Celah APT Debian dan Ubuntu CVSS 7,7 Bisa Tukar Paket Terverifikasi, Kode Jalan sebagai Root

Fitur yang dibuat agar unduhan lebih andal justru jadi pintu masuk: APT, pengelola paket di Debian dan Ubuntu, bisa dipancing mengulang unduhan sampai paket yang sudah lolos pemeriksaan diganti dengan milik penyerang.

Pengembang APT, Debian, dan Ubuntu menerbitkan advisori pada Rabu (4/11/2026) tentang celah CVE-2026-109518. Menurut laporan The Hacker News, celah itu memungkinkan penyerang yang bisa mengubah unduhan paket menukar paket yang sudah diperiksa dengan paket buatannya sendiri, lalu kodenya berjalan sebagai root.

Peneliti yang disebut menemukan celah ini adalah Max Justicz. Ubuntu menilainya berprioritas tinggi dengan skor CVSS 4.0 sebesar 7,7, sementara pengembang APT menyebutnya kritis. Menurut ketiga advisori, belum ada eksploitasi di dunia nyata yang dilaporkan.

APT (Advanced Package Tool) adalah alat bawaan untuk memasang dan memperbarui perangkat lunak di keluarga distribusi Debian, termasuk Ubuntu. Pemasangan paket lewat alat ini berjalan dengan hak istimewa tertinggi, sehingga paket yang lolos diganti dapat menjalankan kode di seluruh sistem. Perbedaan penilaian antara Ubuntu (prioritas tinggi, 7,7) dan pengembang APT (kritis) menunjukkan bahwa tingkat bahayanya bergantung pada seberapa mudah penyerang menguasai jalur unduhan.

Pengulangan Unduhan Jadi Celah Serangan

Serangan memerlukan APT mengulang unduhan yang gagal. Sejak Debian 12 dan Ubuntu 22.04, perilaku itu menyala secara bawaan. Penyerang memakai pengalihan HTTP dan galat sementara dari server biasa untuk memaksa APT mencoba lagi, menurut pengembang APT.

Pelakunya tak harus jaringan besar. Ubuntu menyebut siapa saja yang dapat mengubah lalu lintas HTTP antara APT dan server paket bisa memanfaatkannya, termasuk cermin (mirror) atau proksi berbahaya. Serangan baru jalan saat komputer memasang paket.

Ketiga advisori menjelaskan serangan lewat HTTP dan tidak menyebut apakah sumber paket yang diakses lewat HTTPS ikut terdampak. Mereka juga tidak menawarkan solusi sementara bagi sistem yang belum bisa diperbarui.

Siapa yang Terdampak dan Versi Perbaikannya

Debian 12 dan Ubuntu 22.04 ke atas terdampak karena pengulangan unduhan aktif secara bawaan. Debian 11 dan Ubuntu 20.04 disebut Ubuntu tidak terdampak secara bawaan, tetapi pengembang APT mengingatkan banyak skrip pengguna mungkin sudah mengatur Acquire::Retries di rilis tersebut.

Ubuntu menerbitkan pembaruan di arsip keamanannya pukul 14.25 UTC pada 4 November: versi 3.3.3ubuntu0.1 untuk Ubuntu 26.10, 3.2.1ubuntu0.1 untuk 26.04 LTS, 2.8.4ubuntu0.1 untuk 24.04 LTS, dan 2.4.15ubuntu0.1 untuk 22.04 LTS. Pengguna Ubuntu 14.04 dengan langganan Ubuntu Pro juga sudah bisa mendapat pembaruan.

Untuk Debian 11, pengembang APT menerbitkan versi 2.2.5. Dukungan LTS Debian 11 sendiri berakhir pada 31 Agustus. Debian menyatakan sudah merilis versi APT yang diperbaiki, tetapi laporan tidak mencantumkan nomor versinya untuk Debian 12 maupun 13.

Sebagian Rilis Masih Ditandai Rentan

Pada pukul 14.58 UTC 4 November, Debian testing masih berada di versi rentan 3.3.5. Satu jam kemudian, pukul 15.46 UTC, Ubuntu masih menandai kedelapan rilis yang dilacaknya, dari 14.04 LTS sampai 26.10, sebagai rentan. Distribusi turunan Debian dan Ubuntu juga terdampak, tanpa daftar nama dalam laporan.

Angka-angka itu bersumber dari satu laporan yang mengutip tiga advisori; CompileDaily belum dapat membuka laman advisori primer secara langsung, sehingga status tiap rilis sebaiknya dicek di halaman keamanan masing-masing distribusi. Celah lain di perangkat Linux yang baru-baru ini ditambal dibahas dalam artikel soal celah LXD bernilai CVSS 10,0.

Yang masih terbuka adalah seberapa cepat distribusi turunan menyusul dengan pembaruan, apakah Debian testing segera keluar dari versi 3.3.5, dan seberapa cepat para penyedia akan menerbitkan panduan mitigasi untuk sistem yang tertahan di rilis lama.