Debian 13.7「trixie」公開　107のセキュリティ更新項目を収録、Linux 6.12.107へ更新

Debian Projectは2026年9月12日、安定版Debian 13「trixie」の7回目のポイントリリースとなる「Debian 13.7」を公開しました。

Debian公式のリリース告知では、「Security Updates」表に107のパッケージ更新項目、「Miscellaneous Bugfixes」表に106の修正項目が掲載されています。Linuxカーネル、Chromium、Firefox ESR、OpenSSL、Samba、QEMUなど、サーバーや業務端末で利用される主要コンポーネントのセキュリティ修正が含まれています。

Debian 13.7は新しいメジャーバージョンではありません。Debian 13を利用中の環境は、既存のインストールを維持したまま通常のパッケージ更新で13.7相当へ移行できます。日常的にsecurity.debian.orgからセキュリティ更新を適用している環境では、今回新たに更新するパッケージは限定されるとDebian Projectは説明しています。

Debian 13.7のサマリー

• Debian 13.7は2026年9月12日に公開されました。
• Debian 13「trixie」の7回目のポイントリリースです。
• 新しいメジャーリリースではなく、Debian 13に対する累積的な更新です。
• Debian公式の「Security Updates」表には107のパッケージ更新項目が掲載されています。
• 「Miscellaneous Bugfixes」表には106の修正項目が掲載されています。
• 「107」はCVEの総数ではありません。同じDebian Security Advisory（DSA）が複数パッケージに対応する行もあり、個別CVEは1つの更新項目に複数含まれる場合があります。
• インストーラーのLinux ABIは6.12.107+deb13へ更新されました。
• Debian 13向けLinuxパッケージは6.12.107-1へ更新され、複数のカーネル脆弱性が修正されています。
• 新規インストール用イメージにもポイントリリースの修正が取り込まれます。
• 既存のDebian 13利用者は、最新のDebianミラーを利用した通常のパッケージ更新で移行できます。

項目	内容
リリース	Debian 13.7
コードネーム	trixie
公開日	2026年9月12日
位置付け	Debian 13の第7ポイントリリース
セキュリティ更新表	107項目
その他修正表	106項目
Linuxパッケージ	6.12.107-1
インストーラーABI	6.12.107+deb13
メジャーアップグレード	不要。Debian 13のパッケージ更新
新規インストールメディア	13.7の修正を取り込んだイメージを提供

「107件」はCVE件数ではなくセキュリティ更新表の項目数

二次情報ではDebian 13.7について「107 security updates」と紹介されています。

Debian公式リリースの「Security Updates」セクションを確認すると、DSAと対象パッケージの組み合わせが107行掲載されています。

ただし、この107を「107件の脆弱性」や「107個のCVE」と表現するのは正確ではありません。

例えばLinuxのセキュリティ更新では、同じDSAがlinux、linux-signed-amd64、linux-signed-arm64の複数行に掲載されています。また、1つのDSAやパッケージ更新で複数のCVEが修正される場合もあります。

加えて、「Miscellaneous Bugfixes」に分類されている更新の中にもCVE修正が多数含まれています。

したがって、Debian 13.7の脆弱性修正規模を把握する際は、107をCVE総数として扱わず、「公式のSecurity Updates表に掲載されたパッケージ更新項目数」と見る必要があります。

Linuxカーネルは6.12.107-1へ更新

Debian 13.7では、インストーラーが使用するLinux ABIが6.12.107+deb13へ更新されました。

Debian Security Advisory DSA-6477-1によると、Debian 13「trixie」向けLinuxパッケージでは、複数の脆弱性が6.12.107-1で修正されています。

DSA-6477-1に含まれるCVEは次のとおりです。

• CVE-2025-40074
• CVE-2026-64216
• CVE-2026-64581
• CVE-2026-74626
• CVE-2026-74653
• CVE-2026-74662
• CVE-2026-80536
• CVE-2026-80557
• CVE-2026-80562
• CVE-2026-80572
• CVE-2026-80583
• CVE-2026-80590
• CVE-2026-80725

Debianは、これらの問題により権限昇格、サービス拒否、情報漏えいなどにつながる可能性があるとしています。

Linuxカーネルの個別脆弱性については、Linux カーネルのact_peditモジュールに脆弱性CVE-2026-46331でもDebian 13を含む修正状況を整理しています。

Chromium、Firefox ESR、OpenSSL、Samba、Wiresharkなどを更新

Debian 13.7のSecurity Updates表には、デスクトップからサーバーまで幅広いパッケージが含まれています。

分類	主な更新対象
OS・カーネル	linux、linux-signed-amd64、linux-signed-arm64
Webブラウザ	chromium、firefox-esr
Web／メール	wordpress、exim4、postfix、roundcube
DNS	bind9、pdns、pdns-recursor、dnsdist
暗号・認証	openssl、nss、libssh
ファイル共有	samba
仮想化	xen
コンテナ・クラウド	docker.io、incus、OpenStack関連パッケージ
Java	openjdk-21、openjdk-25
ネットワーク解析	wireshark
Webレンダリング	webkit2gtk

