APT Paket Yöneticisinde Kritik Güvenlik Açığı: Saldırganlar Root Yetkisiyle Kod Çalıştırabiliyor

Debian ve Ubuntu dağıtımlarında kullanılan APT paket yöneticisinde kritik olarak nitelendirilen bir güvenlik açığı tespit edildi. CVE-2026-109518 koduyla takip edilen bu açık, HTTP trafiği üzerinde denetim sahibi olan bir saldırganın, indirme sürecinde denetlenen paketleri kendi hazırladığı zararlı paketlerle değiştirmesine imkân veriyor. Değiştirilen paketin kurulumunun ardından saldırganın kodu root yetkileriyle çalışıyor. Debian, Ubuntu ve APT geliştiricileri, 4 Kasım tarihinde yayımladıkları güvenlik duyurularıyla konuya ilişkin ayrıntıları kamuoyuyla paylaştı.

Açık Nasıl Çalışıyor?​

Saldırının gerçekleşebilmesi için APT'nin başarısız indirmeleri yeniden denemesi gerekiyor. Bu yeniden deneme davranışı, Debian 12 ve Ubuntu 22.04 sürümlerinden itibaren varsayılan olarak etkin durumda. APT geliştiricilerine göre saldırgan, HTTP yönlendirmeleri ve olağan geçici sunucu hatalarını bir arada kullanarak APT'yi indirmeyi yeniden denemeye zorluyor. Yeniden deneme sırasında daha önce doğrulanmış paket, saldırganın hazırladığı paketle sessizce değiştiriliyor ve kurulum tamamlandığında kötü amaçlı kod root yetkileriyle çalışmış oluyor.
Ubuntu'nun açıklamasına göre saldırgan; APT ile paket sunucusu arasındaki HTTP trafiğini değiştirebilen herhangi biri olabilir. Bu kapsama kötü amaçlı bir yansıma sunucusu (mirror) ya da proxy de dahil. Üç duyurunun hiçbirinde açığı istismar eden gerçek bir saldırıya dair bilgiye yer verilmedi. Ayrıca HTTPS üzerinden erişilen paket kaynaklarının bu saldırıya açık olup olmadığı da duyurularda belirtilmedi.

Hangi Sürümler Etkileniyor?​

Ubuntu'nun değerlendirmesine göre Debian 11 ve Ubuntu 20.04 gibi eski sürümler varsayılan yapılandırmada bu açığa karşı savunmasız değil. Ancak APT geliştiricileri, pek çok kullanıcı betiğinin söz konusu sürümlerde Acquire::Retries ayarını manuel olarak etkinleştirmiş olabileceğine dikkat çekiyor; bu durumda eski sürümler de risk altına giriyor.
Ubuntu, açığı yüksek öncelikli olarak değerlendiriyor ve CVSS 4.0 puanını 7,7 olarak belirledi. Debian ve Ubuntu üzerine inşa edilmiş diğer dağıtımların da etkilendiğini belirten Ubuntu, bu dağıtımların adlarını açıklamadı. Debian'ın test dalı, 4 Kasım günü saat 14:58 UTC itibarıyla hâlâ savunmasız olan 3.3.5 sürümünü kullanıyordu. Ubuntu ise aynı gün saat 15:46 UTC itibarıyla takip ettiği 14.04 LTS'den 26.10'a kadar uzanan sekiz sürümün tamamını savunmasız olarak işaretlemeye devam ediyordu.

Yamalar Yayımlandı, Güncellemeler Sürüyor​

Debian, açık için düzeltilmiş APT sürümlerini yayımladı. Ağustos 2025'te uzun dönem desteği sona eren Debian 11 için de APT geliştiricileri 2.2.5 sürümünü hazırladı. Ubuntu, dört sürümü için düzeltilmiş APT derlemelerini 4 Kasım günü saat 14:25 UTC'de güvenlik arşivine yükledi:

• Ubuntu 26.10: 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1

\n
APT geliştiricileri, Ubuntu ve Ubuntu Pro abonelik hizmeti için güncellemelerin yayımlanmakta olduğunu bildirdi. Ubuntu Pro kullanan Ubuntu 14.04 kullanıcıları güncellemeye zaten erişebilir durumda. Üç duyurunun hiçbirinde henüz güncelleme yapamayan sistemler için geçici bir önlem tarif edilmedi.

Açığı Bildiren Kişi​

Güvenlik açığını APT geliştiricilerine bildiren kişi Max Justicz oldu. APT geliştiricileri açığı kritik olarak nitelendirirken Ubuntu, CVSS 4.0 ölçeğinde 7,7 puanla yüksek öncelikli kategorisine yerleştirdi.

Sıkça Sorulan Sorular​

CVE-2026-109518 açığı tam olarak ne yapıyor?​

HTTP trafiğini kontrol edebilen bir saldırgan, APT'nin başarısız indirmeyi yeniden denemesi sırasında daha önce doğrulanmış paketi kendi zararlı paketiyle değiştirebiliyor. Paket kurulduğunda saldırganın kodu root yetkileriyle çalışıyor.

Bu açık hangi Debian ve Ubuntu sürümlerini etkiliyor?​

Debian 12 ve Ubuntu 22.04 ile bu sürümlerden sonraki tüm sürümler varsayılan olarak etkileniyor. Debian 11 ve Ubuntu 20.04 gibi eski sürümler varsayılan yapılandırmada doğrudan etkilenmiyor; ancak Acquire::Retries ayarı manuel olarak etkinleştirilmişse bu sürümler de risk altına giriyor. Ubuntu ayrıca Debian ve Ubuntu üzerine kurulu diğer dağıtımların da etkilendiğini belirtti.

Saldırının gerçekleşmesi için ne gerekiyor?​

Saldırganın APT ile paket sunucusu arasındaki HTTP trafiğini değiştirebilmesi gerekiyor. Bu, kötü amaçlı bir yansıma sunucusu veya proxy aracılığıyla mümkün olabiliyor. Saldırı aynı zamanda APT'nin indirmeyi yeniden denemesini de zorunlu kılıyor; bunun için saldırgan HTTP yönlendirmeleri ve geçici sunucu hatalarından yararlanıyor.

Ubuntu hangi sürümler için yama yayımladı?​

Ubuntu, 4 Kasım günü saat 14:25 UTC'de dört sürüm için düzeltilmiş APT derlemelerini güvenlik arşivine yükledi: Ubuntu 26.10, Ubuntu 26.04 LTS, Ubuntu 24.04 LTS ve Ubuntu 22.04 LTS. Ubuntu Pro kullanan Ubuntu 14.04 kullanıcıları da güncellemeye erişebilir durumda.

Açığı kim keşfetti ve tehdit düzeyi nasıl değerlendiriliyor?​

Açığı Max Justicz bildirdi. APT geliştiricileri açığı kritik olarak nitelendirirken Ubuntu, CVSS 4.0 ölçeğinde 7,7 puanla yüksek öncelikli kategorisine koydu. Duyurularda açığı gerçek saldırılarda kullanan herhangi bir vakaya yer verilmedi.