Comment mettre à niveau Ubuntu avec des correctifs de sécurité sans mettre à jour PHP avec une nouvelle version majeure?

Vous pouvez empêcher la mise à niveau d'un package en utilisant apt-mark. Il suffit d'exécuter :

sudo apt-mark hold php7.2

Cela peut être annulé en débloquant le package :

sudo apt-mark unhold php7.2

Vous pouvez également afficher les packages bloqués en exécutant :

apt-mark showhold

Une fois qu'un package est bloqué, il ne sera pas mis à niveau lors de l'exécution de apt dist-upgrade et d'autres commandes de mise à niveau.

Cette solution ne mettra pas du tout à jour le package, même pas les versions mineures. Je crois que vous devrez débloquer manuellement le package, puis exécuter sudo apt install php7.2 pour obtenir les versions mineures à jour.