CVE-2026-109518: Вразливість APT дозволяє виконання коду за допомогою атаки MitM з привілеями root

Вразливість високого рівня в APT, системі управління пакетами, яка використовується Debian, Ubuntu та похідними дистрибутивами Linux, може дозволити атакувачу, який знаходиться на шляху передачі, замінити перевірений програмний пакет на шкідливий і виконати довільний код з привілеями root. Відстежена як CVE-2026-109518, ця вразливість має оцінку CVSS 4.0 на рівні 7.7 та впливає на завантаження HTTP і обробку повторних спроб в APT.

Вразливість викликана некоректною обробкою жорстких посилань, коли APT слідує за HTTP-перенаправленнями та повторює невдалі завантаження пакетів. У певних умовах два різні завантаження можуть об’єднатися після перенаправлення, що призводить до їх вирішення на одному URI. Зловмисник, який може маніпулювати трафіком між клієнтом APT та сховищем, може зловживати цією поведінкою, щоб замінити .deb-пакет, контрольований зловмисником, після того, як перевірка вже відбулася.

Оскільки пакети Debian можуть виконувати скрипти установки з привілеями root, успішна експлуатація може призвести до повного компрометування системи. Однак для експлуатації потрібно кілька умов: жертва повинна ініціювати установку пакета, APT має спілкуватися через маніпульований HTTP, і опція Acquire::Retries повинна бути встановлена на значення, яке не дорівнює нулю.

Випуски Ubuntu 22.04 LTS та новіші за замовчуванням вразливі, оскільки повтори увімкнені. Debian подібним чином увімкнув повтори за замовчуванням з версії APT 2.3.2, зокрема для Debian 12. Старіші версії можуть залишатися вразливими, якщо адміністратори або скрипти автоматизації вручну вмикають повтори.

Зв’язатися з відділом продажів

Вразливість була виявлена дослідником безпеки Максом Юстіцом і публічно розкрита 4 листопада 2026 року. Debian та Ubuntu випустили оновлення безпеки в той же день. Жоден з постачальників наразі не повідомляє про експлуатацію цієї вразливості в реальних атаках.

Команди безпеки можуть використовувати AI-Native Detection Intelligence Platform від SOC Prime, щоб перетворити інтелект загроз у практичні рішення та зміцнити захист від атак на ланцюжок постачання програмного забезпечення, зловживання менеджером пакетів, виконання шкідливих даних та дій після компрометації у середовищах SIEM, EDR, XDR та Data Lake.

Виявити CVE-2026-109518 можна, відстежуючи підозрілі зміни в трафіку сховищ пакетів, несподівані перенаправлення або повторні невдачі у завантаженні пакетів, аномальні установки пакетів та нові привілейовані процеси, що виникають одразу після активності APT.

Контент для виявлення може бути недоступним для кожного CVE. Перевірте платформу SOC Prime для отримання актуального покриття. Якщо релевантні виявлення ще не доступні, перевіряйте знову, оскільки нові дані про загрози та контент для виявлення безперервно додаються.

Аналіз CVE-2026-109518

CVE-2026-109518 впливає на розгортання APT на Debian, Ubuntu та похідних дистрибутивах Linux, коли файли пакетів завантажуються через шлях HTTP, яким може маніпулювати атакувальник, та функціональність повторів увімкнена. Ubuntu класифікує цю вразливість як високу з оцінкою CVSS 4.0 на рівні 7.7 та вектором CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA.

APT відповідає за завантаження, перевірку та встановлення пакетів на системах Linux, заснованих на Debian. Автентичність пакета зазвичай спирається на механізми підпису репозиторіїв Debian та Ubuntu, що розроблені для забезпечення того, що пакети, які доставляються через дзеркала, не можуть бути тихо змінені недовіреною стороною.

CVE-2026-109518 порушує важливу частину цієї моделі довіри за певних умов завантаження.

Ця вразливість виникає, коли APT обробляє HTTP-перенаправлення і повтори. За словами консультативного повідомлення Debian, APT може об’єднувати два окремих завантаження пакетів, коли перенаправлення призводить до того, що вони мапя з тим самим URI. Коли завантаження згодом потребує відновлення, неправильна обробка повторно використаних жорстких посилань може дозволити перезаписати контент, пов’язаний з уже перевіреним пакетом.

Атакуючий спочатку повинен мати можливість маніпулювати HTTP-трафіком між жертвою і архівом пакетів. Потенційні позиції включають зловмисного або скомпрометованого мережевого посередника, проксі, Wi-Fi мережу або дзеркало пакетів. Ubuntu явно включає зловмисні дзеркала та проксі у свою модель загроз.

