CVE-2026-109518: APT 취약점으로 MitM 루트 코드 실행 가능

Debian, Ubuntu 및 파생 Linux 배포판에서 사용하는 패키지 관리 시스템 APT의 심각한 취약점으로, 네트워크 상의 공격자가 인증된 소프트웨어 패키지를 악성 패키지로 대체하고 루트 권한으로 임의의 코드를 실행할 수 있습니다. CVE-2026-109518로 추적되는 이 결함은 CVSS 4.0 점수 7.7을 가지고 있으며 APT의 HTTP 다운로드 및 재시도 처리를 영향을 줍니다.

이 취약점은 APT가 HTTP 리디렉션을 따르고 실패한 패키지 다운로드를 재시도할 때 하드 링크를 잘못 처리하기 때문에 발생합니다. 적절한 조건 하에서, 두 가지 다른 다운로드가 리디렉션으로 인해 동일한 URI로 해결되면 병합될 수 있습니다. APT 클라이언트와 리포지토리 간의 트래픽을 조작할 수 있는 공격자는 이 행동을 악용하여 이미 검증이 완료된 후 공격자가 제어하는 .deb 패키지를 대체할 수 있습니다.

Debian 패키지는 설치 스크립트를 루트 권한으로 실행할 수 있기 때문에, 성공적인 악용은 시스템 전체의 손상으로 이어질 수 있습니다. 그러나, 이는 여러 조건이 필요합니다: 피해자는 패키지 설치를 시작해야 하고, APT는 조작 가능한 HTTP로 통신해야 하며, Acquire::Retries 옵션이 0이 아닌 값으로 설정되어야 합니다.

Ubuntu 22.04 LTS 및 그 이후 출시된 버전은 기본적으로 재시도가 활성화되어 노출됩니다. Debian도 APT 2.3.2부터 기본적으로 재시도가 활성화되어 있으며 Debian 12를 포함합니다. 이전 버전은 관리자가 수동으로 재시도를 활성화하거나 자동화 스크립트로 인해 여전히 취약할 수 있습니다.

영업문의

이 취약점은 보안 연구원 Max Justicz에 의해 발견되었으며, 2026년 11월 4일에 공개적으로 발표되었습니다. Debian과 Ubuntu는 같은 날 보안 업데이트를 배포했습니다. 현재 어느 벤더 조언서도 실제 공격에서 이 결점을 악용했다는 보고를 하지 않고 있습니다.

보안 팀은 SOC Prime의 AI-네이티브 탐지 인텔리전스 플랫폼을 이용하여 위협 정보 운영화하고 소프트웨어 공급망 공격, 패키지 관리자 남용, 악성 페이로드 실행, 사후 침해 활동에 대한 방어를 강화할 수 있습니다.

APT 활동 직후에 발생하는 패키지 리포지토리 트래픽의 수상한 변화, 예상치 못한 리디렉션 또는 반복적인 패키지 다운로드 실패, 비정상적인 패키지 설치 및 새로운 권한 있는 프로세스를 모니터링하여 CVE-2026-109518을 탐지하십시오.

모든 CVE에 대한 탐지 콘텐츠가 있을 수는 없습니다. SOC Prime 플랫폼에서 현재 커버리지를 확인하십시오. 관련 탐지가 아직 제공되지 않는 경우, 새로운 위협 정보와 탐지 콘텐츠가 지속적으로 추가되므로 다시 확인하십시오.

CVE-2026-109518 분석

CVE-2026-109518은 APT 배포에 영향을 미치며, 공격자가 조작 가능한 HTTP 경로를 통해 패키지 파일을 다운로드할 때와 재시도 기능이 활성화되어 있을 때 Debian, Ubuntu 및 파생된 Linux 배포판을 대상으로 합니다. Ubuntu는 이 취약점을 ‘높음’으로 분류하며 CVSS 4.0 점수 7.7 및 벡터 CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA를 지정합니다.

APT는 Debian 기반 Linux 시스템에서 패키지를 다운로드, 확인, 설치하는 책임이 있습니다. 패키지의 진위는 일반적으로 거울에 의해 제공된 패키지를 신뢰할 수 없는 중개자가 조용히 수정할 수 없도록 설계된 Debian과 Ubuntu 리포지토리 서명 메커니즘에 의존합니다.

