חולשה ב-APT של Debian ו-Ubuntu: תוקף בנתיב התעבורה יכול להשיג root
באג במנהל החבילות APT מאפשר לעקוף את בדיקת החתימה ולהתקין חבילה זדונית בהרשאות root. Debian ו-Ubuntu כבר שחררו תיקון, וכך מעדכנים בבטחה.
TL;DR בקצרה
- CVE-2026-109518 ב-APT מאפשרת להחליף חבילה אחרי שעברה אימות
- התוקף צריך לשלוט בתעבורת HTTP בין השרת למאגר החבילות
- חשופים כברירת מחדל: Ubuntu 22.04 ו-Debian 12 ואילך
- Ubuntu ממליצה לעדכן עם Acquire::Retries=0 ולעבור ל-HTTPS
חולשה חמורה ב-APT, מנהל החבילות של Debian ו-Ubuntu, עלולה לאפשר לתוקף להתקין חבילה זדונית ולקבל הרשאות root. Debian חשפה את החולשה, CVE-2026-109518, ב-4 בנובמבר. שתי ההפצות כבר שחררו עדכון. אם אתם מנהלים שרת Linux, כדאי להתקין אותו עוד היום.
איך החולשה ב-APT עוקפת את בדיקת החתימה
כל חבילה ממאגר רשמי של Debian או Ubuntu עוברת בדיקת חתימה. זו ההגנה שאמורה למנוע התקנה של קוד שמישהו שינה בדרך. החוקר Max Justicz גילה דרך לעקוף אותה.
מקור הבעיה הוא בטיפול של APT בהפניות HTTP ובהורדות שמתחדשות אחרי תקלה. לפי ההודעה של Debian, תוקף בנתיב התעבורה יכול לגרום ל-APT לאחד שתי הורדות. כך הוא מחליף חבילה אחרי שכבר עברה אימות.
התקנת חבילה רצה בהרשאות root. לכן החלפה כזו נותנת לתוקף שליטה מלאה במכונה. Ubuntu דירגה את החולשה בחומרה גבוהה, עם ציון CVSS של 7.7. CVSS הוא מדד מקובל לחומרת חולשות, בסולם של 0 עד 10.
מי חשוף, ומה התוקף צריך כדי להצליח
זו לא חולשה שכל אחד באינטרנט יכול לנצל. התוקף צריך לשבת באמצע, כלומר לשלוט בתעבורה בין השרת שלכם לשרת החבילות. לפי Ubuntu, מראה (mirror) זדוני או שרת proxy יכולים לתת לו את המיקום הזה.
תנאי נוסף: APT צריך לנסות שוב הורדה שנכשלה. ההגדרה Acquire::Retries קובעת את זה. לפי Ubuntu, היא פעילה כברירת מחדל מ-Ubuntu 22.04 ומ-Debian 12 ואילך. גרסאות ישנות חשופות רק אם מישהו הפעיל אותה ידנית או בסקריפט.
חשוב לדעת גם מה לא בסיכון. חבילות snap עובדות במנגנון אחר, ולכן הן לא מושפעות. גם מאגרים שעובדים ב-HTTPS מוגנים, כי התוקף צריך לשנות תעבורת HTTP גלויה.
הגרסאות המתוקנות של APT
ב-Debian 13 התיקון הגיע בגרסת APT 3.0.4, וב-Debian 12 בגרסה 2.6.2. Ubuntu שחררה עדכונים לכל הגרסאות שהיא תומכת בהן, כולל 22.04, 24.04 ו-26.04. מנויי Ubuntu Pro מקבלים תיקון גם לגרסאות ישנות, עד 14.04.
לדברי Ubuntu, השירות unattended-upgrades פעיל כברירת מחדל מגרסה 16.04. הוא מתקין עדכוני אבטחה אוטומטית בתוך 24 שעות. ובכל זאת, כדאי לבדוק ולא להניח.
למה זה נוגע גם לעסק קטן
הרבה אתרי וורדפרס, חנויות ומערכות CRM רצים על שרת VPS עם Ubuntu. לעיתים קרובות אף אחד לא מתחזק את השרת באופן קבוע. החולשה הזו מזכירה שעדכון מערכת הוא לא רק תוספים ותבניות. גם הכלי שמתקין את העדכונים צריך עדכון.
לפי CSO Online, Justicz כתב שמצא את הפרצה בעזרת כלי AI בתוך שעתיים. זה עוד סימן לקצב שבו חוקרים, וגם תוקפים, מוצאים היום חולשות.
מה זה אומר עבורכם
- בדקו את הגרסה המותקנת עם
apt list --installed '?source-package(^apt$)'והשוו לגרסאות המתוקנות. - עדכנו כש-retries כבויים, כפי ש-Ubuntu ממליצה:
sudo apt update && sudo apt upgrade -o Acquire::Retries=0. - העבירו את כתובות המאגרים בקבצי המקורות של APT מ-http ל-https, אם המראה שלכם תומך בכך.
- ודאו ש-unattended-upgrades פועל בכל השרתים שלכם.
- עדכנו גם את תבניות השרת (images) שמהן אתם מקימים מכונות חדשות.
מקורות והרחבה
- CVE-2026-109518 APT vulnerability fixes availableUbuntu
- Debian, Ubuntu patch APT flaw that could hand attackers rootCSO Online
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
