Ne oldu
Debian, Ubuntu ve APT geliştiricileri 4 Kasım'da yayımladıkları duyurularla, Debian ve Ubuntu'nun paket yöneticisi APT'deki kritik bir açığı kamuoyuna bildirdi. Açık, paket indirmelerini değiştirebilen bir saldırganın doğrulanmış bir paketi kendi paketiyle değiştirmesine ve kodunun root yetkisiyle çalışmasına yol açıyor. Açığın numarası CVE-2026-109518. Debian düzeltilmiş APT sürümlerini yayımladı; Ubuntu açığı yüksek öncelikli sayıyor ve CVSS 4.0 ile 7,7 puan veriyor.
Kimler etkileniyor
Saldırı, APT'nin başarısız indirmeleri yeniden denemesine dayanıyor ve bu davranış Debian 12 ile Ubuntu 22.04'ten itibaren varsayılan olarak açık. Debian 11 ve Ubuntu 20.04 gibi eski sürümler varsayılan ayarlarla etkilenmiyor; ancak APT geliştiricileri, birçok kullanıcı betiğinin Acquire::Retries ayarını yine de açmış olabileceğini söylüyor. Ubuntu, Debian ve Ubuntu tabanlı dağıtımların da etkilendiğini belirtiyor ama isim vermiyor.
