أصدر مشروعا Debian وUbuntu في 4 نوفمبر 2026 تحديثات أمنية لمدير الحزم APT لإصلاح الثغرة (CVE-2026-109518 بتقييم CVSS 4.0 عند 7.7). وأوضحت صفحة Ubuntu أن مهاجماً يتحكم في حركة HTTP بين نظام APT وخادم الحزم، عبر وكيل خبيث، يستطيع دفع النظام لتثبيت حزمة معدلة دون التحقق منها، ما يؤدي في النهاية إلى تنفيذ أوامر برمجية بصلاحيات الجذر (root).
ونشرت Debian بدورها النشرة الأمنية DSA-6607-1، مبينة أن APT قد يدمج تنزيلين مختلفين لحزمتين في حال منحتهما عملية إعادة توجيه HTTP المسار ذاته. ويتيح خطأ في معالجة الملفات عند استئناف التنزيل لمهاجم وسيط استبدال الحزمة البرمجية بحزمة أخرى بعد إتمام عملية التحقق منها.
وأشار مطور APT، Julian Klode، في رسالة موجهة لقائمة المطورين، إلى أن عملية إعادة التوجيه وأخطاء خادم HTTP المؤقتة التي تُفعل آلية إعادة المحاولة، تمنح المهاجم قدرة على استبدال الروابط الثابت بحمولة خبيثة يختارها، تثبت ملفات deb لاحقاً بصلاحيات root. ووصف Klode الثغرة في الرسالة ذاتها بأنها تجاوز حرج لآليات فحص الملفات.
ويتركز الخلل تقنياً في خلفية HTTP التي تستخدمها مكتبة APT، ما يجعله مؤثراً على كافة الأدوات المعتمدة عليها، مثل apt وapt-get وaptitude، إضافة إلى الأدوات الرسومية في نظام Ubuntu، وفقاً لمدونة الشركة. ولا يمتد تأثير هذا الخلل إلى حزم Snap أو عمليات النقل المعتمدة على بروتوكول FTP.
ويشترط لنجاح الاستغلال محاولة النظام تثبيت حزمة معينة، مع كون قيمة الإعداد Acquire::Retries غير صفرية. وتبلغ القيمة الافتراضية لهذا الإعداد 3 في أنظمة Debian 12 وUbuntu 22.04 والإصدارات اللاحقة، وهي القيمة المعتمدة منذ الإصدار 2.3.2 بحسب مطوري APT. ولا تتأثر الإصدارات الأقدم افتراضياً، باستثناء الحالات التي تُفعّل فيها نصوص المستخدمين هذا الإعداد، في حين أكدت Ubuntu أن استخدام بروتوكول HTTPS يوفر حماية فاعلة ضد أي مهاجم يحاول التلاعب بحركة HTTP على مسار الاتصال.
وتصنف صفحة Ubuntu هذه الثغرة باعتبارها عالية الأولوية بناء على درجة تقييمها البالغة 7.7، في حين لم تحدد نشرة Debian درجة تقييم خاصة بها في تقاريرها.
وتضمنت نشرة Debian الإصلاح 3.0.4 لفرع trixie، وأظهر متتبع النظام إصلاح فرع bookworm عبر الإصدار 2.6.2 وفرع sid عبر 3.3.6، بينما استمر فرع forky متأثراً بالإصدار 3.3.5 وقت قراءة المتتبع في 5 نوفمبر. ووفرت Ubuntu سلسلة إصلاحات شملت 2.4.15ubuntu0.1 لإصدار 22.04 LTS، و2.8.4ubuntu0.1 لإصدار 24.04 LTS، و3.2.1ubuntu0.1 لإصدار 26.04 LTS، و3.3.3ubuntu0.1 لإصدار 26.10. وتغطي التحديثات إصداري 20.04 و18.04 عبر خدمة Ubuntu Pro، وتمتد إلى 16.04 و14.04 من خلال حزمة الدعم القديم للخدمة ذاتها.
وتنصح مدونة Ubuntu بتثبيت التحديثات فوراً مع ضبط قيمة Acquire::Retries على 0 بصفة مؤقتة، وتفعيل بروتوكول HTTPS لمصادر الحزم في حال دعم المرآة لذلك. وأكدت الشركة أن آلية التحديث التلقائي (unattended-upgrades) ستُثبت الإصلاح خلال 24 ساعة إذا كانت مفعلة. ولم تطرح نشرة Debian أو رسالة المطورين أي حلول مؤقتة بديلة.
وأبلغ الباحث الأمني Max Justicz عن هذه الثغرة وفقاً لنشرة Debian. ولم ترصد النشرة أو رسالة المطورين أو الوثائق الرسمية لشركة Ubuntu أي استغلال فعلي للثغرة في بيئات العمل الحقيقية، كما لم يُنشر أي إثبات مفهوم متعلق بها.