CVE-2026-109518은 특정 다운로드 조건 하에서 이러한 신뢰 모델의 중요한 부분을 손상시킵니다.

Debian의 권고에 따르면, APT가 HTTP 리디렉션 및 재시도를 처리할 때 취약점이 발생합니다. 리디렉션으로 인해 동일한 URI를 공유하게 될 경우 APT는 두 개의 별도 패키지 다운로드를 병합할 수 있습니다. 다운로드가 이후 다시 시작되어야 할 때, 리유즈된 하드 링크의 잘못된 처리는 이미 검증된 패키지에 연결된 콘텐츠를 덮어쓸 수 있습니다.

공격자는 victim과 패키지 아카이브 간의 HTTP 트래픽을 조작할 수 있는 능력이 필요합니다. 잠재적인 위치로는 악성 또는 손상된 네트워크 중개자, 프록시, Wi-Fi 네트워크, 패키지 미러 등이 있습니다. Ubuntu는 위협 모델에서 악성 미러와 프록시를 명시적으로 포함합니다.

공격자는 리디렉션을 사용하여 일시적인 HTTP 오류와 함께 APT를 재시도 경로로 밀어 넣을 수 있습니다. APT가 패키지 다운로드를 재시도할 때, 하드 링크 처리의 결함으로 인해 공격자가 제어할 수 있는 데이터가 이미 검증된 패키지에 연결된 콘텐츠를 대체할 수 있습니다.

이는 악의적 패키지가 리포지토리 서명이 제공하는 보호를 우회할 수 있게 합니다.

영향은 특히 심각해지는데, .deb 패키지에는 설치 시 실행되는 유지보수 스크립트가 포함될 수 있기 때문입니다. 이러한 스크립트는 패키지가 설치될 때 루트 권한으로 실행되므로, 패키지를 성공적으로 대체한 공격자는 전체 시스템 권한으로 명령을 실행할 수 있습니다.

이 취약점은 모든 Debian 또는 Ubuntu 호스트가 언제든 원격에서 손상될 수 있음을 의미하지는 않습니다. 공격은 네트워크 경로를 방해할 수 있는 상태에서 피해 시스템이 패키지 설치 또는 업그레이드를 수행해야 합니다.

다른 중요한 전제 조건은 Acquire::Retries입니다.

APT는 이 옵션을 실패한 다운로드를 자동으로 재시도할지 여부를 결정하는 데 사용합니다. 취약한 행동은 0보다 큰 값이 필요합니다. Debian의 APT 개발자는 APT 2.3.2부터 기본적으로 재시도가 활성화되었다고 말하며, Ubuntu는 Ubuntu 22.04 LTS 및 이후 버전이 비제로 기본값을 사용한다고 확인합니다.

따라서 오래된 시스템은 반드시 안전한 것은 아닙니다. Ubuntu 20.04 LTS 및 이전 버전은 기본적으로 재시도를 활성화하지 않지만, 사용자 정의 구성, 배포 자동화 또는 관리자 스크립트가 Acquire::Retries를 수동으로 설정하고 이들 시스템을 취약하게 할 수 있습니다.

이 취약점은 APT의 HTTP 백엔드에 존재하며, apt, apt-get, aptitude 및 최종적으로 동일한 기본 패키지 관리 인프라를 사용하는 그래픽 Ubuntu 응용 프로그램을 포함한 APT 기반 프론트엔드에 걸쳐 적용됩니다. 스냅 패키지는 다른 배포 메커니즘을 사용하기 때문에 영향을 받지 않습니다.

HTTPS는 또한 공격 표면을 크게 변화시킵니다. Ubuntu는 해당 취약점에 대한 TLS 보호를 명시하면서, 공격자가 HTTP 트래픽을 경유하는 중에 수정해야 하기 때문에 TLS가 이 취약점을 방어한다고 언급합니다. 올바르게 검증된 HTTPS만을 통해 접근되는 패키지 소스는 문서화된 경로 공격 방법으로부터 보호됩니다. FTP와 관련 없는 전송 메커니즘은 이 특정 문제에 영향을 받지 않습니다.

