Actualizaciones de seguridad del SO
PlusPanel OS es el sistema operativo que ejecuta cada servidor PlusPanel. Lo mantenemos de forma centralizada: nunca tienes que parchearlo tú. Las correcciones de seguridad llegan a tus servidores como imágenes nuevas y firmadas, que se aplican de forma atómica y pueden revertirse.
Qué vigilamos
Sección titulada «Qué vigilamos»Cada día comparamos la lista exacta de paquetes de las imágenes de PlusPanel OS que publicamos (su lista firmada de componentes de software, SBOM) con:
- los avisos de seguridad de AlmaLinux, la distribución sobre la que se construye PlusPanel OS, y
- la base de datos de vulnerabilidades de Trivy, que también cubre las dependencias Go del agente de PlusPanel.
El agente de PlusPanel y nuestro registro de distribución también se analizan a diario con govulncheck.
Actualizaciones exprés y rutinarias
Sección titulada «Actualizaciones exprés y rutinarias»| Clase | Qué significa | Objetivo |
|---|---|---|
| Exprés | Hay una corrección para una vulnerabilidad crítica o alta (AlmaLinux: Critical o Important) en la imagen | una imagen nueva y firmada en Preview en un plazo de 48 horas desde que la corrección está disponible en origen para los problemas críticos, 5 días para los altos |
| Rutinaria | Correcciones para vulnerabilidades medias y bajas, actualizaciones de paquetes, renovaciones de la base | la versión mensual (a principios de cada mes) |
| En seguimiento | Una vulnerabilidad para la que aún no hay corrección en origen | se publica en la primera versión posterior a que exista la corrección |
“Disponible en origen” significa publicada por AlmaLinux en sus erratas y en la imagen base bootc de AlmaLinux. Si una vulnerabilidad no es alcanzable en PlusPanel OS (por ejemplo, la función vulnerable no está presente), podemos registrar una excepción revisada y limitada en el tiempo; las excepciones caducan como máximo a los 90 días y se revisan en cada versión mensual.
Canales
Sección titulada «Canales»- Preview · Acceso anticipado recibe primero cada imagen nueva, incluidas las imágenes de seguridad exprés, después de superar nuestros controles.
- Stable · Producción (el predeterminado) recibe una imagen después de validarse en Preview, mediante un despliegue por etapas: nuestros propios servidores, un anillo canary del 2 % y después olas del 10 %, 50 % y 100 %, cada anillo solo después de que el anterior se haya mantenido sano, dentro de la ventana de mantenimiento de cada servidor, con reversión automática de un servidor cuyos controles de salud fallen (y la detención del despliegue).
- Las imágenes de seguridad exprés usan los mismos anillos y controles de salud, con periodos de observación más cortos y un aviso a los clientes con 1 hora de antelación; no se omite ningún control.
Eliges el canal por servidor en el panel, o uno predeterminado para tu organización. Detalles: Cómo funcionan las actualizaciones.
Por lo que pasa cada imagen
Sección titulada «Por lo que pasa cada imagen»Antes de llegar a Preview, una imagen debe:
- construirse a partir de fuentes fijadas (imagen base por digest, agente por versión);
- no tener ninguna vulnerabilidad alta o crítica con corrección disponible, salvo las excepciones revisadas;
- superar las pruebas de humo de la imagen, una prueba de arranque en contenedor y una prueba de arranque en máquina virtual;
- arrancar como servidor nuevo desde su propia imagen de instalación en nuestro laboratorio, registrarse en nuestro plano de control y ejecutar un trabajo firmado;
- estar firmada, con sus SBOM (SPDX y CycloneDX) y su procedencia de compilación (SLSA) adjuntos como atestaciones firmadas.
Qué comprueba tu servidor
Sección titulada «Qué comprueba tu servidor»Un servidor PlusPanel solo se instala o se actualiza a una imagen firmada con la clave de versiones de PlusPanel para exactamente esa imagen y que lleva un SBOM firmado para exactamente esa imagen. El agente rechaza cualquier otra cosa antes de descargarla, y lo mismo hace el instalador cuando convierte un servidor existente. Una actualización rechazada nunca toca el sistema en ejecución.
Feed legible por máquinas
Sección titulada «Feed legible por máquinas»La versión actual de cada canal y las vulnerabilidades que cierra cada versión se publican como JSON en
https://pluspanel.net/security/os-updates.json. El registro de cambios enumera las mismas
versiones en lenguaje sencillo.
Informar de una vulnerabilidad
Sección titulada «Informar de una vulnerabilidad»Escribe a ops@pluspanel.net con “security” en el asunto. Por favor, no abras incidencias públicas para vulnerabilidades.