bản vá. pkg audit chỉ báo cáo. Nó không bao giờ tự vá. Không có gì trên một hệ thống FreeBSD mặc định tự động cài đặt bản cập nhật bảo mật mà không có sự can thiệp của bạn.

Khắc phục gói phần mềm bị lỗ hổng

pkg update
pkg upgrade

Không có kho lưu trữ riêng cho các bản vá bảo mật trong hệ thống gói của FreeBSD. Ubuntu có thể chỉ lấy dữ liệu từ noble-security và giữ nguyên các gói khác. FreeBSD không có cơ chế tương đương, vì vậy việc sửa một gói bị lỗ hổng đồng nghĩa với việc chấp nhận bất kỳ phiên bản nào mà kho lưu trữ hiện đang cung cấp, cùng với mọi dependency đi kèm. Hãy lên kế hoạch vá gói như một thay đổi hệ thống, không phải là một tác vụ chạy nền.

Nhánh kho lưu trữ bạn đang sử dụng quyết định tốc độ nhận bản vá. Mặc định là nhánh quarterly, được sách hướng dẫn mô tả là mang lại "trải nghiệm ổn định và dễ dự đoán hơn" bằng cách chỉ chấp nhận các bản cập nhật không phải tính năng mới. Nhánh latest sẽ lấy phiên bản mới nhất của mọi thứ. Vì vậy, khi pkg audit -F báo cáo một gói bị lỗ hổng và pkg upgrade thông báo không có gì để làm, nghĩa là bản vá chưa được đưa vào nhánh của bạn, và đó chính là nguyên nhân gây ra sự nhầm lẫn này.

Để chuyển máy chủ sang nhánh latest, hãy sao chép file cấu hình kho lưu trữ đi kèm với hệ thống và chỉnh sửa bản sao đó:

mkdir -p /usr/local/etc/pkg/repos
cp /etc/pkg/FreeBSD.conf /usr/local/etc/pkg/repos/FreeBSD.conf

Thay đổi quarterly thành latest trong dòng url của bản sao, sau đó chạy pkg update -f để tải catalogue mới. Hãy sao chép file thay vì gõ tên kho lưu trữ từ trí nhớ: tên bên trong /etc/pkg/FreeBSD.conf là tên mà hệ thống của bạn thực sự sử dụng, và một file nằm dưới /usr/local/etc/pkg/repos chỉ ghi đè lên kho lưu trữ có tên khớp chính xác với nó.

Áp dụng các bản vá hệ thống cơ bản

freebsd-update fetch
freebsd-update install

fetch tải các bản vá cho phiên bản hiện tại của bạn và liệt kê các tệp tin sẽ bị thay đổi. Khi không có việc gì cần làm, nó sẽ in ra No updates needed to update system to 15.1-RELEASE-p3. rồi thoát. Khi có bản vá, nó sẽ kết thúc bằng cách yêu cầu bạn chạy lệnh cài đặt. Không có thay đổi nào được áp dụng cho đến khi bạn chạy freebsd-update install, vì vậy fetch an toàn để chạy bất cứ lúc nào.

freebsd-update(8) cung cấp các bản cập nhật nhị phân cho các phiên bản ALPHA, BETA, RC và RELEASE, không áp dụng cho PRERELEASE, STABLE hoặc CURRENT. Nếu bạn theo dõi stable/15, bạn sẽ build từ source và công cụ này không dành cho bạn.

Hãy tự động hóa việc tải xuống và giữ việc cài đặt ở chế độ thủ công. Dòng lệnh trong handbook cho /etc/crontab:

@daily                                  root    freebsd-update cron

freebsd-update cron sẽ đợi một khoảng thời gian ngẫu nhiên từ 1 đến 3600 giây, sau đó tải các bản cập nhật giống hệt như fetch, và gửi email cho root khi có bản cập nhật đang chờ. Thời gian chờ ngẫu nhiên giúp tránh việc tất cả các máy FreeBSD trên internet cùng truy cập vào các máy chủ mirror cập nhật tại cùng một thời điểm.