CVE-2026-109518 PoC 상황은 신중하게 해석해야 합니다. Debian 및 Ubuntu의 공식 권고서들은 전체적인 루트 권한 손상을 시연하는 공개 익스플로잇에 대한 링크를 제공하지 않으며, 실제 악성 악용에 대한 보고도 하지 않습니다. 그럼에도 불구하고 APT 개발자가 발표한 기술 정보는 방어자가 공격 요구 사항을 이해할 수 있도록 리디렉션, 재시도 및 하드 링크 행동에 대해 충분히 설명합니다.

이 약점은 하드 링크 처리의 잘못된 방식 및 검사 시점과 사용 시점 조건과 관련이 있습니다. CVE 기록은 이를 CWE-62, UNIX 하드 링크 및 CWE-367, 검사 시점-사용 시점 레이스 조건에 매핑합니다.

APT 개발자는 여러 유지 관리 브랜치에 대한 수정된 버전을 발표했습니다:

APT 브랜치	수정된 버전
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

Debian 13 “Trixie”는 APT 3.0.4를 받았고, Debian 12 “Bookworm”은 버전 2.6.2를 받았습니다.

Ubuntu는 다음과 같은 수정된 패키지를 발표했습니다:

Ubuntu 출시	수정된 APT 버전
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

이전 Ubuntu 출시 버전에 대한 업데이트는 해당 Ubuntu Pro 또는 Extended Security Maintenance 적용을 요구합니다.

CVE-2026-109518 탐지를 위해 보안 팀은 패키지 관리 활동과 네트워크 및 엔드포인트 원격 측정치를 상관시켜야 합니다. 반복적인 HTTP 리디렉션, 일시적인 다운로드 실패 직후의 성공적인 패키지 검색, 예상치 못한 리포지토리 목표지 또는 이상한 네트워크 경로에서의 패키지 설치는 유용한 조사 피벗을 제공할 수 있습니다.

엔드포인트 모니터링은 APT 또는 dpkg 실행 중 또는 직후에 생성된 이상한 하위 프로세스를 식별해야 합니다. 성공적인 악용은 공격자가 제어하는 패키지가 루트로 설치되는 결과를 초래하기 때문에, 의심스러운 셸 실행, 새로운 서비스, 변경된 시스템 파일, 지속 메커니즘, 사용자 생성, 자격 증명 접근, 패키지 설치 후 예상치 못한 아웃바운드 연결을 높은 우선 순위의 지표로 처리해야 합니다.

APT 및 dpkg 로그는 추가적인 맥락을 제공할 수 있습니다. 방어자는 /var/log/apt/, /var/log/dpkg.log, 시스템 저널 기록, 프록시 원격 측정, DNS 로그 및 의심스러운 패키지 작동 주위의 네트워크 보안 데이터를 검토해야 합니다. 설치된 패키지 버전 및 체크섬을 신뢰할 수 있는 배포 리포지토리와 비교하면 예상치 못한 수정사항을 식별하는 데 도움이 됩니다.

현재 벤더 권고는 공격자 인프라, 맬웨어 해시 또는운영에서 CVE-2026-109518 IOC에 대한 캠페인별 IOCs을 제공하지 않습니다. Debian과 Ubuntu는 악성 악용을 보고한 사례가 없으므로, 행동 모니터링이 정적 IOC 목록을 찾는 것보다 더 가치 있습니다.

CVE-2026-109518 완화

주요 대응은 Debian, Ubuntu 또는 해당 파생 배포판이 제공하는 업데이트된 APT 패키지를 설치하는 것입니다. 관리자들은 네트워크 제어에만 의존해서는 안되며, 수정된 APT 구현이 패키지 검증 우회를 원천적으로 차단합니다.

Ubuntu는 업데이트 과정에서 재시도를 명시적으로 비활성화하면서 모든 설치된 패키지를 업데이트할 것을 권장합니다:

sudo apt update 및 sudo apt upgrade -o Acquire::Retries=0

전체 시스템 업그레이드를 수행할 수 없는 조직은 APT 자체를 타겟팅할 수 있습니다:

sudo apt update 및 sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’

이 작업 동안 재시도를 0으로 설정하면 보안 업데이트 자체가 다운로드 및 설치되는 동안 취약한 경로가 사용되지 않도록 방지합니다.

