Debian與Ubuntu於2026年11月4日公布APT套件管理工具安全更新，修補可能繞過軟體套件驗證的高風險漏洞。若攻擊者能操控套件下載期間的HTTP流量，在特定條件下可能使系統安裝惡意套件，進而以root權限執行程式碼。使用APT維護Linux主機的單位應核對修補狀態。

【事件經過】

此漏洞編號為CVE-2026-109518，由研究人員Max Justicz發現。APT原本會驗證套件庫的簽章及下載檔案，但當HTTP重新導向使不同下載工作指向相同網址，並因暫時性錯誤觸發重新下載時，程式可能不正確地處理硬連結。

攻擊者若位於網路傳輸路徑上，或控制惡意套件鏡像站，可能利用上述流程，在驗證後替換下載內容。由於.deb套件安裝過程可能執行具root權限的指令碼，這項缺陷可能進一步導致系統遭控制。Debian及Canonical均已發布修補公告。

【影響範圍】

CVE-2026-109518影響使用APT函式庫的套件管理流程，包括apt、apt-get、aptitude及部分圖形化更新工具。Canonical評定CVSS v4.0為7.7分，屬高風險；Snap套件機制不受此漏洞影響。

利用條件包含使用HTTP傳輸、下載發生重新導向與重試，以及目標正在安裝套件。Debian 12、Ubuntu 22.04 LTS及後續版本預設具有下載重試設定；較舊系統若自行啟用重試，也可能受影響。這不代表單純執行更新就一定遭到攻擊。

【建議措施】

管理人員應盤點Debian、Ubuntu及衍生系統的APT套件版本，依發行商公告安裝更新。Debian 13的修補版本為3.0.4；Ubuntu 22.04與24.04的修補版本分別為2.4.15ubuntu0.1及2.8.4ubuntu0.1，其他版本應比對對應公告。

如暫時無法更新，可評估將APT套件來源改用HTTPS，或暫時將Acquire::Retries設定為0，降低利用條件，但仍須儘快安裝正式修補。修改前應評估網路環境及更新成功率，更新後確認已安裝套件版本和套件來源設定。

【國內機關與企業之影響與因應】

原文未提供台灣受害案例。使用Linux主機執行定期安全更新、自動化部署及軟體安裝的機關與企業，應將APT本身納入弱點管理，不只檢查透過APT安裝的應用程式。

對使用內部套件鏡像站、代理伺服器或集中化更新服務的環境，也應檢視更新路徑、傳輸保護及組態基準，並保留修補和驗證紀錄。

【新聞出處】

原文標題：Debian、Ubuntu修補高風險APT套件漏洞，中間人可替換套件取得root權限

媒體名稱：iThome

發布日期：2026年11月5日

原文網址：
https://www.ithome.com.tw/news/180262

官方補充資料：USN-8996-1: APT vulnerability

發布機構：Canonical／Ubuntu

公告日期：2026年11月4日

官方網址：
https://ubuntu.com/security/notices/USN-8996-1

官方補充資料：DSA-6607-1 apt security update

發布機構：Debian

公告日期：2026年11月4日

官方網址：
https://lists.debian.org/debian-security-announce/2026/msg00526.html