Потім атакуючий може використовувати перенаправлення разом з транзиторними HTTP-помилками, щоб змусити APT перейти до шляху повторних спроб. Коли APT повторює завантаження пакета, помилка в обробці жорстких посилань може стати причиною того, що дані, контрольовані атакувальником, замінюють контент, який вже пройшов перевірку.

Це дозволяє шкідливому пакету обійти захист, зазвичай наданий підписами репозиторіїв.

Вплив стає особливо суворим, оскільки пакети .deb можуть містити скрипти супроводжувачів, які виконуються під час установки. Ці скрипти запускаються з привілеями root, коли пакети встановлюються, що означає, що атакувач, який успішно замінить пакет, може виконати команди з повними привілеями системи.

Ця вразливість не означає, що кожен хост Debian або Ubuntu може бути віддалено скомпрометований у будь-який час. Атака вимагає, щоб система жертви здійснювала установку пакета або його оновлення, у той час як атакувач може втрутитися у мережевий шлях.

Ще одна важлива передумова – Acquire::Retries.

APT використовує цю опцію для визначення, чи повинні невдалі завантаження автоматично повторюватися. Уразлива поведінка потребує значення, більшого за нуль. Розробники APT від Debian стверджують, що повтори увімкнено за замовчуванням з версії APT 2.3.2, в той час як Ubuntu підтверджує, що новіші випуски Ubuntu 22.04 LTS використовують ненульове значення за замовчуванням.

Тому старі системи не обов’язково захищені. Хоча в Ubuntu 20.04 LTS і раніших випусках повтори не увімкнені за замовчуванням, налаштування за замовчуванням можуть встановити Acquire::Retries вручну та зробити такі системи вразливими.

Вразливість існує в бекенді HTTP APT і тому застосовується до всіх фронтендів, що базуються на APT, включаючи apt, apt-get, aptitude та графічні програми Ubuntu, які в кінцевому підсумку використовують ту ж саму підкладкову інфраструктуру управління пакетами. Пакети Snap не піддаються цій вразливості, оскільки використовують інший механізм дистрибуції.

HTTPS також значно змінює поверхню атаки. Ubuntu заявляє, що TLS захищає від цієї вразливості, оскільки атакуючий повинен мати змогу змінити HTTP-трафік під час передачі. Джерела пакетів, доступні виключно через належним чином перевірений HTTPS, тому захищені від документованого методу атаки.

Ситуація з доказаєм концепції CVE-2026-109518 повинна бути інтерпретована з обережністю. Офіційні звіти Debian і Ubuntu не містять посилань на публічний експлойт, що демонструє повний компрометування root, і вони не повідомляють про шкідливе використання вразливості у дикій природі. Однак технічна інформація, опублікована розробниками APT, дозволяє зрозуміти вимоги до атаки достатньо, щоб захисники могли закрити необхідні прогалини.

Слабкість пов’язана з неправильною обробкою жорстких посилань та умовою «час перевірки/час використання». Запис CVE пов’язує її з CWE-62, UNIX Hard Link, та CWE-367, Time-of-check Time-of-use Race Condition.

Розробники APT випустили виправлені версії через кілька утримуваних гілок:

Гілка APT	Виправлена версія
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

Debian 13 «Trixie» отримала APT 3.0.4, в той час як Debian 12 «Bookworm» отримала версію 2.6.2.

Ubuntu випустила наступні виправлені пакети:

Випуск Ubuntu	Виправлена версія APT
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

Оновлення для старіших випусків Ubuntu вимагають покриття Ubuntu Pro або Extended Security Maintenance.

Для виявлення CVE-2026-109518 команди безпеки повинні співвідносити активність управління пакетами з даними телеметрії мережі та кінцевих точок. Повторні HTTP-перенаправлення, тимчасові невдачі у завантаженні, що безпосередньо слідують за успішним отриманням пакета, несподівані напрямки репозиторіїв або установка пакетів з незвичних мережевих шляхів можуть надати корисні основи для розслідування.

Моніторинг кінцевих точок повинен також виявляти незвичайні дочірні процеси, що запускаються під час або безпосередньо після виконання APT або dpkg. Оскільки успішна експлуатація призводить до встановлення пакета, контрольованого атакуючим, під користувачем root, підозріла командна оболонка, нові сервіси, змінені системні файли, механізми збереження, створення користувачів, доступ до облікових даних або несподівані вихідні з’єднання після установки пакета повинні розглядатися як високопріоритетні індикатори.

