ארגונים שמפעילים שרתי Ubuntu או Debian צריכים לעדכן את APT בהקדם. חולשה חדשה וחמורה, CVE-2026-109518, מאפשרת בתנאים מסוימים לתוקף שנמצא בתווך הרשת לגרום למנהל החבילות להתקין קובץ שלא עבר את האימות המצופה. מאחר שסקריפטים של חבילת DEB יכולים לרוץ בהרשאות גבוהות, התוצאה האפשרית היא הרצת קוד כ‑root.
הבעיה נחשפה באחריות על ידי חוקר האבטחה Max Justicz. Canonical מגדירה אותה בדרגת חומרה High ובציון CVSS 4.0 של 7.7. AWS פרסמה ב‑5 בנובמבר 2026 התראה ללקוחות EC2 וקונטיינרים מבוססי Ubuntu ו‑Debian, לאחר ש‑Canonical ו‑Debian הפיצו עדכונים ב‑4 בנובמבר.
איך התקיפה עובדת?
החולשה נמצאת במנגנון ה‑HTTP שבו משתמשת ספריית APT. היא מופעלת כאשר הורדה נכשלת והלקוח מנסה אותה שוב. תוקף שמסוגל לשנות את תעבורת ה‑HTTP בין המערכת למראה החבילות יכול לנצל טיפול שגוי בהמשך הורדה לאחר הפניה, ולגרום ל‑APT למזג תוכן משתי הורדות שונות. כך ניתן להחליף חבילה לאחר שלב האימות ולהפעיל את סקריפטי התחזוקה שלה בהרשאות root.
לפי Canonical, Ubuntu 22.04 LTS וגרסאות חדשות יותר מושפעות כברירת מחדל, משום שההגדרה Acquire::Retries אינה אפס. גרסאות ישנות יותר עלולות להיות מושפעות אם מנהל המערכת הגדיר ניסיונות חוזרים. Debian 12 ומעלה נכללות בהתרעות שפורסמו. התקנה באמצעות Snap אינה מושפעת, משום שהיא משתמשת במנגנון הפצה שונה.
הגרסאות המתוקנות
- Ubuntu 22.04 LTS:
apt 2.4.15ubuntu0.1 - Ubuntu 24.04 LTS:
apt 2.8.4ubuntu0.1 - Ubuntu 26.04 LTS:
apt 3.2.1ubuntu0.1 - Ubuntu 26.10:
apt 3.3.3ubuntu0.1 - Debian: יש לפעול לפי DSA-6607-1; ב‑Debian 12 LTS התיקון מופיע בגרסה 2.6.2.
מה מנהלי IT צריכים לעשות עכשיו
- למפות נכסים: לזהות שרתי EC2, מכונות וירטואליות, תחנות עבודה ותמונות קונטיינר שמבוססים על Ubuntu או Debian.
- לבדוק גרסה: ב‑Ubuntu ניתן להריץ
apt list --installed '?source-package(^apt$)'ולהשוות לגרסה המתוקנת. - לעדכן: AWS ממליצה להריץ
sudo apt-get update && sudo apt-get upgrade -o Acquire::Retries=0. יש לבדוק את השינוי בסביבת בדיקות ולפעול בהתאם למדיניות הארגונית. - להעדיף HTTPS: מעבר ממקורות HTTP ל‑HTTPS מפחית את סיכון התוקף בתווך. עם זאת, הוא אינו מחליף התקנת תיקון.
- לבנות מחדש Images: לאחר תיקון המארחים, לעדכן גם AMI ותמונות קונטיינר כדי שמערכות חדשות לא יופעלו עם חבילה פגיעה.
- לנטר: לחפש התקנות חריגות, שינויי מקורות APT וחיבורים למראות שאינן מאושרות.
המסר התפעולי ברור: זוהי חולשה בשרשרת האספקה של עדכוני מערכת, והחלון שבו ניתן לנצל אותה נסגר רק לאחר עדכון החבילה בכל נכס פעיל ובכל Image שממנה נפרסים נכסים חדשים.
מקורות
- AWS Security Bulletin 2026-172-AWS
- Canonical: CVE-2026-109518 APT vulnerability fixes available
- Debian LTS: DLA 4880-1
תמונה: Albert Stoynov / Unsplash, ברישיון Unsplash. דף המקור והרישיון מתועדים בפרטי המדיה.