同じパッケージが複数回更新されているケースもあります。Chromium、Firefox ESR、LinuxカーネルなどはDebian 13.7までの期間に複数のDSAが発行されており、それらがポイントリリースへ集約されています。

Sambaの脆弱性については、Sambaに2件の致命的な脆弱性CVE-2026-4408とCVE-2026-4480でも修正内容を整理しています。

通常修正の一覧にも多数のCVE対応を含む

Debian公式ではSecurity Updatesとは別に、「Miscellaneous Bugfixes」として106の更新項目を掲載しています。

名称上は一般的なバグ修正ですが、この一覧にもセキュリティ問題への対応が多数含まれています。

例えば次のような修正があります。

• alsa-lib：ヒープオーバーフローのCVE-2026-25068
• ansible-core：任意コードインジェクションのCVE-2026-11332
• dnsmasq：バッファオーバーフローのCVE-2026-12725、境界外読み取りのCVE-2026-12969
• glib2.0：複数の境界外アクセス、情報漏えい、整数アンダーフロー
• glibc：バッファオーバーフロー／アンダーフロー
• ImageMagick：複数のバッファオーバーフロー、Use-After-Free、情報漏えいなど
• QEMU：Secure Boot回避、バッファオーバーフロー、Use-After-Freeなど多数
• wolfSSL：暗号処理、証明書検証、TLSハンドシェイク関連の複数修正

そのため、Debian 13.7を「107件だけのセキュリティ修正」と捉えると、実際の修正範囲を過小評価する可能性があります。

Debian 13.7は新しいOSではなく累積ポイントリリース

Debian Projectは、13.7がDebian 13の新しいメジャーバージョンではないことを明記しています。

Debian 13.0は2025年8月9日に公開され、その後、13.1から13.7までポイントリリースが提供されてきました。

既存のDebian 13環境では、13.7のISOイメージを使って再インストールする必要はありません。最新のDebianミラーを参照してパッケージを更新すれば、現在の安定版パッケージへ移行できます。

Debianは、日常的にsecurity.debian.orgからセキュリティ更新を適用している環境では、今回のポイントリリース時に追加で更新するパッケージは多くないと説明しています。

新規インストール用イメージも更新

Debian 13.7ではDebian Installerも更新され、ポイントリリースに含まれる修正が新しいインストールメディアへ反映されます。

新規構築するサーバーや端末では、13.7の最新イメージを利用することで、初期状態から今回の修正を含む環境を導入できます。

一方、既存環境では再インストールは不要です。

対応アーキテクチャはamd64、arm64、armhf、ppc64el、riscv64、s390x

Debian 13の主要な対応アーキテクチャは次の6種類です。

• amd64
• arm64
• armhf
• ppc64el
• riscv64
• s390x

i386はamd64環境で32bitソフトウェアを実行するためのco-architectureとしてサポートされます。

armelについては、新規インストール対象ではなく、既存環境からのアップグレードのみサポートされています。

一部の二次情報ではarmelをDebian 13の通常対応アーキテクチャに含めていますが、Debian公式のtrixieリリース情報では、新規インストール対象と区別されています。

Debian 13利用企業が確認したい更新状況

Debian 13をサーバー、クラウドVM、コンテナホスト、開発環境などで利用している企業では、ポイントリリース番号そのものより、対象パッケージへ実際に修正版が適用されているかを確認します。

• Debian 13環境で未適用の更新が残っていないか
• Linuxカーネル更新後に再起動が必要なサーバーを把握しているか
• Chromium、Firefox ESRなど利用者端末の更新が完了しているか
• OpenSSL、Samba、Bind、Postfixなど外部公開サービスの更新状況を確認しているか
• Docker、QEMU、Xenなど仮想化・コンテナ基盤の修正版を適用しているか
• 長期間再起動していないサーバーで旧カーネルが稼働し続けていないか
• 自動更新を利用していない検証環境、踏み台、管理サーバーが残っていないか
• Debian公式Security TrackerやDSAを脆弱性管理へ取り込めているか

通常の更新では、利用環境の変更管理手順に従ってパッケージを更新します。

sudo apt update
sudo apt full-upgrade

カーネルや基盤ライブラリが更新された場合は、再起動が必要かどうかも確認します。

出典

• Updated Debian 13: 13.7 released – Debian Project
• Debian “trixie” Release Information – Debian Project
• Debian 13 — Errata – Debian Project
• DSA-6477-1 linux security update – Debian Security
• Debian Security Information – Debian Project