CVE-2026-109518: Luka APT umożliwia zdalne wykonanie kodu z uprawnieniami root przez MitM

Luka o wysokiej wadze wykryta w APT, systemie zarządzania pakietami używanym przez Debian, Ubuntu i pochodne dystrybucje Linuksa, może umożliwić atakującemu „w trasie” zastąpienie zweryfikowanego pakietu oprogramowania szkodliwym i wykonanie dowolnego kodu z uprawnieniami roota. Zarejestrowana jako CVE-2026-109518, luka posiada ocenę CVSS 4.0 wynoszącą 7.7 i wpływa na pobieranie HTTP oraz obsługę ponownych prób APT.

Luka spowodowana jest niewłaściwą obsługą twardych linków, gdy APT podąża za przekierowaniami HTTP i ponawia nieudane pobieranie pakietów. W odpowiednich warunkach dwa różne pobierania mogą zostać połączone po tym, jak przekierowanie spowoduje, że zostaną przypisane do tego samego URI. Atakujący, który jest w stanie manipulować ruchem między klientem APT a repozytorium, może wykorzystać to zachowanie, aby podstawić kontrolowany przez siebie pakiet .deb po tym, jak weryfikacja już się odbyła.

Ponieważ pakiety Debiana mogą wykonywać skrypty instalacyjne z uprawnieniami roota, pomyślna eksploatacja może prowadzić do całkowitego przejęcia systemu. Eksploatacja wymaga jednak spełnienia kilku warunków: ofiara musi zainicjować instalację pakietu, APT musi komunikować się przez manipulowalny HTTP, a opcja Acquire::Retries musi być ustawiona na wartość różną od zera.

Ubuntu 22.04 LTS i nowsze wydania są domyślnie narażone, ponieważ ponowienia są włączone. Debian również włączył ponowienia domyślnie od APT 2.3.2, w tym Debian 12. Starsze wydania nadal mogą być narażone, gdy administratorzy lub skrypty automatyzujące włączają ponowienia ręcznie.

Kontakt z działem sprzedaży

Luka została odkryta przez badacza bezpieczeństwa Maxa Justicza i publicznie ujawniona 4 listopada 2026 roku. Debian i Ubuntu wydały w tym samym dniu aktualizacje bezpieczeństwa. Żadna z porad vendorowych obecnie nie zgłasza eksploatacji tej luki w rzeczywistych atakach.

Zespoły ds. bezpieczeństwa mogą wykorzystać Platformę Inteligencji Wykrywania AI-Native firmy SOC Prime, aby wdrożyć inteligencję zagrożeń i wzmocnić obronę przed atakami na łańcuch dostaw oprogramowania, nadużyciem menedżerów pakietów, wykonywaniem szkodliwych ładunków i działaniami po przejęciu w środowiskach SIEM, EDR, XDR i Data Lake.

Wykryj CVE-2026-109518 monitorując podejrzane zmiany w ruchu repozytoriów pakietów, nieoczekiwane przekierowania lub powtarzające się niepowodzenia pobrań pakietów, anormalne instalacje pakietów i nowe uprzywilejowane procesy, które pojawiają się natychmiast po aktywności APT.

Zawartość wykrywania może nie być dostępna dla każdej CVE. Sprawdź platformę SOC Prime, aby uzyskać bieżący zasięg. Jeśli istotne wykrycia nie są jeszcze dostępne, sprawdź ponownie, ponieważ nowe informacje o zagrożeniach i zawartość wykrywania są ciągle dodawane.

Analiza CVE-2026-109518

CVE-2026-109518 wpływa na wdrożenia APT na Debianie, Ubuntu i pochodnych dystrybucjach Linuksa, kiedy pliki pakietowe są pobierane przez manipulowalną przez atakującego ścieżkę HTTP i funkcjonalność ponowienia jest włączona. Ubuntu klasyfikowało lukę jako High z oceną CVSS 4.0 wynoszącą 7.7 i wektorem CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA.

