בדביאן, באובונטו ובהפצות שנגזרו מהן יש חולשה ב-APT, המערכת שמתקינה ומעדכנת תוכנה. לפי הרשומה, תוקף שיכול לשנות את תעבורת ה-HTTP בין המחשב ובין שרת החבילות יכול לגרום ל-APT להתקין חבילה שהוא שולט בה ושלא עברה אימות, ומשם להריץ קוד בהרשאות root. הציון הוא 7.7 בסולם CVSS 4.0, ולא ידוע על ניצול בשטח.

מה החולשה?

כשאתם מתקינים תוכנה בלינוקס, המחשב אינו סומך על הקובץ שהוריד רק מפני שהגיע. הוא מוריד את החבילה, ואחר כך בודק חתימה שאומרת שהחבילה אכן יצאה מהמאגר הרשמי ולא שונתה בדרך. הבדיקה הזאת היא מה שמאפשר להוריד תוכנה גם דרך HTTP רגיל ולא מוצפן בלי שזאת תהיה בעיה, ולכן היא גם המקום ששווה לתקוף.

לפי הרשומה הכשל נובע משימוש חוזר בקישורים קשיחים. קישור קשיח הוא שם נוסף לאותו קובץ עצמו על הדיסק, ולא העתק שלו, ולכן מי שמחליף את התוכן דרך שם אחד מחליף אותו גם בשני. הסיווג שניתן לכשל הוא CWE-62.

ולכשל הזה יש שני תנאים שחשוב להכיר, מפני שהם קובעים אם אתם בטווח. הראשון, הלקוח צריך לעקוב אחרי הפניות ולנסות שוב להוריד קובץ חבילה. השני, ההגדרה Acquire::Retries צריכה להיות שונה מאפס, והרשומה אומרת שהערך 3 הוא ברירת המחדל מדביאן 12 (bookworm) ומאובונטו 22.04 LTS ומעלה. גרסאות קודמות, בהגדרה המקורית שלהן, אינן מושפעות.

התוקף כאן אינו מישהו שמגיע מהאינטרנט אל המחשב שלכם. הוא מישהו שיושב על הדרך: מאגר חבילות זדוני, proxy, או מי ששולט בתעבורה בינכם ובין השרת. הרשומה מציינת גם את רגע הפתיחה, התקנה של חבילה, כלומר התקיפה ממתינה לרגע שבו אתם עצמכם מריצים התקנה.

והתוצאה, אם זה עובד, היא הרצת קוד עם root.

מי מושפע?

דביאן, אובונטו וההפצות שנגזרו מהן. הרשומה אינה מונה רשימת גרסאות של APT, אבל היא כן נותנת את הגבול המעשי דרך ההגדרה: מדביאן 12 ומאובונטו 22.04 LTS ומעלה ברירת המחדל של Acquire::Retries היא 3, ולכן מערכות אלה בטווח בהגדרתן הרגילה. במערכות ישנות יותר התנאי אינו מתקיים מעצמו.

מי שזה נוגע לו בארץ הם בעיקר שרתים. דביאן ואובונטו מריצים חלק גדול מהשרתים שמחזיקים אתרים ושירותים, ולכן זאת חולשה שמעניינת מי שמתחזק מערכות יותר מאשר גולש פרטי. מה שכן, מי שמריץ אובונטו על המחשב האישי שלו נמצא באותו מצב בדיוק.

והתנאי שמצמצם את זה בפועל הוא השליטה בתעבורה. רשת ציבורית, מאגר חבילות לא רשמי שהוספתם פעם לרשימה, או proxy שמישהו הגדיר בינכם ובין האינטרנט הם המצבים שבהם התנאי הזה מתקיים.

האם מנוצלת בפועל?

לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שיש עדות לשימוש אמיתי בהן, וזה המצב לפי העדכון האחרון של הרשומה ב-5 בנובמבר 2026.

הרשומה פורסמה ב-4 בנובמבר 2026, יום קודם לכן. מה שהיא כן מצביעה עליו הוא טיפול מהיר: הודעת אבטחה של דביאן, הודעה נפרדת לגרסאות ה-LTS של דביאן, הודעה של אובונטו, ודיון פומבי ברשימת oss-security באותו יום. התיקון יצא יחד עם הפרסום.

אין ברשומה אזכור של קוד ניצול ציבורי.

מה עושים?

1. עדכנו את APT עצמו: sudo apt update ואחריו sudo apt install --only-upgrade apt. אחרי זה הריצו sudo apt upgrade כדי לסגור את השאר.

2. ודאו שהעדכון שהגיע אצלכם הוא זה שסוגר את החולשה. הגרסאות המדויקות מופיעות בהודעת האבטחה של דביאן, בהודעה לגרסאות ה-LTS ובהודעה של אובונטו.

3. עד שתעדכנו, התקינו חבילות רק מרשת שאתם סומכים עליה. התקיפה מחייבת שליטה בתעבורה בזמן ההתקנה, ולכן התקנה מרשת ציבורית או דרך proxy שאינכם מכירים היא בדיוק התרחיש שהרשומה מתארת.

4. עברו על רשימת מאגרי החבילות שמוגדרים אצלכם, בקובץ sources.list ובקבצים שבתוך התיקייה sources.list.d. מאגר שהוספתם פעם ואינכם זוכרים למה הוא בדיוק הגורם שהרשומה קוראת לו מאגר זדוני.