Isso porque apt-get upgrade não instala novos pacotes.
Devido à forma como os pacotes do kernel são construídos, toda nova versão (bugfix) do pacote tem um nome diferente. Além disso, você instala um metapacote, que sempre dependerá do kernel mais recente.
Isto tem como efeito secundário que a atualização do metapacote para o kernel sempre requer que um novo pacote seja instalado (o novo kernel), o qual o update-manager fará felizmente por você.
apt-get upgrade no entanto, irá estritamente atualizar os pacotes e não instalará novos pacotes. Se você executar apt-get upgrade , verá que o meta-pacote do kernel está sendo retido (por esse motivo, apesar de não lhe dar a razão).
Portanto, em vez de apt-get upgrade , execute apt-get dist-upgrade para atualizar o meta-pacote do kernel e instalar a versão mais recente do kernel.