Sebuah kerentanan pada APT, pengelola paket untuk sistem operasi Debian dan Ubuntu, memungkinkan peretas yang mampu memanipulasi pengunduhan paket menukar paket terverifikasi dengan berkas buatan mereka sendiri.
Kode berbahaya milik penyerang tersebut selanjutnya akan berjalan dengan hak akses root, mengacu pada laporan keamanan resmi yang dirilis oleh pihak Debian, Ubuntu, beserta pengembang APT pada 4 November. Skenario penyerangan ini mengharuskan APT mencoba kembali proses unduhan yang gagal, perilaku bawaan yang aktif secara otomatis sejak versi Debian 12 serta Ubuntu 22.04 ke atas.
Debian telah meluncurkan versi perbaikan APT guna menangani kelemahan bernama CVE-2026-109518 ini. Tim pengembang APT, yang mengategorikan celah ini berkategori kritis, menyebutkan pembaruan untuk Ubuntu dan layanan langganan Ubuntu Pro tengah digulirkan. Para pengguna varian Ubuntu 14.04 yang memiliki Ubuntu Pro saat ini telah dapat mengunduhnya.
Rilis lama, semacam Debian 11 maupun Ubuntu 20.04, menurut pihak Ubuntu tidak rentan secara default. Walau demikian, para pengembang APT mencatat bahwa tidak sedikit skrip pengguna yang kemungkinan telah mengaktifkan konfigurasi coba ulang, yaitu Acquire::Retries, pada sistem-sistem lama tersebut.
Cabang Debian testing masih memanfaatkan versi 3.3.5 yang bermasalah pada pukul 14:58 UTC tanggal 4 November. Bagi varian Debian 11, yang masa dukungan jangka panjangnya (LTS) berakhir sejak 31 Agustus, kelompok pengembang APT sudah menghadirkan pembaruan perbaikan versi 2.2.5.
Ubuntu menetapkan kerentanan tersebut dalam skala prioritas tinggi dengan skor CVSS 4.0 mencapai 7.7, sembari memperingatkan bahwa distribusi turunan dari Debian dan Ubuntu turut berpotensi terdampak, kendati tanpa menyebutkan nama distro spesifik.
Ubuntu menerbitkan kompilasi pembaruan APT baru untuk empat rilisan ke dalam repositori arsip keamanannya pada pukul 14:25 UTC di hari yang sama, 4 November.
Akan tetapi pada pukul 15:46 UTC, Ubuntu terpantau masih menandai seluruh delapan rilis yang dipantaunya terkait kerentanan ini, mulai dari versi 14.04 LTS sampai 26.10, dalam status rentan.
Pihak Ubuntu menegaskan bahwa pelaku bisa berupa entitas mana saja yang sanggup mengotak-atik lalu lintas HTTP di antara APT dan peladen paket, mencakup proxy berbahaya ataupun cermin unduhan (mirror) palsu. Serangan dilancarkan sewaktu komputer sedang memasang paket. Pelaku memanfaatkan pengalihan HTTP serta eror sementara biasa pada server guna memicu mekanisme unduh ulang APT, jelas pengembang APT.
Peneliti Max Justicz merupakan pihak yang pertama kali menemukan dan melaporkan celah ini. Tak satu pun dari ketiga dokumen laporan tersebut membeberkan serangan aktif yang mengeksploitasi kelemahan ini di lapangan, ataupun menyajikan langkah mitigasi sementara bagi mesin yang belum dapat diperbarui. Dokumen-dokumen hanya menguraikan metode serangan lewat jalur HTTP tanpa menegaskan apakah repositori yang dihubungkan melalui HTTPS juga ikut terpapar.
