Sebuah kerentanan pada pengelola paket APT milik Debian dan Ubuntu memungkinkan pelaku kejahatan siber yang mampu memodifikasi lalu lintas unduhan untuk menukar paket tervalidasi dengan paket berbahaya milik mereka.
Kode dari pihak penyerang tersebut kemudian dieksekusi dengan hak akses root, berlandaskan serangkaian pengumuman resmi yang dirilis Debian, Ubuntu, dan para pengembang APT pada 4 November. Aksi eksploitasi ini mensyaratkan APT mengulang proses unduhan yang terputus, suatu pengaturan yang aktif secara bawaan mulai Debian 12 dan Ubuntu 22.04 ke atas.
Debian telah meluncurkan versi perbaikan APT guna menangani celah tersebut, CVE-2026-109518. Tim pengembang APT yang melabeli kerentanan ini berkategori kritis menyatakan bahwa pembaruan sistem bagi Ubuntu serta layanan berlangganan Ubuntu Pro tengah digulirkan. Para pengguna Ubuntu 14.04 dengan langganan Ubuntu Pro bahkan sudah dapat memperoleh tambalan tersebut sekarang.
Versi rilis lama, seperti Debian 11 dan Ubuntu 20.04, secara default sebenarnya tidak terancam, menurut keterangan pihak Ubuntu. Kendati demikian, berbagai skrip milik pengguna barangkali mengaktifkan setelan pengulangan unduh, Acquire::Retries, pada sistem-sistem lama tersebut, ungkap pengembang APT.
Cabang pengujian (testing) Debian terpantau masih menjalankan versi 3.3.5 yang rentan pada pukul 14:58 UTC tanggal 4 November. Sementara untuk Debian 11, yang masa dukungan jangka panjangnya (LTS) telah resmi berakhir pada 31 Agustus, pengembang APT tetap meluncurkan rilis perbaikan versi 2.2.5.
Pihak Ubuntu mengkategorikan celah keamanan ini sebagai prioritas tinggi dengan skor CVSS 4.0 mencapai 7,7. Mereka juga memperingatkan bahwa varian distribusi Linux lain turunan Debian dan Ubuntu turut terdampak celah ini, tanpa merinci nama-nama distribusinya secara spesifik.
Ubuntu mendistribusikan berkas kompilasi APT termutakhir untuk empat rilisannya langsung ke repositori arsip keamanan pada pukul 14:25 UTC, 4 November:
Pada pukul 15:46 UTC, Ubuntu masih mencatat seluruh delapan versi rilis yang dipantaunya terkait isu keamanan ini, mulai varian 14.04 LTS sampai 26.10, dalam status rentan.
Pihak penyerang dapat berupa siapa saja yang berkapasitas memanipulasi arus trafik HTTP di antara APT serta server paket, termasuk mirror repositori berbahaya ataupun perantara proxy jahat, jelas Ubuntu. Serangan ini bekerja sewaktu komputer memproses instalasi paket. Pelaku memanfaatkan pengalihan HTTP dan respons eror server sementara demi memicu APT mengulang prosedur pengunduhan, papar para pengembang APT.
Peneliti keamanan Max Justicz merupakan pihak yang menemukan celah tersebut. Tak satu pun dari ketiga dokumen laporan peringatan yang mendeteksi insiden serangan di dunia nyata maupun menyajikan solusi sementara bagi perangkat yang belum dapat memperbarui sistem. Seluruh laporan hanya mengulas vektor serangan melalui protokol HTTP dan tidak memastikan apakah sumber paket repositori berbasis HTTPS ikut berisiko.
About the Author