APT jest odpowiedzialny za pobieranie, weryfikowanie i instalowanie pakietów na systemach linuksowych opartych na Debianie. Autentyczność pakietów opiera się zwykle na mechanizmach podpisu repozytoriów Debiana i Ubuntu, zaprojektowanych, aby zapewnić, że pakiety dostarczane przez mirrory nie mogą być potajemnie modyfikowane przez niezaufane pośredniczące podmioty.

CVE-2026-109518 łamie istotną część tego modelu zaufania w określonych warunkach pobierania.

Luka występuje, kiedy APT obsługuje przekierowania HTTP i ponowienia. Według poradnika Debiana, APT może połączyć dwa oddzielne pobierania pakietów, gdy przekierowanie powoduje, że dzielą one ten sam URI. Kiedy następnie trzeba wznowić pobieranie, niewłaściwa obsługa ponownie wykorzystanych twardych linków może pozwolić na nadpisanie zawartości powiązanej z już zweryfikowanym pakietem.

Atakujący najpierw musi mieć możliwość manipulowania ruchem HTTP między ofiarą a archiwum pakietów. Potencjalne pozycje to złośliwe lub skompromitowane pośredniczące sieci, proxy, sieć Wi-Fi lub mirror pakietów. Ubuntu explicite uwzględnia złośliwe mirrory i proxy w swoim modelu zagrożeń.

Atakujący może następnie użyć przekierowań razem z przejściowymi błędami HTTP, aby wymusić na APT wejście na ścieżkę ponawiania. Kiedy APT ponawia pobieranie pakietu, wada w obsłudze twardych linków może spowodować, że dane kontrolowane przez atakującego zastępują zawartość związaną z pakietem, który już przeszedł weryfikację.

Pozwala to na obejście ochrony normalnie zapewnianej przez podpisy repozytorium.

Wpływ staje się szczególnie poważny, ponieważ pakiety .deb mogą zawierać skrypty opiekunów wykonywane podczas instalacji. Te skrypty działają z uprawnieniami roota, kiedy pakiety są instalowane, co oznacza, że atakujący, który pomyślnie podmienia pakiet, może wykonywać polecenia z pełnymi uprawnieniami systemu.

Luka nie oznacza, że każdy host z Debianem lub Ubuntu może być zdalnie przejęty w dowolnym momencie. Atak wymaga, aby system ofiary wykonywał instalację lub aktualizację pakietu podczas, gdy atakujący może ingerować w ścieżkę sieciową.

Innym ważnym wymogiem jest Acquire::Retries.

APT używa tej opcji do określenia, czy nieudane pobrania powinny być automatycznie ponawiane. Narażone zachowanie wymaga wartości większej niż zero. Deweloperzy APT Debiana twierdzą, że ponowienia są włączone domyślnie od APT 2.3.2, podczas gdy Ubuntu potwierdza, że Ubuntu 22.04 LTS i nowsze wersje używają domyślnej wartości różnej od zera.

Starsze systemy nie są więc koniecznie bezpieczne. Chociaż Ubuntu 20.04 LTS i wcześniejsze wydania nie włączają ponowień domyślnie, niestandardowa konfiguracja, automatyzacja wdrożeniowa lub skrypty administratorów mogą ręcznie ustawić Acquire::Retries i sprawić, że te systemy będą podatne.

Luka istnieje w zapleczu HTTP APT i dlatego ma zastosowanie w różnych interfejsach APT, w tym apt, apt-get, aptitude i graficznych aplikacjach Ubuntu, które ostatecznie korzystają z tych samych bazowych mechanizmów zarządzania pakietami. Pakiety snap nie są narażone, ponieważ korzystają z innego mechanizmu dystrybucji.

HTTPS również znacząco zmienia powierzchnię ataku. Ubuntu stwierdza, że TLS chroni przed tą luką, ponieważ atakujący musi mieć możliwość modyfikacji ruchu HTTP w tranzycie. Źródła pakietów dostępne wyłącznie przez należycie walidowane HTTPS są więc chronione przed udokumentowaną metodą ataku „w trasie.” FTP i niezwiązane mechanizmy transportowe nie są narażone na ten konkretny problem.

