Debian ve Ubuntu APT paket değiştirme açığını yamaladı; Plerdy script kaçırılması binlerce siteyi vurdu

4 Kasım 2026'da, birbirinden bağımsız iki tedarik zinciri güvenlik raporu birkaç saat arayla ortaya çıktı; bu bir dev.to yazısından aktarılıyor. Sabah saatlerinde Debian, Ubuntu ve APT geliştiricileri, bir ağ saldırganının imza doğrulamasından geçmiş bir paketi root yetkisiyle çalışan bir yazılımla değiştirmesine imkan veren bir açığın düzeltmelerini yayınladı. Saatler sonra Fransız güvenlik firması Sekoia, popüler bir web analitik scriptinin bir hafta süren kaçırılmasını ayrıntılarıyla anlattı; bu saldırı ziyaretçilerin parmak izini alıp cihazlarına uygun exploit zincirleri sunuyordu.

Yanlış dosyayı koruyan imza denetimi

Debian ve Ubuntu paket listelerini imzalar ve her paketin imzalı listedeki sağlama toplamıyla eşleşmesini şart koşar — APT'nin bu yüzden uzun süredir düz HTTP indirmelerine göz yumasının nedeni de buydu; aktarım sırasındaki müdahalelerin yakalanması gerekiyordu. Araştırmacı Max Justicz tarafından bildirilen ve CVE-2026-109518 olarak izlenen açık bu varsayımı geçersiz kılıyor. APT geliştiricilerinin duyurusuna göre yönlendirmeler ve olağan geçici HTTP hataları APT'yi bir indirmeyi yeniden denemeye itebiliyor ve yeniden denemede APT mevcut hardlink'leri saldırganın seçtiği bir payload ile ezebiliyor, böylece doğrulama atlatılmış oluyor. Debian kök nedeni, indirmenin sürdürülmesi sırasındaki hatalı dosya işleme olarak tanımlıyor. Kısacası, doğrulanan dosya kurulan dosya olmuyor — ve .deb paketleri kurulum scriptlerini root olarak çalıştırdığı için saldırgan makinenin tamamını ele geçiriyor.

Kimler etkileniyor ve ne işe yarıyor

Ubuntu'ya göre saldırganın, makine ile paket arşivi arasındaki düz HTTP trafiğini denetimi altında tutması gerekiyor — düşmanca bir ağ, ele geçirilmiş bir proxy veya kötü amaçlı bir mirror — ve saldırı bir paket kurulduğunda ya da yükseltildiğinde tetikleniyor. Yeniden denemeler APT 2.3.2'de varsayılan oldu, dolayısıyla Debian 12 ve sonrası ile Ubuntu 22.04 LTS ve sonrası kapsamda; daha eski sürümler yalnızca birinin Acquire::Retries değerini elle ayarladığı yerlerde açıkta — APT geliştiricileri bunu birçok kullanıcı scriptinin yaptığını söylüyor. Ubuntu sorunu Yüksek düzeyde değerlendiriyor ve CVSS 4.0 skorunu 7.7 olarak veriyor, türetilmiş dağıtımların da etkilendiği uyarısını yapıyor. Arşive HTTPS kullanımı saldırıyı engelliyor; Acquire::Retries değerinin 0 yapılması da öyle. Desteklenen her dal için düzeltmeler çıktı: Debian 13 trixie APT 3.0.4 alıyor ve 5 Kasım itibarıyla Ubuntu'nun USN-8996-1 duyurusu 14.04'ten 26.10'a kadar her sürümü düzeltilmiş olarak listeliyor. Hiçbir duyuru sahada sömürü bildirmiyor ve Justicz henüz teknik bir yazı yayınlamış değil.

