Модуль ip_set грузится из пакета kernel-image (kernel/net/netfilter/ipset/*), т.к. в пакете kernel-modules-ipset он упакован в каталог ipset/, а не updates/, и игнорируется при загрузке модуля.
не совсем понятно, кто свежее - модуль в ядре или в пакете ipset. думаю что надо просто удалить этот пакет с модулем.