APT, pengelola paket bawaan Debian dan Ubuntu, punya celah yang bisa membuat paket lolos verifikasi lalu diganti, sehingga kodenya berjalan sebagai root. Debian, Ubuntu, dan pengembang APT menerbitkan advisori pada 4 November 2026 untuk celah bernomor CVE-2026-109518. Peneliti Max Justicz disebut sebagai penemunya, dan belum ada advisori yang melaporkan eksploitasi di dunia nyata.
Cara celah ini bekerja
Masalahnya muncul ketika APT mengulang unduhan yang gagal. Penyerang yang bisa mengubah lalu lintas HTTP antara APT dan server paket, misalnya lewat mirror atau proxy berbahaya, dapat menyisipkan paket pengganti dan mendapat eksekusi kode sebagai root. Ubuntu menilai prioritasnya tinggi dengan skor CVSS 4.0 sebesar 7,7, sedangkan pengembang APT menyebutnya kritis. Sumber yang saya baca tidak menjelaskan apakah sumber paket HTTPS ikut terpapar.
Versi terdampak dan perbaikan
Pengulangan unduhan aktif secara bawaan sejak Debian 12 dan Ubuntu 22.04. Ubuntu 20.04 dan Debian 11 tidak terpapar pada konfigurasi bawaan, tetapi pengembang APT mengingatkan bahwa skrip pengguna bisa saja mengaktifkan pengaturan Acquire::Retries di sana. Menurut Ubuntu, distribusi turunan Debian dan Ubuntu ikut terdampak.
Ubuntu merilis perbaikan pada 4 November: versi 3.3.3ubuntu0.1 untuk Ubuntu 26.10, 3.2.1ubuntu0.1 untuk 26.04 LTS, 2.8.4ubuntu0.1 untuk 24.04 LTS, dan 2.4.15ubuntu0.1 untuk 22.04 LTS. Pengguna Ubuntu Pro 14.04 sudah bisa mendapat pembaruan, sementara pembaruan Pro lainnya masih bergulir. Debian menyiapkan APT 2.2.5 untuk Debian 11, yang dukungan LTS-nya berakhir 31 Agustus. Cabang testing Debian masih memakai versi 3.3.5 yang rentan saat laporan ditulis. Advisori tidak menawarkan solusi sementara bagi sistem yang belum bisa diperbarui.
Langkah yang perlu diambil
Jalankan pembaruan paket di setiap server dan mesin Debian atau Ubuntu, lalu pastikan versi APT sudah sesuai daftar di atas. Pada rilis lama seperti Ubuntu 20.04 dan Debian 11, periksa apakah skrip atau konfigurasi Anda menyetel Acquire::Retries. Tinjau juga dari mana sistem mengunduh paket, dan anggap mirror atau proxy yang tidak Anda kendalikan sebagai risiko. Admin yang baru saja memperbarui server setelah celah kernel Linux CVE-2026-98432 sebaiknya memasukkan APT ke daftar pembaruan yang sama.
Bagi tim yang mengelola banyak server, celah ini membuat jalur pembaruan paket sendiri menjadi sasaran. Periksa sumber paket sebelum menjalankan pembaruan massal, terutama di jaringan yang melewati proxy pihak ketiga.
Sumber: The Hacker News dan Meteora Web. Gambar: The Hacker News