Логи APT і dpkg можуть надати додатковий контекст. Захисники повинні перевірити /var/log/apt/, /var/log/dpkg.log, записи системного журналу, телеМетрию проксі, DNS-логи та дані мережевої безпеки навколо підозрілих операцій з пакетами. Порівняння встановлених версій пакетів і їхніх контрольних сум з надійними репозиторіями дистрибуції може допомогти виявити несподівані модифікації.

На цей момент, поради постачальників не містять інфраструктури атакуючих, гешів шкідливого програмного забезпечення або специфічних для кампаній IOCs CVE-2026-109518, оскільки Debian і Ubuntu не зареєстрували активної шкідливої експлуатації. Поведінковий моніторинг тому є більш цінним, ніж пошук статичного списку IOC.

Захист від CVE-2026-109518

Основним заходом для усунення проблеми є установка оновленого пакета APT, що постачається Debian, Ubuntu або відповідним похідним дистрибутивом. Адміністратори не повинні покладатися виключно на мережеві контроли, оскільки виправлена реалізація APT виправляє обхід перевірки пакета на його джерелі.

Ubuntu рекомендує оновити всі встановлені пакети, явно відключивши повтори під час процесу оновлення:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Організації, які не можуть виконати повне оновлення системи, можуть націлюватися на сам APT:

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’

Встановлення нуля для повторів під час цієї операції заважає використанню вразливого шляху повтору, тим самим забезпечуючи завантаження й установку оновлення безпеки.

Команди безпеки повинні виконати наступні дії:

1. Проведіть інвентаризацію систем Debian, Ubuntu та похідних Linux, які використовують APT.
2. Визначте встановлену версію APT і порівняйте її з виправленим релізом від постачальника.
3. Пріоритезуйте системи та середовища, підключені до Інтернету, які використовують недовірені, сторонні або спільнотні дзеркала пакетів.
4. Застосуйте оновлення безпеки від постачальника з включеною опцією Acquire::Retries=0.
5. Підтвердіть, що виправлений пакет APT встановлено.
6. Перегляньте /etc/apt/sources.list та файли під /etc/apt/sources.list.d/ на предмет несподіваних HTTP-репозиторіїв.
7. Перекладіть джерела пакетів з HTTP на HTTPS, де це підтримується.
8. Перевірте інфраструктуру проксі та дзеркала пакетів на ознаки компрометації або несанкціонованої модифікації.
9. Розслідуйте несподівані установки пакетів, які відбулися до впровадження виправлення.

Ubuntu підтверджує, що перехід на HTTPS-репозиторії захищає від документованої атаки, оскільки для експлуатації необхідна модифікація HTTP-трафіку. Адміністратори повинні спочатку перевірити, чи підтримують їхні обрані дзеркала репозиторіїв TLS, а потім запустити sudo apt update, щоб переконатися, що конфігурація працює без помилок.

Використання HTTPS слід розглядати як захист в глибину, а не як заміну оновлення APT. Системи можуть пізніше використовувати інший репозиторій, проксі, робочі потоки автоматизації або кінцеву точку HTTP, тому встановлення виправленого пакета залишається необхідним.

Тимчасове встановлення значення Acquire::Retries до нуля надає ще один ефективний обхідний шлях від документованого стану експлуатації. Оскільки дефект залежить від повторних спроб APT при невдалому завантаженні, відключення повторів зупиняє досягнення уразливої кодової бази. Проте це налаштування може зменшити надійність завантаження пакетів, і його слід використовувати в основному при застосуванні фактичного оновлення безпеки.

Організації, які використовують незачеплені оновлення, повинні перевірити впровадження патчів, а не припускати, що кожна машина вже була виправлена. Ubuntu відзначає, що незачеплені оновлення увімкнено за замовчуванням з Ubuntu 16.04 LTS і зазвичай застосовують оновлення безпеки протягом 24 годин, але управління парком, мережеві обмеження, кастомні конфігурації репозиторіїв або вимкнені сервіси можуть перешкоджати успішній установці.

Якщо є підозра на компрометацію, адміністратори повинні зберегти логи APT, dpkg, проксі, мережі та систем до виправлення. Перегляньте пакети, встановлені під час підозрілого періоду, перевірте походження пакетів, огляньте скрипти супровідників та розслідуйте будь-які процеси на рівні root або механізми зберігання, засновані безпосередньо після цього.

Оскільки шкідливий пакет може виконувати довільні команди як root, підтверджена експлуатація повинна розглядатися як повне компрометування системи. Відновлення ураженого хоста з надійних носіїв може бути більш надійним, ніж спроби усунути окремі артефакти, особливо якщо атакувач міг змінити системні бінарні файли, сервіси, конфігурацію аутентифікації або компоненти на рівні ядра.