Sebuah kerentanan pada APT, pengelola paket untuk Debian dan Ubuntu, memungkinkan pihak penyerang yang mampu memanipulasi unduhan paket untuk menukar paket terverifikasi dengan milik mereka sendiri.
Kode milik peretas tersebut kemudian akan berjalan dengan hak akses root, berlandaskan laporan peringatan yang dirilis oleh pihak Debian, Ubuntu, beserta pengembang APT pada tanggal 4 November. Operasi peretasan ini membutuhkan APT agar melakukan upaya pengunduhan ulang saat terjadi kegagalan, fitur yang aktif secara default semenjak Debian 12 serta Ubuntu 22.04 ke atas.
Pihak Debian sudah meluncurkan versi perbaikan APT guna menangani celah bernomor CVE-2026-109518 ini. Tim pengembang APT, yang mengkategorikan bug tersebut dalam level kritis, mengabarkan bahwa sejumlah pembaruan bagi sistem Ubuntu dan layanan langganan Ubuntu Pro tengah diedarkan. Para pengguna Ubuntu 14.04 yang memiliki akses Ubuntu Pro bahkan telah dapat menerimanya sekarang.
Versi distribusi yang lebih lawas, seperti Debian 11 maupun Ubuntu 20.04, secara default terbebas dari bahaya tersebut seturut keterangan Ubuntu. Kendati demikian, banyak skrip buatan pemakai barangkali telah mengaktifkan konfigurasi coba ulang unduhan, Acquire::Retries, pada sistem-sistem lama tersebut, jelas para pengembang APT.
Cabang pengujian Debian terpantau masih mempergunakan versi rentan 3.3.5 pada pukul 14.58 UTC di tanggal 4 November. Mengenai Debian 11, yang masa dukungan jangka panjangnya telah tuntas pada 31 Agustus silam, pengembang APT telah merilis edisi perbaikan resmi versi 2.2.5.
Pihak Ubuntu memposisikan kerentanan ini dalam kategori prioritas tinggi, dengan bobot skor CVSS 4.0 mencapai 7,7, serta menambahkan indikasi bahwa varian distribusi lain yang berakar dari Debian maupun Ubuntu turut terdampak tanpa merinci namanya secara spesifik.
Pihak Ubuntu mendistribusikan build APT mutakhir untuk empat rilisannya menuju arsip keamanan resmi pada pukul 14.25 UTC tanggal 4 November:
Pada waktu 15.46 UTC, Ubuntu tercatat masih menandai seluruh delapan varian rilis yang dipantaunya terkait isu ini, mulai versi 14.04 LTS sampai 26.10, dalam status rentan.
Pelaku peretasan dapat berupa siapa pun yang berdaya menyunting lalu lintas jaringan HTTP antara mekanisme APT dan server repositori paket, termasuk pihak pengelola mirror atau proxy berbahaya, urai pihak Ubuntu. Injeksi penyerangan berlangsung sewaktu perangkat komputer memasang berkas paket. Pelaku mengeksploitasi pengalihan HTTP serta kegagalan peladen temporer biasa demi memaksa APT mengunduh ulang berkas, ungkap pihak pengembang APT.
Peneliti Max Justicz merupakan pihak yang pertama kali melaporkan kelemahan ini. Tak satu pun dari ketiga dokumen peringatan memaparkan peristiwa eksploitasi aktif di lapangan ataupun memberikan solusi alternatif bagi perangkat yang belum sanggup memperbarui sistem. Paparan tersebut menguraikan ancaman melalui sambungan HTTP serta sama sekali tidak menerangkan apakah repositori paket via enkripsi HTTPS turut terancam.
