Debian、Ubuntu修補高風險APT套件漏洞，中間人可替換套件取得root權限

Debian與Ubuntu發布APT套件管理工具安全更新，修補編號CVE-2026-109518的驗證繞過漏洞。攻擊者若能控制系統與套件伺服器之間的HTTP傳輸流量，可在特定條件下替換已通過驗證的套件，誘使系統安裝惡意程式，以root權限執行任意程式碼。其他採用APT的Linux衍生發行版也可能受到影響。

APT是Debian、Ubuntu等Linux發行版用來下載、安裝及更新軟體的套件管理工具。正常情況下，APT會依據經數位簽章保護的套件庫資訊，檢查下載檔案的完整性，防止遭竄改的套件進入安裝程序。不過，此次漏洞讓攻擊者有機會在驗證完成後替換套件內容，繞過原有的安全檢查。

Debian指出，當HTTP重新導向使兩個不同的套件下載工作指向相同URI，APT可能將下載工作合併。若此時發生暫時性HTTP錯誤並觸發重新下載，APT對檔案硬連結（Hard Link）處理不當，可能導致已驗證的套件遭惡意內容覆寫。由於.deb套件的安裝指令碼會以root權限執行，攻擊者便可能藉此控制系統。

漏洞利用需要特定條件。除了攻擊者必須能操控HTTP流量，目標系統也須正在安裝套件，並啟用下載重試設定。APT自2.3.2版起預設啟用重試，因此Debian 12及Ubuntu 22.04 LTS以後的版本，預設就會啟用下載重試。較舊版本若自行啟用下載重試，也可能受到影響。

Ubuntu開發商Canonical將漏洞評為高風險，CVSS 4.0評分為7.7分。受影響工具包括apt、apt-get、aptitude，以及使用APT函式庫的圖形化套件管理程式，Snap套件管理機制則不受影響。

目前Debian 12及13已分別推出APT 2.6.2與3.0.4修補，Ubuntu 22.04、24.04、26.04 LTS及26.10也已發布安全更新，較舊版本則透過延長支援管道提供修補。

在完成更新前，管理員可暫時關閉下載重試功能，避免下載重試觸發漏洞。Canonical也指出，改用HTTPS套件來源可降低傳輸途中遭攻擊的風險，但仍建議安裝安全更新。Debian此次更新也修補多項越界記憶體存取問題，部分缺陷可能造成套件管理相關服務異常終止。