Swati Khandelwal 4 Kasım 2026 Linux / Güvenlik Açığı
APT, Debian ve Ubuntu'nun paket yöneticisi. Bu yazılımda bulunan bir açık, paket indirmelerini değiştirebilen bir saldırganın doğrulanmış bir paketi kendi paketiyle değiştirmesine olanak tanıyor.
Saldırganın kodu root olarak çalışıyor. Debian, Ubuntu ve APT geliştiricilerinin 4 Kasım'da yayımladığı uyarılara göre saldırı, APT'nin başarısız indirmeleri yeniden denemesini gerektiriyor. Bu özellik varsayılan olarak Debian 12 ve Ubuntu 22.04'ten itibaren aktif.
Debian, CVE-2026-109518 olarak tanımlanan açık için APT'nin düzeltilmiş sürümlerini yayımladı. Açığı kritik olarak nitelendiren APT geliştiricileri, Ubuntu ve Ubuntu Pro abonelik hizmeti için güncellemelerin yayımlanmakta olduğunu söylüyor. Ubuntu Pro'ya sahip Ubuntu 14.04 kullanıcıları güncellemeye şimdiden ulaşabiliyor.
Ubuntu'ya göre Debian 11 ve Ubuntu 20.04 gibi eski sürümler varsayılan olarak etkilenmiyor. Ancak APT geliştiricilerine göre birçok kullanıcı betiği bu sürümlerde Acquire::Retries yeniden deneme ayarını açmış olabilir.
4 Kasım'da UTC 14:58 itibarıyla Debian'ın test dalı hâlâ savunmasız 3.3.5 sürümündeydi. 31 Ağustos'ta uzun süreli desteği sona eren Debian 11 için APT geliştiricileri 2.2.5 sürümünü yayımladı.
Ubuntu açığı yüksek öncelikli olarak değerlendiriyor ve CVSS 4.0 puanını 7.7 olarak veriyor. Dağıtım, Debian ve Ubuntu üzerine kurulu dağıtımların da etkilendiğini, isim vermeden belirtiyor.
Ubuntu, 4 Kasım'da UTC 14:25'te güvenlik arşivine dört sürümü için yeni APT derlemeleri yayımladı:
Ubuntu 26.10: 3.3.3ubuntu0.1
Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
UTC 15:46 itibarıyla Ubuntu, 14.04 LTS'ten 26.10'a kadar takip ettiği sekiz sürümün tamamını hâlâ savunmasız olarak işaretliyordu.
Ubuntu'ya göre saldırgan, APT ile paket sunucusu arasındaki HTTP trafiğini değiştirebilen herkes olabilir; kötü niyetli bir ayna veya proxy de bu rolü üstlenebilir. Saldırı bilgisayar bir paket kurarken gerçekleşiyor. APT geliştiricilerine göre saldırgan HTTP yönlendirmeleri ve geçici sunucu hatalarını kullanarak APT'yi indirmeyi yeniden denemeye zorluyor.
Açığı Max Justicz bildirdi. Üç uyarı raporunun hiçbiri açığın istismar edildiğini anlatmıyor ve güncelleme yapamayan sistemler için geçici çözüm sunmuyor. Raporlar saldırıyı HTTP üzerinden tanımlıyor ve HTTPS üzerinden erişilen paket kaynaklarının etkilenip etkilenmediğini belirtmiyor.
