- unattended-upgrades и apt-daily-upgrade.timer на сервере enabled, патчи тянутся только из security-репозиториев