APT açığı CVE-2026-109518, ağ saldırganlarına Debian ve Ubuntu'da doğrulanmış paketleri değiştirme imkânı veriyor

Ne oldu

Debian ve Ubuntu'nun merkezindeki paket yöneticisi APT'teki yüksek öncelikli bir açık, bir makine ile güncelleme sunucusu arasındaki bağlantıyı kontrol eden bir saldırganın gerçek ve doğrulanmış bir paketin yerine kötü niyetli bir paket koyup root ayrıcalıklarıyla kod çalıştırmasına imkân veriyor. CVE-2026-109518 olarak takip edilen açığa ilişkin olarak, dev.to'da da yayımlanan Hacks.gr haberine göre yazılımın geliştiricileri, Debian ve Ubuntu ekipleriyle birlikte 4 Kasım 2026'da güvenlik bültenleri ve düzeltilmiş sürümler yayımladı.

Ubuntu sorunu yüksek öncelikli olarak sınıflandırdı ve Debian ile Ubuntu'dan türetilen dağıtımların da etkilendiğini belirtti.

Saldırı nasıl işliyor

Sorun bu sistemlerin güncellemeleri getirme biçiminde yatıyor. Bir paket indirmesi başarısız olduğunda APT otomatik olarak yeniden denemeye ayarlı. Bağlantı üzerinde konumlanmış bir saldırgan — fiilen ortadaki adam (man-in-the-middle) — bir aktarımı bozabilir ve bu yeniden deneme davranışını istismar ederek istemciyi özgün dosya yerine saldırgan tarafından sağlanan bir dosyayı kabul etmesi için kandırabilir. Sonuç, makineye kurulan yerleştirilmiş bir paket oluyor ve saldırganın koduna sistemdeki en yüksek ayrıcalık olan root düzeyinde erişim sağlıyor.

Hangi sistemler risk altında

Risk, yeniden deneme yapılandırmasına bağlı. Debian 12 ile Ubuntu 22.04 ve sonrasında otomatik yeniden denemeler varsayılan olarak etkin; dolayısıyla bu sürümler kutudan çıktığı haliyle savunmasız. Eski sürümlerde — Debian 11 ve Ubuntu 20.04 — ilgili ayar varsayılan olarak kapalı; bu sistemler yalnızca bir kullanıcı ayarı elle açmışsa risk altında.

Düzeltmeler zaten mevcut

Geliştiriciler düzeltmeleri hızlıca yayımladı. Habere göre sorunu çözen yeni sürümler Ubuntu 26.10, 26.04 LTS, 24.04 LTS ve 22.04 LTS için mevcut; Debian 11 için de bir yama yayımlandı.

Duyuru itibarıyla aktif istismar tespit edilmedi ve geçici bir çözüm belgelenmedi. Şifreli bağlantılar üzerinden erişilen paket kaynaklarının aynı teknikten etkilenip etkilenmediği de henüz belli değil. Açığı araştırmacı Max Justicz buldu.

Neden önemli

APT ve doğrulama zinciri, Debian ailesi sistemlerde güvenin temelini oluşturuyor: yöneticiler güncellemeleri, imzalı paketlerin depodan değiştirilmeden geldiği varsayımıyla uygular. Ağ düzeyindeki bir saldırganın doğrulanmış bir paketi kötü niyetli bir paketle değiştirmesine — ve bu süreçte root elde etmesine — imkân veren bir açık, bu varsayımı kökünden sarsıyor.

Risk kâğıt üzerinde geniş; çünkü Debian 12 veya Ubuntu 22.04 ve sonrasının her varsayılan kurulumu söz konusu yeniden deneme yapılandırmasını taşıyor. Ancak ön koşul anlamlı: saldırganın kurban ile güncelleme sunucusu arasındaki trafiği kontrol etmesi gerekiyor ve bu, yalnızca ağdaki bir makineye erişebilmekten daha güçlü bir konum. Yine de ağ yolu güvenilmez veya manipüle edilebilir olduğu her yerde böyle bir konum makul bir ihtimal.

Düzeltilmiş sürümler zaten yayımlandığı ve geçici bir çözüm bulunmadığı için pratik adım net: yeniden deneme ayarı elle açılmış eski sürümler de dahil olmak üzere etkilenen sistemleri derhal güncelleyin ve düzeltilmiş paketin kendisini hafifletme önlemi olarak görün.