Debian／Ubuntu APT 漏洞可讓中間人替換已驗證套件，進而以 root 執行程式碼
原始來源： The Hacker News · 2026/11/04
2026/11/04，Debian、Ubuntu 與 APT 維護單位公布 CVE-2026-109518。能操控 APT 與軟體庫之間 HTTP 流量的攻擊者（含惡意鏡像或代理），可在套件重試下載流程中，誘使用戶端安裝攻擊者控制、未通過驗證的套件，並以 root 權限執行。Ubuntu 評為 High（CVSS 4.0 為 7.7）；APT 開發者評為 Critical。Debian 12 與 Ubuntu 22.04 起預設 Acquire::Retries 非零，屬預設受影響範圍。建議依各發行版公告更新 APT，升級過程可暫時將 Acquire::Retries 設為 0，並檢視套件來源是否改用 HTTPS。
重點先看
APT CVE-2026-109518 讓可操控 HTTP 下載路徑的攻擊者，在重試條件下替換套件並以 root 執行。請立即更新 APT，升級時關閉重試，並檢查鏡像與代理可信度。
發生了什麼
依 The Hacker News、Ubuntu 與 Debian 於 2026/11/04 公布的資訊，APT（Debian、Ubuntu 及衍生發行版使用的套件管理程式）存在 CVE-2026-109518。攻擊者若能操控 APT 用戶端與軟體庫伺服器之間的 HTTP 流量——包括惡意鏡像或代理——可在觸發套件安裝、且用戶端會跟隨重新導向並重試下載時，誘使系統安裝攻擊者控制、未經驗證的 .deb 套件。安裝套件時會以 root 權限執行套件腳本，因此可造成遠端程式碼執行。 Ubuntu 將嚴重度標為 High，CVSS 4.0 分數為 7.7；APT 開發者則以 Critical 描述此問題。漏洞成因與硬連結重用有關，並需要非零的 Acquire::Retries 設定；自 Debian 12（bookworm）與 Ubuntu 22.04 LTS 起，預設值為 3，因此這些版本在預設組態下即受影響。較舊發行版預設不受影響，但若管理腳本自行啟用重試，仍可能暴露。
影響範圍與修補狀態
Ubuntu 已釋出多個發行版的 APT 修補套件，包括：Ubuntu 26.10（3.3.3ubuntu0.1）、26.04 LTS（3.2.1ubuntu0.1）、24.04 LTS（2.8.4ubuntu0.1）、22.04 LTS（2.4.15ubuntu0.1）；較舊版本可透過 Ubuntu Pro／ESM 取得修補。Debian Security Tracker 顯示 bookworm 安全更新為 2.6.2、trixie 為 3.0.4、unstable／sid 為 3.3.6。 Ubuntu 說明：以 snap 安裝軟體不受此漏洞影響；利用條件為攻擊者可操控 HTTP 流量。改用 HTTPS 來源可防範「路徑上」的中間人；修補後仍建議檢視內部鏡像與代理是否可信。三方公告均未描述已確認的在野利用，也未提供「無法更新時」的長期替代方案，僅建議升級過程暫時關閉重試。
建議立即處置
使用 Debian、Ubuntu 或衍生發行版的單位，建議依序處理： 1. 依發行版安全公告立即更新 APT（及相依套件），確認已安裝修補版本。 2. 升級此修補時，可暫時加上 -o Acquire::Retries=0，降低更新過程本身被利用的風險。 3. 檢查 /etc/apt/sources.list 與 sources.list.d：在可行情況下將 Ubuntu／Debian 官方來源改為 https://，並確認內部鏡像與代理支援且可信任。 4. 盤點近期套件安裝與變更紀錄，留意非預期的 .deb 來源、安裝腳本與新增帳號。 5. 容器與 CI 映像若以 APT 安裝套件，同樣需要更新基底映像中的 APT，並檢視建置時使用的鏡像。 6. 將套件管理與異常 root 行為納入日常監看，例如非維護時段的大量安裝與異常外連。
為什麼重要
許多企業的伺服器、開發機與容器映像仍依賴 APT 從 HTTP 鏡像或內部代理取得套件。簽章機制本應阻擋惡意套件，但此漏洞可在重試流程中繞過預期的驗證結果，使「看起來像日常更新」的操作變成取得 root 的途徑。 首要工作是依發行版公告完成 APT 修補，並確認套件來源可信。修補之後，仍建議以 DevaEye MDR 託管防護持續監看異常套件安裝與可疑的 root 行為，以便在疑似遭植入惡意套件時協助調查與應變；MDR 不能取代修補，也不能阻擋此漏洞本身。
Cloudforce 可以協助哪些？
針對 APT 套件遭替換後可能出現的主機異常，目前對應方案為： 1. DevaEye MDR 託管防護：7×24 監看異常套件安裝、root 權限行程與可疑外連，協助研判是否已遭植入惡意套件並進行後續調查。請注意：修補 APT 仍是首要處置；MDR 用於監控與事後調查，不能阻擋或修補此漏洞。
常見問題
哪些系統預設受影響？
Ubuntu 說明自 22.04 LTS 起、以及 Debian 12 起，預設 Acquire::Retries 非零，屬預設受影響。較舊發行版預設不受影響，但若自行啟用重試仍可能暴露。
一定要用 HTTPS 才能修嗎？
根本作法是更新 APT。Ubuntu 指出改用 HTTPS 可降低路徑上中間人風險，並建議在安裝此修補前可先啟用 HTTPS 作為過渡措施；修補後仍應優先安裝官方安全更新。
有沒有已確認的攻擊？
截至 The Hacker News、Ubuntu 與 Debian 2026/11/04 公告，均未描述已確認的在野利用。
snap 套件有影響嗎？
Ubuntu 明確說明 snap 使用不同套件機制，不受此漏洞影響。
DevaEye MDR 託管防護能如何協助？
DevaEye MDR 可監看異常套件安裝、root 權限行程與可疑外連，協助在疑似遭植入惡意套件後進行調查與應變。修補 APT 仍是首要工作；MDR 不能阻擋或修補此漏洞。