APT CVE-2026-109518: Debian ve Ubuntu Paket Yöneticisinde Root Yetkisiyle Kod Çalıştırma, Güvenli Güncelleme

Açık nedir? (APT HTTP signature bypass)

APT, paketleri indirirken depo imzalarıyla doğrular; imza tutmayan paket normalde kurulmaz. CVE-2026-109518'de bu korumanın bir boşluğu bulundu. Debian güvenlik takip sayfasındaki açıklamaya göre sorun, yeniden deneme sırasında tekrar kullanılan sabit bağlantılardan (hard link) kaynaklanıyor. Saldırgan ilk indirmeyi bozup APT'yi yeniden denemeye zorladığında, doğrulanmamış bir .deb dosyası kurulum aşamasına geçebiliyor. Paket kurulumu root yetkisiyle yapıldığı için sonuç, sistemin tamamen ele geçirilmesi olabiliyor.

Açığı Max Justicz buldu ve sorumlu şekilde bildirdi. Ubuntu açığı "Yüksek" önem derecesiyle sınıflandırdı; CVSS 4.0 puanı 7,7. Puanın kritik seviyenin altında kalmasının nedeni, saldırganın trafiğin arasına girebilmesi (on-path) gerekmesidir. Paylaşımlı bir ağda, ele geçirilmiş bir yönlendiricide ya da HTTPS kullanmayan bir ayna sunucusunda bu koşul gerçekleşebilir.

Hangi sistemler etkileniyor? (Affected systems)

• Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS ve 26.10: Varsayılan ayarla etkileniyor.
• Ubuntu 20.04 LTS ve daha eskileri: Yalnız Acquire::Retries sıfırdan farklı bir değere ayarlandıysa etkileniyor.
• Debian 12 (bookworm) ve Debian 13 (trixie): Etkileniyor, güvenlik deposundan düzeltme yayımlandı.
• APT kütüphanesini kullanan her araç etkileniyor: apt, apt-get, aptitude ve masaüstündeki grafik güncelleme araçları.

Ubuntu'ya göre Snap paketleri (farklı bir paket sistemi kullandıkları için), HTTP dışındaki taşıma yolları ve HTTPS üzerinden yapılan indirmeler bu açıktan etkilenmiyor.

Düzeltilmiş sürümler (Fixed versions)

Ubuntu 16.04 ve 14.04 için düzeltme, ESM'nin Legacy eklentisiyle sunuluyor. Debian'ın test dalı forky için henüz düzeltilmiş sürüm listelenmedi; kararsız dal sid'de 3.3.6 sürümü açığı kapatıyor.

Kurulu sürümü kontrol etmek

Ubuntu'nun önerdiği komut, apt kaynak paketinden kurulu tüm paketleri sürümleriyle listeler:

apt list --installed '?source-package(^apt$)'

Daha kısa bir kontrol için:

apt-cache policy apt | head -3
apt-config dump | grep -i 'Acquire::Retries'

İkinci komut yeniden deneme ayarını gösterir. Çıktı boşsa varsayılan değer geçerlidir; bu da 22.04 ve sonrasında 3'tür.

Güvenli güncelleme komutları (Safe upgrade)

Güncellemeyi indirirken de aynı açık kullanılabileceği için Ubuntu, yükseltme sırasında yeniden denemeyi kapatmayı öneriyor:

# Tüm paketleri güncelle, yeniden denemeyi kapat
sudo apt update && sudo apt upgrade -o Acquire::Retries=0

# Yalnız APT bileşenlerini güncelle
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

Ubuntu 16.04 ve sonrasında varsayılan olarak açık olan otomatik güvenlik güncellemeleri (unattended-upgrades) yeni düzeltmeleri 24 saat içinde kurar. Bu özellik açıksa sisteminiz büyük olasılıkla zaten güncellenmiştir, yine de sürümü kontrol edin.

Depoları HTTPS'e geçirmek

Açık yalnız HTTP trafiğinde kullanılabildiği için depo adreslerini HTTPS'e çevirmek ek bir önlemdir. Ubuntu'nun resmî depoları HTTPS'i destekler; bazı ülke aynaları ve topluluk aynaları ise desteklemeyebilir, bu durumda apt update hata verir. Ubuntu, HTTPS geçişinin yalnız ek bir önlem olduğunu, güvenlik güncellemesinin yine de kurulması gerektiğini vurguluyor.

# Ubuntu 24.04 ve sonrası (deb822 biçimi)
grep -rn "URIs:" /etc/apt/sources.list.d/

# Eski biçim
grep -n "^deb http://" /etc/apt/sources.list

Adresleri değiştirmeden önce dosyaların yedeğini alın.

Sunucu yöneticileri için kontrol listesi

1. Tüm Debian ve Ubuntu sunucularda apt sürümünü yukarıdaki tabloyla karşılaştırın.
2. Güncellemeyi -o Acquire::Retries=0 ile kurun.
3. Docker imajlarında da apt güncellenmeli; eski temel imajdan derlenen konteynerler açık sürümü taşır. İmajları yeniden derleyin.
4. İç ağda kendi ayna ya da önbellek sunucunuz (apt-cacher-ng gibi) HTTP ile çalışıyorsa, bu sunucuya erişimi sınırlayın.
5. Son günlerde beklenmedik paket kurulumu olup olmadığına /var/log/apt/history.log ve /var/log/dpkg.log dosyalarından bakın.

Alesta WEB'in yönettiği barındırma sunucularında bu tür paket yöneticisi açıkları güncelleme takviminin önüne alınır. Linux çekirdeğindeki son root açığı için Fragnesia yazısına, Ubuntu'nun son sürümü için Ubuntu 26.10 rehberine bakabilirsiniz.

Sık sorulan sorular

Açık uzaktan, internet üzerinden doğrudan kullanılabilir mi?

Hayır. Saldırganın sunucu ile depo arasındaki HTTP trafiğini değiştirebilmesi gerekir. Bu, aynı ağda bulunmak, ağ cihazını ele geçirmek ya da sahte bir ayna sunucusu kullanmak gibi bir konum ister.

Acquire::Retries ayarını kalıcı olarak sıfırlamalı mıyım?

Güncelleme kurulduktan sonra buna gerek yoktur. Kalıcı olarak sıfırlamak, ağ kesintisinde indirmelerin ilk hatada durmasına neden olur.

Snap ile kurduğum programlar risk altında mı?

Ubuntu'ya göre hayır; Snap paketleri farklı bir paket sistemiyle kurulur.

Konteyner içindeki apt da güncellenmeli mi?

Evet. Konteyner içinde apt-get install çalıştıran her derleme adımı aynı riski taşır. Güncel temel imajı çekip yeniden derleyin.

İlgili sayfalar: Web hosting · Web yazılım hizmetleri · OpenSSH 10.6 · İletişim

Kapak fotoğrafı: Victorgrigas / Wikimedia Commons (CC BY-SA 3.0)