слушай, ну что ты тут можешь проконтролировать, если это дебиан? Который в борьбе за экономию места на зеркалах (чтобы было куда сложить ненужные кучи мусора "мы первые в мире по числу ненужнопакетов")  не хранит никаких версий пакетов, кроме распоследней?

И даже команды "обновить отдельный пакет" в нем не предусмотрено by design.

Либо принимать как данность, либо жить без обновлений/с эпизодическими обновлениями, надеясь на защиту периметра (молясь чтобы это не был еще один дебиан с лейбаком кого-нибудь модного).

В конце-концов, у вмвари то же самое. То есть вот за все эти великие тыщи зеленых бумажек ты не можешь даже отдельно отказаться от улучшизма с kpti/прочего бреда, жрущего ресурсы как свинья, тебе даже не удастся точно угадать, с какого именно апдейта конца 17го года тебе его принудительно впендюрили.

Тут хоть на zfs'ный снапшот можно попробовать откатиться (в надежде, что апдейт не поменял ничего в zfs или ceph, если ты ее используешь, такого, что откат уже и невозможен вообще). А проще плюнуть и расслабиться - в конце-концов, если возникнет массовая проблема, они ее исправят довольно быстро.

А учитывая общую сырость всей системы - возможно, автоматические апдейты позволят тебе НЕ налететь на грабли, вовремя заменив дефективное ядро или дефективный синкер, до того как оно у тебя проявится.