Как настроить авто обновление Debian 12 ночью?

наверно вы никому не нужны раз не ломают.

Ломают не по принципу нужен/не-нужен, а по принципу ломаем/не-ломаем хост. Все уже давно, очень давно, автоматизировано по самые гланды.

При обновлении также нужно перезапускать процессы, чьи бинарники были заменены. Утилита needrestart как раз выводит список таких демонов после apt upgrade. Даже если система будет автоматически обновляться, всё равно будут торчать старые процессы со старыми уязвимостями. Куда более надёжным решением будет вывести в заббикс триггер о наличии уязвимостей на сервере и вручную обновлять пакеты дабы была возможность откатить обновление если что-то пойдёт не так. Как пример

system.run[/usr/bin/apt list --upgradable 2>/dev/null | /usr/bin/grep security | /usr/bin/wc -l]

Кстати, починили, но не видел, чтобы исправленный вариант в main завезли. Немножко офигел, когда узнал, что эта регрессия была известна, но ядро с ней всё равно протянули в релиз.

Ну так-то unattended-upgrades не всю систему обновляет, а только по паттернам из конфига.

При обновлении также нужно перезапускать процессы, чьи бинарники были заменены.

Дык они и так перезапускаются на этапе настройки. По крайней мере не видел такого, чтобы при обновлении пакетов не из сторонних реп сервисы не перезапускались.

как вы сами решаете проблему авто обновления?

Отказом от оного и обновлением вручную, когда скучно. Тогда всё видишь, что обновилось, возникли ли какие-то проблемы или выборы, и не получаешь неожиданных сюрпризов.

Автоматические обновления рано или поздно приведут к каким-то неожиданностям. Возможно поздно, а не рано. Возможно не каким-то критическим. Но точно приведут.

Использую эти команды когда нужно обновить образ Vagrant и затем настроить через Ansible:

sudo DEBIAN_FRONTEND=noninteractive apt-get update -y
sudo DEBIAN_FRONTEND=noninteractive apt-get \
-o Dpkg::Options::='--force-confnew' \ # использовать новый файл
-o Dpkg::Options::='--force-confdef' \
upgrade -yq

Детали можно здесь посмотреть: https://unix.stackexchange.com/q/641099

Я это к тому, что у более умных (чем я) дядь дебиан уже настроен на эти апдейты. :)

Даже если так, то ядро, системда, d-bus и прочяя системная лабуда сама себя в процессе обновления не перезапустит

Про ядро согласен, хотя в Ubuntu LTS есть какие-то online-обновления без перезагрузку. У systemd есть daemon-reexec для перезагрузки конфигурации и перезапуска самого менеджера. В выводе dmesg при этом появится сообщение от PID 1 с версией и конфигурацией. Журнал и прочее перезапускаются так же штатно.

Про d-bus не знаю. Помню, что d-bus или udev при обновлении пишут, что для завершения обновления нужна перезагрузка.

daemon-reexec

Не знал, возьму на вооружение

в Ubuntu LTS есть какие-то online-обновления без перезагрузки

Если речь про kexec, то там не совсем без ребута. Скорее с очень быстрым ребутом за счёт загрузки нового ядра в оперативную память. Ну и плюс, если используется LUKS, с kexec возникает совершенно не стоящий того геморрой. Быстрее уж по старинке

Если речь про kexec

Нет, речь про livepatch: https://netpoint-dc.com/blog/livepatch-obnovlenie-jadra-linux-bez-perezagruzki/