Có hai thông tin trong kết quả đầu ra thường gây nhầm lẫn. src component not installed, skipped là bình thường trên một máy chủ không có source tree và đây không phải là lỗi. Tập hợp các thành phần được kiểm soát bởi dòng Components trong /etc/freebsd-update.conf, với các lựa chọn là src, world và kernel.

Nếu quá trình cài đặt gặp sự cố, freebsd-update rollback sẽ gỡ bỏ các bản cập nhật vừa cài đặt gần nhất. Trên hệ thống ZFS root, bạn có thể làm tốt hơn bằng cách tạo một boot environment trước:

bectl create pre-patch
freebsd-update fetch install

Nếu hệ thống sau khi vá không khởi động được, hãy chọn boot environment cũ từ menu loader và bạn sẽ quay lại trạng thái ban đầu. Lối thoát này là một trong những lý do thực tế để sử dụng ZFS làm hệ thống tệp root, và nó gần như không tốn dung lượng đĩa cho đến khi hai môi trường bắt đầu khác biệt nhau.

Phiên bản FreeBSD của tôi còn được hỗ trợ không?

Mỗi bản phát hành được hỗ trợ trong một khoảng thời gian cố định, được công bố dưới dạng bảng nhánh trên trang bảo mật. Tính đến tháng 8 năm 2026, bảng đó ghi như sau:

• releng/15.1, tức là 15.1-RELEASE, đến ngày 31 tháng 3 năm 2027
• releng/15.0, tức là 15.0-RELEASE, đến ngày 30 tháng 9 năm 2026
• releng/14.4, tức là 14.4-RELEASE, đến ngày 31 tháng 12 năm 2026
• stable/15 đến ngày 31 tháng 12 năm 2029
• stable/14 đến ngày 30 tháng 11 năm 2028

Các bản point release có thời hạn hỗ trợ ngắn. 15.0-RELEASE sẽ hết hạn khoảng bảy tuần sau khi bài viết này được soạn thảo, vì 15.1 đã được phát hành và bắt đầu đếm ngược thời gian hỗ trợ cho bản cũ. Các nhánh stable kéo dài trong nhiều năm, đây là các nhánh mã nguồn mà freebsd-update không cung cấp dưới dạng binary.

Hãy kiểm tra phiên bản của bạn bằng freebsd-version -u và so sánh với bảng trên. freebsd-update cũng sẽ cảnh báo bạn. Khi đến gần ngày hết hạn, fetch sẽ in ra:

WARNING: FreeBSD 15.0-RELEASE is approaching its End-of-Life date.
It is strongly recommended that you upgrade to a newer
release within the next 2 months.

Sau khi ngày đó trôi qua, cảnh báo sẽ chuyển thành WARNING: FreeBSD 15.0-RELEASE HAS PASSED ITS END-OF-LIFE DATE. Một bản phát hành không còn được hỗ trợ vẫn hoạt động bình thường. Tuy nhiên, nó sẽ không còn nhận được các bản tin bảo mật, nghĩa là lỗ hổng bảo mật tiếp theo của hệ thống base sẽ tồn tại vĩnh viễn trên máy chủ của bạn.

Việc nâng cấp phiên bản bao gồm freebsd-update -r 15.1-RELEASE upgrade, sau đó là freebsd-update install, rồi khởi động lại, tiếp theo là freebsd-update install lần thứ hai, sau đó là pkg-static upgrade -f để cài đặt lại toàn bộ package tương thích với các thư viện mới, và cuối cùng là freebsd-update install. Tài liệu handbook lưu ý rằng có thể chỉ cần hai giai đoạn cài đặt thay vì ba, tùy thuộc vào việc có số phiên bản thư viện nào bị thay đổi hay không. Hãy đặt lịch bảo trì và đọc hướng dẫn thiết lập máy chủ FreeBSD 15 trước khi bắt đầu.

Reboot, hay chỉ cần restart service là đủ?

FreeBSD trả lời câu hỏi này bằng một phép so sánh:

freebsd-version -k
uname -r

freebsd-version -k là kernel trên đĩa. uname -r là kernel đang chạy trong bộ nhớ. Nếu hai chuỗi này khác nhau, nghĩa là một kernel mới đã được cài đặt nhưng chưa được nạp, vì vậy bạn cần reboot. Nếu hai chuỗi trùng khớp, nghĩa là bản vá không tác động đến kernel và việc reboot không mang lại lợi ích gì.