보안 팀은 다음 단계에 따라야 합니다:

1. APT를 사용하는 Debian, Ubuntu 및 파생된 Linux 시스템을 인벤토리해야 합니다.
2. 설치된 APT 버전을 식별하고 벤더가 수정한 릴리스와 비교해야 합니다.
3. 인터넷에 연결된 시스템과 신뢰할 수 없는, 서드파티 또는 커뮤니티 패키지 미러를 사용하는 환경에 우선순위를 두어야 합니다.
4. 벤더 보안 업데이트를 Acquire::Retries=0을 사용하여 적용해야 합니다.
5. 수정된 APT 패키지가 설치되었는지 확인하십시오.
6. /etc/apt/sources.list 및 /etc/apt/sources.list.d/ 아래의 파일들을 의외의 HTTP 리포지토리에 대해 검토해야 합니다.
7. 지원되는 경우 패키지 소스를 HTTP에서 HTTPS로 이동해야 합니다.
8. 프록시 및 패키지 미러 인프라에 대한 타협 또는 무단 수정의 징후를 검토해야 합니다.
9. 수정 사항이 배포되기 전에 발생한 예상치 못한 패키지 설치를 조사해야 합니다.

Ubuntu는 패키지 리포지토리를 HTTPS로 변경하면 HTTP 트래픽을 수정해야 하기 때문에 문서화된 공격 방법으로부터 보호된다고 확인합니다. 관리자는 선택한 리포지토리 미러가 TLS를 지원하는지를 먼저 확인한 다음, sudo apt update를 실행하여 구성 운영이 오류 없이 작동하는지 확인해야 합니다.

HTTPS 사용은 APT 업데이트의 대체가 아닌 깊이 있는 방어로 간주되어야 합니다. 시스템은 나중에 다른 리포지토리, 프록시, 자동화 워크플로 또는 HTTP 엔드포인트를 사용할 수 있으므로 수정된 패키지를 설치하는 것이 여전히 필요합니다.

Acquire::Retries를 일시적으로 0으로 설정하는 것은 문서화된 악용 조건에 대해 또 다른 효과적인 해결 방법을 제공합니다. 취약점은 실패한 다운로드를 APT가 재시도할 때 의존하기 때문에, 재시도를 비활성화하면 취약한 코드 경로에 도달하는 것을 방지합니다. 그러나 이 설정은 패키지 다운로드 신뢰성을 감소시킬 수 있으며, 실제 보안 업데이트를 적용할 때 주로 사용해야 합니다.

자동 업그레이드를 사용하는 조직은 모든 머신이 이미 수정되었다고 가정하기보다는 패치 배포를 확인해야 합니다. Ubuntu는 unattended-upgrades가 Ubuntu 16.04 LTS부터 기본적으로 활성화되어 있으며 보통 24시간 이내에 보안 업데이트를 적용하지만, 플릿 관리, 네트워크 제한, 사용자 정의 리포지토리 구성, 비활성화된 서비스는 성공적인 설치를 방해할 수 있습니다.

손상이 의심될 경우, 관리자는 APT, dpkg, 프록시, 네트워크, 시스템 로그를 보존한 후 교체해야 합니다. 의심되는 노출 창 동안 설치된 패키지를 검토하고, 패키지 출처를 검증하고, 유지보수 스크립트를 점검하고, 즉시 이후에 실행된 모든 루트 레벨 프로세스 또는 지속성을 조사해야 합니다.

악성 패키지는 루트로 임의의 명령을 실행할 수 있기 때문에, 확인된 악용은 전체 시스템 손상으로 취급되어야 합니다. 영향을받은 호스트를 신뢰할 수 있는 미디어로 다시 구축하는 것이 특히 공격자가 시스템 바이너리, 서비스, 인증 구성 또는 커널 레벨 구성 요소를 수정했을 때 개별 아티팩트를 제거하려는 것보다 더 신뢰할 수 있습니다.