Критична вразливість CVE-2026-109518 у менеджері пакетів APT дозволяє зловмиснику, який здатен перехоплювати HTTP-трафік між клієнтом і репозиторієм, підмінити вже перевірений пакет на шкідливий і домогтися виконання довільного коду з привілеями root. Зачеплено Debian, Ubuntu і похідні дистрибутиви. Виправлення вже доступні: адміністраторам систем на базі Debian 12 і новіших, а також Ubuntu 22.04 LTS і новіших слід негайно оновити APT, оскільки ці версії вразливі в конфігурації за замовчуванням. Тимчасові заходи — перехід на HTTPS-джерела пакетів або вимкнення повторних спроб завантаження.
Механізм атаки та технічні умови
Згідно з бюлетенем безпеки Ubuntu, вразливість пов’язана з повторним використанням жорстких посилань (hard links) в HTTP-бекенді APT. Зловмисник, який знаходиться на шляху між клієнтом і сервером пакетів — чи то шкідливе дзеркало, скомпрометований проксі або інший спосіб маніпуляції HTTP-трафіком, — використовує HTTP-перенаправлення і тимчасові серверні помилки, щоб змусити APT повторити завантаження. Під час повторного завантаження APT може об’єднати два різні завантаження після того, як HTTP-перенаправлення присвоїть їм однаковий URI. Некоректна обробка файлів під час відновлення завантаження дозволяє підмінити пакет після його верифікації, як описує Debian у DSA-6607-1.
Ключова умова експлуатації — ненульове значення параметра Acquire::Retries. Починаючи з Debian 12 (bookworm) і Ubuntu 22.04 LTS значення за замовчуванням установлено в 3, що робить ці та новіші релізи вразливими «з коробки». Старіші версії (Debian 11, Ubuntu 20.04 і раніші) не піддаються атаці в конфігурації за замовчуванням, однак, як зазначають розробники APT, багато користувацьких скриптів і посібників рекомендують вмикати повторні спроби, що розширює поверхню атаки.
Вразливість зачіпає HTTP-бекенд бібліотеки APT і всі фронтенди на її основі: apt, apt-get, aptitude, а також графічні застосунки Ubuntu для керування пакетами. Згідно з блогом Ubuntu, встановлення пакетів через snap не зачіпається, оскільки snap використовує окрему систему керування пакетами.
Оцінка серйозності
Ubuntu надає вразливості оцінку CVSS v4.0 7.7 (High). Розробники APT у власному бюлетені характеризують її як критичне обходження верифікації файлів. Різниця в оцінках відображає різні методології: CVSS враховує необхідність участі користувача (запуск установлення пакета) і наявність зловмисника на шляху трафіку, тоді як розробники APT акцентують увагу на тому, що обходиться фундаментальний механізм довіри до пакетів.
На момент публікації бюлетенів даних про активну експлуатацію вразливості не надходило. Запис CVE-2026-109518 в NVD зареєстровано.
Зачеплені версії та доступні виправлення
Згідно з трекером безпеки Debian, вразливі та виправлені версії APT для Debian розподіляються таким чином:
- bookworm: вразлива 2.6.1, виправлено в 2.6.2
- trixie: вразлива 3.0.3, виправлено в 3.0.4
- forky: виправлено в 3.3.6
- sid: виправлено в 3.3.7
Ubuntu опублікувала виправлення для восьми релізів. Для поточних підтримуваних версій:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Для старих релізів виправлення доступні через Ubuntu Pro та програму розширеної підтримки (ESM):
- Ubuntu 20.04: 2.0.12+esm1
- Ubuntu 18.04: 1.6.19+esm1
- Ubuntu 16.04: 1.2.36+esm1
- Ubuntu 14.04: 1.0.1ubuntu2.24+esm4
Пріоритизація та практичні рекомендації
Найбільшому ризику піддаються системи, які одночасно використовують HTTP-джерела пакетів і мають ненульове значення Acquire::Retries. Для Debian 12 і новіших, Ubuntu 22.04 LTS і новіших це конфігурація за замовчуванням. Адміністраторам старих релізів варто перевірити, чи не було значення Acquire::Retries змінено вручну — у файлах /etc/apt/apt.conf.d/ або через скрипти автоматизації.
Рекомендовані дії:
- Установити оновлення APT. Перед оновленням тимчасово вимкніть повторні спроби завантаження:
apt -o Acquire::Retries=0 update && apt -o Acquire::Retries=0 upgrade apt. - Перевести джерела пакетів на HTTPS. Використання TLS захищає від цього вектора атаки, оскільки експлуатація потребує маніпуляції незашифрованим HTTP-трафіком. Це тимчасовий захід, який не замінює встановлення патча.
- Перевірити похідні дистрибутиви. Ubuntu зазначає, що дистрибутиви, засновані на Debian і Ubuntu, також зачеплено. Якщо ви використовуєте такий дистрибутив, уточніть у його розробників статус виправлення.
Раніше ми вже висвітлювали вразливості, що зачіпають екосистему Ubuntu, — зокрема, критичну RCE в ядрі Linux IPv4 TCP. Поточна вразливість в APT відрізняється тим, що компрометує сам механізм доставки оновлень: якщо менеджер пакетів скомпрометовано, під загрозою опиняється весь ланцюжок довіри до програмного забезпечення системи.
Вразливість CVE-2026-109518 підриває один із базових механізмів безпеки Linux-систем — верифікацію пакетів під час встановлення. З огляду на масштаб розгортання Debian і Ubuntu в серверній інфраструктурі, контейнерних середовищах і хмарних платформах, першочергова дія — оновити APT на всіх зачеплених системах із використанням параметра Acquire::Retries=0 безпосередньо під час оновлення, а на системах, де негайне оновлення неможливе, — переключити джерела пакетів на HTTPS.