Đối với bản vá userland, hãy restart bất kỳ tiến trình nào đang sử dụng mã nguồn đã được vá. Một bản sửa lỗi cho OpenSSL cơ sở trong /usr/lib sẽ không có tác dụng với một sshd đã khởi chạy từ ba tuần trước và vẫn đang ánh xạ thư viện cũ vào không gian địa chỉ của nó. File trên đĩa đã mới, nhưng tiến trình đang chạy thì chưa.

service sshd restart

Quy tắc tương tự áp dụng cho các package. pkg upgrade thay thế file binary trên đĩa trong khi tiến trình đang chạy vẫn giữ file cũ, vì vậy service nginx restart là bước giúp bản vá có hiệu lực thực tế.

Hệ thống cơ sở không có công cụ tương đương với needrestart của Debian, nên không có gì nhắc nhở bạn và cũng không có danh sách theo dõi. Bạn phải tự theo dõi service nào liên kết với thư viện đã vá, hoặc reboot sau bất kỳ bản vá nào tác động đến các thư viện cơ sở. Trên một máy chủ có cấu hình được quản lý bằng version control, reboot là một thao tác định kỳ và chi phí của nó thấp hơn nhiều so với việc tin rằng hệ thống đã được vá trong khi thực tế thì không.

Cập nhật máy chủ chạy jails

Một jail dùng chung kernel với host, vì vậy các bản vá kernel là vấn đề của host và mọi jail trên máy đều chịu ảnh hưởng. Hãy cập nhật host và reboot, phần kernel sẽ được xử lý cho tất cả các jail. Userland bên trong mỗi jail là một bản cài đặt riêng biệt với mức độ vá lỗi riêng, và freebsd-version -j <jail> sẽ báo cáo thông tin này từ host. Các gói phần mềm bên trong jail cũng tách biệt, và pkg -j <jail> audit -F sẽ kiểm tra chúng mà không cần phải truy cập vào bên trong jail. Sự phân tách giữa kernel dùng chung và userland riêng biệt này chính là khác biệt cấu trúc định hình cách jails so sánh với Docker containers.

Bản dịch Ubuntu

Mỗi thói quen trên FreeBSD đều có một tương đương, vì vậy bạn có thể áp dụng quy trình theo cả hai hướng.

• Vá lỗi hệ thống cơ sở: freebsd-update fetch sau đó là freebsd-update install. Trên Ubuntu, dùng apt update && apt upgrade, lệnh này cập nhật hệ thống cơ sở và mọi thứ khác cùng một lúc.
• Phần mềm bên thứ ba: pkg update && pkg upgrade trên FreeBSD. Trên Ubuntu, vẫn dùng apt.
• Kiểm tra lỗ hổng bảo mật đã biết: pkg audit -F trên FreeBSD. Trên Ubuntu 24.04, lệnh gần nhất là pro security-status, hiển thị các bản cập nhật bảo mật cho các gói đã cài đặt, bao gồm cả nội dung từ Expanded Security Maintenance.
• Cài đặt tự động: unattended-upgrades trên Ubuntu sẽ tự động áp dụng các bản cập nhật bảo mật cho bạn. FreeBSD không có tính năng tương đương, vì vậy freebsd-update cron sẽ tải về và gửi email trong khi bạn tự cài đặt thủ công.
• Nguồn tin cảnh báo: freebsd-security-notifications chứa các mục FreeBSD-SA và FreeBSD-EN. ubuntu-security-announce chứa các thông báo bảo mật của Ubuntu (Ubuntu Security Notices).
• Cơ sở dữ liệu lỗ hổng: VuXML cho các ports và packages của FreeBSD. Trình theo dõi CVE của Ubuntu dành cho các gói Ubuntu.
• Kiểm tra khởi động lại: freebsd-version -k so với uname -r trên FreeBSD. Sự tồn tại của /var/run/reboot-required trên Ubuntu.
• Thời hạn hỗ trợ: bảng nhánh trên trang bảo mật của FreeBSD. Lịch trình phát hành và pro security-status trên Ubuntu.