Sytuację PoC CVE-2026-109518 należy interpretować ostrożnie. Oficjalne poradniki Debiana i Ubuntu nie odnoszą się do publicznej eksploitacji demonstrującej pełne przejęcie uprawnień roota i nie zgłaszają złośliwej eksploatacji w środowisku rzeczywistym. Opublikowane przez deweloperów APT informacje techniczne wyjaśniają jednak wystarczająco zachowanie redirect, retry i hard-link, aby obrońcy mogli zrozumieć wymagania ataku.

Słabość wiąże się z niewłaściwym zarządzaniem twardymi linkami i warunkiem time-of-check/time-of-use. Rekord CVE mapuje to do CWE-62, UNIX Hard Link oraz CWE-367, Time-of-check Time-of-use Race Condition.

Deweloperzy APT wydali poprawione wersje w wielu utrzymywanych gałęziach:

Gałąź APT	Poprawiona wersja
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

Debian 13 “Trixie” otrzymał APT 3.0.4, podczas gdy Debian 12 “Bookworm” otrzymał wersję 2.6.2.

Ubuntu wydało następujące poprawione pakiety:

Wydanie Ubuntu	Poprawiona wersja APT
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

Aktualizacje dla starszych wydań Ubuntu wymagają odpowiedniego zasięgu Ubuntu Pro lub Rozszerzonej Obsługi Bezpieczeństwa.

Dla wykrycia CVE-2026-109518, zespoły ds. bezpieczeństwa powinny korelować aktywność zarządzania pakietami z telemetrią sieciową i końcową. Powtarzające się przekierowania HTTP, przejściowe niepowodzenia pobrań natychmiastowo po których następuje pomyślne pobranie pakietu, nieoczekiwane miejsca docelowe repozytoriów lub instalacja pakietów z nietypowych ścieżek sieciowych mogą stanowić przydatne punkty zwroty w dochodzeniu.

Monitorowanie końcowe powinno również identyfikować nietypowe procesy potomne uruchamiane w trakcie lub zaraz po wykonaniu APT lub dpkg. Ponieważ pomyślna eksploatacja skutkuje zainstalowaniem pakietu kontrolowanego przez atakującego jako root, podejrzane wykonywanie powłoki, nowe usługi, zmienione pliki systemowe, mechanizmy utrwalania, tworzenie użytkowników, dostęp do poświadczeń lub nieoczekiwane połączenia wychodzące po instalacji pakietu powinny być traktowane jako wskaźniki wysokiego priorytetu.

Logi APT i dpkg mogą dostarczyć dodatkowego kontekstu. Obrońcy powinni przeglądać /var/log/apt/, /var/log/dpkg.log, dzienniki systemowe, telemetrię proxy, dzienniki DNS i dane bezpieczeństwa sieci wokół podejrzanych operacji pakietowych. Porównanie zainstalowanych wersji pakietów i sum kontrolnych z zaufanymi repozytoriami dystrybucji może pomóc w identyfikacji nieoczekiwanych modyfikacji.

Obecnie, poradniki vendowców nie dostarczają infrastruktury atakującego, hashów złośliwego oprogramowania ani specyficznych dla kampanii IOCs, ponieważ Debian i Ubuntu nie zgłosiły aktywnej złośliwej eksploitacji. Monitorowanie zachowawcze jest dlatego bardziej wartościowe niż poszukiwanie statycznej listy IOC.

Mitygacja CVE-2026-109518

Głównym środkiem zaradczym jest zainstalowanie zaktualizowanego pakietu APT dostarczonego przez Debian, Ubuntu lub odpowiednią dystrybucję pochodną. Administratorzy nie powinni polegać wyłącznie na kontrolach sieciowych, ponieważ poprawiona implementacja APT zapobiega pominięciu weryfikacji pakietu u źródła.

Ubuntu zaleca aktualizację wszystkich zainstalowanych pakietów przy jednoczesnym wyłączeniu ponówień podczas procesu aktualizacji:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Organizacje, które nie mogą przeprowadzić pełnej aktualizacji systemu, mogą skierować się bezpośrednio na APT:

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ’?source-package(^apt$)’

Ustawienie ponówień na zero podczas tej operacji zapobiega wykorzystaniu podatnej ścieżki ponowień podczas pobierania i instalowania samej aktualizacji bezpieczeństwa.

