Chyba v APT na Ubuntu a Debiane (CVE-2026-109518): čo treba urobiť ešte dnes

V stredu 4. novembra zverejnili vývojári správcu balíkov APT opravu zraniteľnosti s označením CVE-2026-109518. APT používa prakticky každý server s Ubuntu alebo Debianom, takže ak nejaký spravujete, venujte tomu pár minút.

Stručne: útočník, ktorý dokáže zasahovať do HTTP komunikácie medzi serverom a repozitárom balíkov, môže pri splnení určitých podmienok podvrhnúť vlastný balík. Ten sa potom nainštaluje s právami root. Oprava je už k dispozícii a nainštaluje sa bežnou aktualizáciou.

Čo sa vlastne stalo

APT pri sťahovaní balíkov overuje, že obsah zodpovedá tomu, čo podpísal správca repozitára. Chyba spočíva v tom, že pri opakovanom stiahnutí po presmerovaní môže APT nesprávne naložiť s opätovne použitými pevnými odkazmi (hard links). Útočník tak môže overený obsah nahradiť svojím balíkom. Odborne ide o chybu typu TOCTOU (time-of-check, time-of-use), teda o rozdiel medzi okamihom kontroly a okamihom použitia.

Vývojári APT ju označujú ako kritické obídenie overenia súborov. Ubuntu jej priradilo prioritu High a skóre CVSS v4.0 7,7.

Kedy je útok reálny

Samotná zraniteľná verzia ešte neznamená, že je váš server v ohrození. Útok vyžaduje súčasné splnenie viacerých podmienok:

• útočník musí ovládať príslušnú HTTP komunikáciu, napríklad cez škodlivé zrkadlo (mirror), proxy alebo inú sieťovú pozíciu medzi serverom a repozitárom,
• APT musí mať povolené opakované sťahovanie (Acquire::Retries je väčšie ako nula) a musí nasledovať presmerovania,
• presmerovanie musí viesť k tomu, že dve samostatné sťahovania balíkov skončia na tom istom URI.

Dobrá správa je, že na rozdiel od nedávnych zraniteľností Ubuntu Desktopu útočník nepotrebuje existujúci lokálny účet. Horšia správa je, že „medzi serverom a repozitárom“ môže byť napríklad kompromitovaný router, zle zabezpečená firemná proxy, interné zrkadlo alebo nedôveryhodná sieť, v ktorej server beží.

Ktoré systémy sú dotknuté

Od Debianu 12 a Ubuntu 22.04 LTS je predvolený počet opakovaní nastavený na tri. Tieto systémy teda spĺňajú jednu z podmienok hneď po inštalácii. Staršie vydania sú v predvolenej konfigurácii mimo rizika, ale ak má niekto upravené nastavenie opakovaní, môže byť zraniteľný aj on.

Opravené verzie balíka apt v Ubuntu podľa bezpečnostného upozornenia USN-8996-1:

Vydanie	Opravená verzia
Ubuntu 22.04 LTS	2.4.15ubuntu0.1
Ubuntu 24.04 LTS	2.8.4ubuntu0.1
Ubuntu 26.04 LTS	3.2.1ubuntu0.1
Ubuntu 26.10	3.3.3ubuntu0.1

Opravy pre staršie vydania Ubuntu sú dostupné cez Ubuntu Pro. V Debiane stable (Trixie) je oprava vo verzii APT 3.0.4.

Ako si overíte, či ste v ohrození

Zistite verziu APT a nastavenie opakovaní:

cat /etc/os-release | grep PRETTY_NAME
apt --version
apt-cache policy apt | head -n 3
apt-config dump | grep -i "Acquire::Retries"

Ak máte opravenú verziu, nemusíte riešiť nič ďalšie. Ak nie, pokračujte aktualizáciou.

Ako to opraviť

Na väčšine serverov stačí:

sudo apt update
sudo apt install --only-upgrade apt apt-utils
apt --version

Jedna praktická poznámka: prvú aktualizáciu spravte z dôveryhodnej siete a z oficiálneho zrkadla. Ak používate interné zrkadlo alebo proxy, najprv si overte, že sú v poriadku.

Ak spravujete viac serverov, nasaďte opravu cez nástroj na správu konfigurácií (Ansible a podobne) alebo cez automatické bezpečnostné aktualizácie (unattended-upgrades). Kontajnery a základné obrazy (images) treba prebudovať.

Čo si z toho odniesť

Táto chyba nie je výnimočná. Je to dobrá pripomienka niekoľkých vecí, ktoré firmy často odkladajú:

1. Aj správca balíkov je softvér, ktorý treba aktualizovať. Aktualizácie systému často riešime až pri väčších záplatách, a pritom práve APT je vstupná brána pre všetko ostatné.
2. Vedzte, odkiaľ vaše servery sťahujú balíky. Interné zrkadlá a proxy sú pohodlné, ale musia byť zabezpečené rovnako ako produkčné systémy.
3. Mať inventár serverov a verzií je základ. Bez neho sa na otázku „sme dotknutí?“ odpovedá niekoľko hodín namiesto niekoľkých minút.
4. Automatizujte bezpečnostné aktualizácie a testujte ich na menšej vzorke systémov skôr, než pôjdu všade.

Aktuálny stav

Podľa dostupných informácií k 7. novembru 2026 nehlásia ani vývojári APT, ani Canonical aktívne zneužívanie tejto chyby. To sa však môže zmeniť rýchlo, preto s opravou neodkladajte.

Ako vám môžeme pomôcť

Spravujeme Linuxové servery a siete pre firmy a pomáhame im nastaviť pravidelné aktualizácie, monitoring aj postup pre prípad incidentu. Ak potrebujete rýchlo zistiť, ktoré z vašich serverov sú dotknuté, alebo chcete mať aktualizácie pod kontrolou dlhodobo, ozvite sa nám.

Súvisiace články: NIS2 a kybernetická bezpečnosť na Slovensku, plán prvých 24 hodín po napadnutí webu alebo e-shopu.

Zdroje

• Rescana: Debian and Ubuntu APT CVE-2026-109518
• GBHackers: Debian and Ubuntu Linux APT Vulnerability
• Ubuntu Security: CVE-2026-109518
• Ubuntu Security Notice USN-8996-1
• Debian Security Tracker: CVE-2026-109518