Quy trình cơ bản trên cả hai hệ thống là giống hệt nhau: đăng ký nhận tin, chạy kiểm tra theo lịch trình, sau đó quyết định cài đặt gì và khi nào cần khởi động lại. FreeBSD chỉ yêu cầu bạn thực hiện thủ công nửa sau của quy trình, vì nó sẽ không tự động làm thay bạn. So sánh chi tiết hơn giữa Linux và FreeBSD với tư cách là nền tảng máy chủ bao gồm những thay đổi khác khi bạn chuyển đổi workload giữa hai hệ điều hành này.

FAQ

freebsd-update có vá cả các package của tôi không?

Không. freebsd-update chỉ áp dụng cho base system, nghĩa là kernel và userland đi kèm với bản release. Phần mềm cài đặt qua /usr/local đến từ các package, và chúng được vá bằng pkg upgrade. Hãy chạy pkg audit -F để tìm xem các package đã cài đặt có lỗ hổng bảo mật nào không, vì các thông báo bảo mật của base system không bao giờ đề cập đến chúng và các mailing list bảo mật cũng không thông báo về chúng.

Làm sao để biết một bản cập nhật FreeBSD có cần reboot không?

Hãy so sánh freebsd-version -k với uname -r. Lệnh đầu tiên in ra kernel đang cài trên ổ đĩa, bao gồm cả kernel vừa được ghi nhưng chưa boot. Lệnh thứ hai in ra kernel đang chạy. Các chuỗi khác nhau nghĩa là bạn cần reboot. Nếu các chuỗi trùng khớp, bản vá chỉ nằm ở userland, vì vậy hãy khởi động lại các service bị ảnh hưởng, ví dụ như service sshd restart, vì một tiến trình đang chạy vẫn giữ thư viện cũ trong bộ nhớ cho đến khi nó được khởi động lại.

Sự khác biệt giữa Security Advisory và Errata Notice là gì?

Một Security Advisory, ví dụ như FreeBSD-SA-26:55.elf, sửa một lỗ hổng bảo mật trong base system. Một Errata Notice, ví dụ như FreeBSD-EN-26:18.tzdata, sửa một vấn đề về tính đúng đắn hoặc độ ổn định không gây ảnh hưởng đến bảo mật, ví dụ như dữ liệu múi giờ đã cũ. Cả hai đều sử dụng định dạng năm, dấu hai chấm, số thứ tự, thành phần. Cả hai đều được ký bởi Security Officer và được phân phối bởi freebsd-update, và không cái nào bao gồm phần mềm cài đặt từ ports hoặc packages.

FreeBSD có công cụ tương đương với unattended-upgrades không?

Không có trong base system. freebsd-update cron tải các bản vá base đang chờ xử lý và gửi email cho root, nhưng nó không bao giờ tự cài đặt chúng. Script định kỳ mà pkg cài đặt sẽ chạy pkg audit hàng ngày và gửi kết quả qua email, nó cũng không bao giờ tự nâng cấp bất cứ thứ gì. Việc cài đặt tự động là thứ bạn phải tự xây dựng bằng cron job, và vì việc nâng cấp package trên FreeBSD lấy phiên bản mới nhất thay vì chỉ backport các bản vá bảo mật, hầu hết các admin đều đọc email và cài đặt thủ công.

Làm sao để kiểm tra xem bản FreeBSD release của tôi còn được hỗ trợ không?

Chạy freebsd-version -u để xem phiên bản userland của bạn, sau đó so sánh với bảng các nhánh được hỗ trợ trên trang bảo mật của FreeBSD. Các bản point release có thời hạn hỗ trợ ngắn: tính đến tháng 8 năm 2026, 15.0-RELEASE kết thúc vào ngày 30 tháng 9 năm 2026 trong khi 15.1-RELEASE kéo dài đến ngày 31 tháng 3 năm 2027. freebsd-update fetch sẽ cảnh báo bạn khi ngày đó đến gần, và một khi đã quá hạn, nó sẽ in ra một dòng thông báo rằng bản release ĐÃ HẾT HẠN HỖ TRỢ (END-OF-LIFE). Sau thời điểm đó, sẽ không còn bản tin bảo mật nào áp dụng cho bạn nữa.