Zespoły ds. bezpieczeństwa powinny podjąć następujące kroki:

1. Inwentaryzacja systemów korzystających z Debian, Ubuntu i pochodnych Linuksa, używających APT.
2. Identyfikacja zainstalowanej wersji APT i porównanie jej z wydaniem naprawionym przez vendora.
3. Priorytetyzacja systemów i środowisk połączonych z internetem używających niezaufanych, zewnętrznych lub społecznych mirrorów pakietów.
4. Do zastosowania aktualizacja zabezpieczeń vendora z Acquire::Retries=0.
5. Potwierdzenie, że zainstalowany jest poprawiony pakiet APT.
6. Przejrzenie /etc/apt/sources.list oraz plików pod /etc/apt/sources.list.d/ w poszukiwaniu nieoczekiwanych repozytoriów HTTP.
7. Przeniesienie źródeł pakietów z HTTP na HTTPS, gdzie to możliwe.
8. Przegląd infrastruktury proxy i mirrorów pakietów w poszukiwaniu oznak kompromitacji lub nieautoryzowanej modyfikacji.
9. Badanie nieoczekiwanych instalacji pakietów, które miały miejsce przed wdrożeniem poprawki.

Ubuntu potwierdza, że zmiana repozytoriów pakietów na HTTPS zapewnia ochronę przed udokumentowanym atakiem, ponieważ eksploatacja wymaga modyfikacji ruchu HTTP. Administratorzy powinni najpierw zweryfikować, czy wybrane przez nich mirrory repozytoriów obsługują TLS, a następnie uruchomić sudo apt update, aby upewnić się, że konfiguracja działa bez błędów.

Korzystanie z HTTPS powinno być traktowane jako obrona w głąb, a nie zastąpienie aktualizacji APT. Systemy mogą później używać innego repozytorium, proxy, przepływu pracy automatyzacji lub końcowego punktu HTTP, więc instalacja poprawionego pakietu pozostaje konieczna.

Tymczasowe ustawienie Acquire::Retries na zero zapewnia kolejny skuteczny sposób obejścia udokumentowanego stanu eksploatacyjnego. Ponieważ luka zależy od ponawiania nieudanego pobrania przez APT, wyłączenie ponówień zapobiega uruchomieniu ścieżki podatnej. To ustawienie może jednak obniżyć niezawodność pobierania pakietów i powinno być głównie używane podczas stosowania aktualizacji zabezpieczeń.

Organizacje korzystające z automatycznych aktualizacji powinny zweryfikować wdrażanie poprawek, a nie zakładać, że każda maszyna została już poprawiona. Ubuntu zauważa, że unattended-upgrades jest włączony domyślnie od Ubuntu 16.04 LTS i normalnie stosuje aktualizacje bezpieczeństwa w ciągu 24 godzin, ale zarządzanie flotą, ograniczenia sieciowe, niestandardowe konfiguracje repozytorium lub dezaktywowane usługi mogą uniemożliwić pomyślną instalację.

Jeśli podejrzenie kompromitacji się pojawi, administratorzy powinni zachować logi APT, dpkg, proxy, sieciowe i systemowe przed przeprowadzeniem naprawy. Należy przeglądać pakiety zainstalowane w podejrzanym okresie narażenia, sprawdzać pochodzenie pakietów, sprawdzać skrypty opiekunów i badać wszelkie procesy na poziomie roota lub mechanizmy trwałości ustanowione bezpośrednio potem.

Ponieważ złośliwy pakiet może uruchamiać dowolne polecenia jako root, potwierdzona eksploatacja powinna być traktowana jako pełne przejęcie systemu. Odbudowa zaatakowanego hosta z zaufanych nośników może być bardziej niezawodna niż próba usunięcia poszczególnych artefaktów, zwłaszcza gdy atakujący mógł zmodyfikować binaria systemowe, usługi, konfiguracje uwierzytelniania lub komponenty na poziomie jądra.