کمیته رکن چهارم– نقصی در ابزار مدیریت بسته APT می‌تواند به مهاجمی که ترافیک دانلود را دستکاری می‌کند اجازه دهد بسته نرم‌افزاری بررسی‌شده را با فایل دلخواه جایگزین کند. نصب این فایل ممکن است کد مهاجم را با بالاترین دسترسی سیستم اجرا کند.
به گزارش کمیته رکن چهارم، Debian، Ubuntu و توسعه‌دهندگان APT در ۴ نوامبر ۲۰۲۶ درباره CVE-2026-109518 اطلاعیه داده‌اند. APT ابزار رایج نصب و به‌روزرسانی نرم‌افزار در این توزیع‌های لینوکس است.
مشکل هنگام هدایت مجدد و تلاش دوباره برای دریافت فایل از مسیر HTTP رخ می‌دهد. مدیریت نادرست فایل دانلودی می‌تواند نتیجه بررسی قبلی را بی‌اثر کند. مهاجم باید بتواند مسیر ارتباط را تغییر دهد؛ برای مثال از جایگاه یک واسطه یا سرور آینه مخرب.
تنظیم تلاش مجدد دانلود باید فعال باشد. این حالت از Debian 12 و Ubuntu 22.04 به بعد پیش‌فرض است؛ در نسخه‌های قدیمی نیز ممکن است با تنظیم کاربر یا اسکریپت فعال شده باشد. بنابراین صرف قدیمی‌تر بودن سیستم، تأیید ایمنی آن نیست.
توصیه رسمی، نصب اصلاحیه APT متناسب با توزیع و شاخه پشتیبانی است. Debian برای شاخه پایدار trixie نسخه ۳.۰.۴ را معرفی کرده است. Ubuntu نسخه ۲.۴.15ubuntu0.1 را برای ۲۲.۰۴ و نسخه ۲.۸.4ubuntu0.1 را برای ۲۴.۰۴ در فهرست اصلاح‌شده قرار داده است.
توصیه تحریریه: به‌روزرسانی را از مسیر رسمی توزیع دریافت و نسخه نصب‌شده را با اطلاعیه همان شاخه تطبیق دهید. این گزارش، قابلیت سوءاستفاده را تشریح می‌کند و به‌تنهایی تأیید وقوع حمله به همه کاربران نیست.
منبع: Ubuntu
