Debian ve Ubuntu Paket Yöneticisi APT’de Ortadaki Adam Zafiyeti: CVE-2026-109518

Debian ve Ubuntu Paket Yöneticisi APT’de Ortadaki Adam Zafiyeti: CVE-2026-109518

Debian ve Ubuntu işletim sistemlerinin temel paket yöneticisi olan APT üzerinde, paket indirme trafiğini manipüle edebilen saldırganların doğrulanmış yazılım paketlerini kendi zararlı paketleriyle değiştirmesine olanak tanıyan kritik bir güvenlik açığı tespit edildi. Bu güvenlik kusurunun sömürülmesi durumunda saldırganın hazırladığı kodlar sistemde doğrudan root yetkileriyle çalıştırılabiliyor.

Zafiyetin Kök Nedeni ve Yeniden Deneme Mekanizması

Güvenlik açığı, CVE-2026-109518 koduyla takip ediliyor. Yapılan incelemelere göre saldırının başarıya ulaşması, APT’nin başarısız indirme işlemlerini otomatik olarak yeniden deneme özelliğine dayanıyor. Bu işlev, Debian 12 ve Ubuntu 22.04 sürümlerinden itibaren varsayılan ayar olarak aktif durumda bulunuyor.

Debian 11 ve Ubuntu 20.04 gibi eski dağıtımlar varsayılan kurulumda bu riski doğrudan taşımıyor. Ancak geliştiriciler, kullanıcıların veya yöneticilerin yazdığı çeşitli betiklerin Acquire::Retries ayarını manuel olarak devreye sokmuş olabileceğine dikkat çekiyor. Debian 11 için uzun süreli destek (LTS) 31 Ağustos tarihinde sonlanmış olmasına karşın, APT geliştirici ekibi bu sürüm için 2.2.5 onarım sürümünü yayımladı. Debian’ın test dalının ise 4 Kasım saat 14:58 UTC itibarıyla henüz savunmasız durumdaki 3.3.5 sürümünde kaldığı belirlendi.

Saldırı Senaryosu ve Etkilenen Sistemler

Araştırmacı Max Justicz tarafından bildirilen zafiyet, Ubuntu tarafından CVSS 4.0 standardına göre 7.7 puanı ile yüksek öncelikli olarak sınıflandırıldı. Güvenlik değerlendirmesinde, Debian ve Ubuntu altyapısını kullanan türev dağıtımların da risk altında olduğu vurgulandı.

Saldırının gerçekleşebilmesi için üçüncü tarafların APT istemcisi ile paket sunucusu arasındaki HTTP trafiğine müdahale edebilmesi gerekiyor. Bu durum; zararlı bir yansı (mirror) sunucusu, aradaki bir vekil sunucu (proxy) ya da yerel ağdaki bir ortadaki adam (MitM) saldırganı tarafından tetiklenebiliyor. İşlem, kurbanın bilgisayarına bir paket kurulurken başlıyor. Saldırgan, geçici sunucu hatalarını ve HTTP yönlendirmelerini kullanarak APT’yi indirmeyi yeniden denemeye zorluyor ve doğrulama aşamasını atlatarak kendi zararlı paketini sisteme enjekte ediyor.

Güncellemeler ve Mevcut Durum

Yayımlanan güvenlik bültenlerinde açığın fiilen kötüye kullanıldığına dair bir bulgu paylaşılmazken, henüz yama uygulayamayan sistemler için geçici bir koruma yöntemi sunulmadı. Raporlar saldırının HTTP üzerinden yürütüldüğünü belirtirken, HTTPS kaynaklarının bu durumdan etkilenip etkilenmediğine dair net bir ayrıntıya yer vermedi.

Ubuntu, 4 Kasım saat 14:25 UTC’de resmi güvenlik arşivi üzerinden dört ana sürüm için yeni paketleri kullanıma sundu:

• Ubuntu 26.10: 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1

Ubuntu Pro aboneliği bulunan Ubuntu 14.04 kullanıcıları da ilgili güncellemeyi alabiliyor. Sistem yöneticilerinin ve kullanıcıların, paket yöneticilerini vakit kaybetmeden duyurulan güvenli sürümlere yükseltmeleri öneriliyor.