Bir hafta süren düşmanca analitik

Sekoia'nın soruşturması doğrudan ele geçirilmiş sitelerle başladı — bir Ukraynalı gaz üreticisi, bir ABD kimya endüstrisi birliği, Bulgaristan'daki askeri bağlantılı bir site ve diğerlerinin benzeri kopyaları — ve kampanyayı Rusya'nın APT29'una orta ile yüksek arası bir güvenle atfediyor. 27 Ağustos ile 3 Eylül 2026 arasında saldırganlar Plerdy'nin SEO Tracker dosyasına kod enjekte etti. Dosyayı yükleyen her site ziyaretçilere gerçek tracker'ı ve saldırgan denetimindeki bir alandan ikinci bir script çeken birkaç satırı sundu; Sekoia bunun yüzlerce meşru web sitesini açığa çıkardığını ve kampanyanın erişimini çoğunlukla Ukraynalı binlerce siteye genişlettiğini söylüyor. Yazarları tarafından UltimateFingerprinter adı verilen o ikinci script, 394 cihaz ve tarayıcı alanını toplarken 2.3 MB'lık bir AngularJS kütüphanesi kopyasının sonunda gizleniyordu. Dağıtım seçiciydi: iOS 16.7 cihazlarına tarayıcı çerezlerini çalmak için CVE-2024-27834 içeren bir zincir geldi; iOS 18.5 cihazları mesajları, WhatsApp ve Telegram veritabanlarını, iCloud Anahtar Zinciri'ni, Wi-Fi parolalarını ve fotoğrafları alabilen beş açıklı DarkSword zincirini aldı; Chrome 139 ile 145 arası (143 hariç) Android cihazlara ise Sekoia'nın AndroSnitch adını verdiği, Chrome verilerini ve kayıtlı Wi-Fi parolalarını toplayan bir payload geldi.

Yamalanmış açıklar, geç tespit

Sömürülen her açık kampanya başlamadan önce düzeltilmişti ve Sekoia, güncel bir işletim sisteminin güvende kalmak için yeterli olduğunu belirtiyor. 4 Kasım'da CISA, Apple'ın Mayıs 2024'te düzelttiği CVE-2024-27834'ü bilinen-sömürülenler kataloğuna ekleyerek ABD federal kurumlarına 18 Kasım'a kadar yamalama süresi verdi. Tespit, ele geçirmeden çok geride kaldı: Plerdy'nin dosyası 3 Eylül'e kadar temizdi, Sekoia kampanyayı Ekim ortasında keşfetti ve 4 Kasım'da yayınladı — haberi bekleyen her site sahibi iki ay geç denetim yaptı. Dev.to yazısı ayrıca Ekim'de Report URI ve iVerify tarafından tanımlanan DeadTag'e dikkat çekiyor: unutulmuş analitik ve reklam etiketlerinin arkasındaki 660'dan fazla süresi dolmuş alan adı yeniden kaydedilmiş ve hâlâ binlerce sitede gömülü durumda, tahmini aylık 135 milyon ziyaret oluşturuyor; bazıları aynı aileden iPhone exploit kit'lerine besleme yapıyor. Yerleşik savunmalar var ama küçük sitelerde nadiren kullanılıyor: Subresource Integrity değiştirilmiş Plerdy dosyasını reddederdi — ancak scriptini yerinde güncelleyen sağlayıcılar sabitlenmiş hash'leri bozuyor — ve yalnızca bir sayfanın gerçekten kullandığı alan adlarını listeleyen bir Content-Security-Policy de saldırganın ikinci scriptini engellerdi. Güvenilen, listelenmiş bir alan adının kendisi düşmanca olduğunda ise hiçbiri işe yaramıyor.

Neden önemli

Her iki olay da çoğu dağıtımın bel bağladığı denetimlerin varsayılandan daha azını kapsadığını gösteriyor. APT'nin imza doğrulaması hiç kurulmayan bir dosyayı doğruladı; tek satırlık bir analitik gömme, üçüncü bir tarafa her ziyaretçinin tarayıcısında rastgele kod çalıştırma hakkı verdi. Pratik yanıt acil: APT güncellemelerini uygulayın ya da arşiv trafiğini HTTPS üzerinden yönlendirin, sayfalarınızın yüklediği üçüncü taraf scriptleri envanterleyin ve bütünlük ile politika denetimlerini bir sonraki kampanya keşfedilmeden — keşfedildikten sonra değil — yerinde bulundurun.