Celah APT di Debian dan Ubuntu Bisa Bypass Verifikasi Paket dan Jalankan Kode sebagai Root

Sebuah kerentanan keamanan pada APT, sistem pengelola paket yang digunakan Debian dan Ubuntu, memungkinkan penyerang mengganti berkas paket yang sebelumnya telah melewati proses verifikasi. Jika berhasil dieksploitasi, paket berbahaya tersebut dapat dijalankan dengan hak akses tertinggi atau root.

Kerentanan yang dilacak sebagai CVE-2026-109518 ini diungkap pada 4 November 2026 melalui pemberitahuan keamanan dari pengembang APT, Debian, dan Ubuntu. Ubuntu memberikan tingkat keparahan High dengan skor CVSS 4.0 sebesar 7,7.

Masalah ini menjadi perhatian karena APT merupakan komponen penting dalam pemeliharaan sistem Linux. Pengguna dan administrator mengandalkannya untuk mengunduh, memverifikasi, serta memasang pembaruan perangkat lunak.

Bagaimana Celah CVE-2026-109518 Bekerja?

Menurut pemberitahuan keamanan Debian, kerentanan muncul ketika APT menangani beberapa unduhan paket yang diarahkan melalui HTTP redirect. Dalam kondisi tertentu, dua unduhan berbeda dapat digabungkan karena menggunakan URI yang sama setelah pengalihan.

Masalah berikutnya terjadi ketika APT melanjutkan unduhan yang gagal. Penanganan berkas yang tidak tepat memungkinkan penyerang yang berada di jalur komunikasi jaringan untuk mengubah isi paket yang sebelumnya sudah diverifikasi.

Ubuntu menjelaskan bahwa serangan membutuhkan kemampuan untuk memanipulasi lalu lintas HTTP antara komputer korban dan server repositori paket. Penyerang dapat memanfaatkan redirect serta respons kesalahan server sementara untuk memicu proses pengunduhan ulang.

Situasi tersebut dapat merusak perlindungan integritas paket yang biasanya disediakan melalui mekanisme tanda tangan repositori dan pemeriksaan hash.

Apabila paket yang telah dimanipulasi kemudian dipasang, skrip instalasinya dapat berjalan dengan hak akses root. Artinya, keberhasilan eksploitasi berpotensi memberikan kendali luas terhadap sistem yang terdampak.

Sistem Debian dan Ubuntu yang Terdampak

Salah satu faktor penting dalam kerentanan ini adalah konfigurasi Acquire::Retries, yaitu pengaturan APT yang menentukan berapa kali unduhan akan dicoba kembali ketika mengalami kegagalan.

Menurut Ubuntu, konfigurasi percobaan ulang unduhan aktif secara default pada Ubuntu 22.04 LTS dan versi yang lebih baru. Kondisi serupa juga berlaku pada Debian 12 dan versi setelahnya.

Sementara itu, Debian 11 dan Ubuntu 20.04 tidak mengaktifkan konfigurasi tersebut secara default. Namun, sistem versi lama tetap berpotensi terdampak apabila administrator atau skrip tertentu mengubah nilai Acquire::Retries menjadi lebih dari nol.

Ubuntu juga memperingatkan bahwa distribusi Linux turunan Debian dan Ubuntu dapat ikut terdampak.

Kerentanan ini memengaruhi APT beserta antarmuka yang menggunakan pustakanya, termasuk apt, apt-get, aptitude, dan aplikasi grafis Ubuntu yang mengandalkan APT. Mekanisme pemasangan aplikasi melalui Snap tidak terdampak karena menggunakan sistem pengelolaan paket yang berbeda.

Pembaruan Keamanan Telah Dirilis

Debian dan Ubuntu telah menerbitkan pembaruan untuk mengatasi CVE-2026-109518.

Dalam Debian Security Advisory DSA-6607-1, Debian menyatakan bahwa masalah pada distribusi stabil Trixie telah diperbaiki melalui paket APT versi 3.0.4. Pengembang APT juga menyediakan versi perbaikan untuk Debian 11, yaitu 2.2.5.

Sementara itu, Canonical mencantumkan versi perbaikan untuk sejumlah rilis Ubuntu berikut:

Rilis Ubuntu	Versi APT yang diperbaiki
Ubuntu 26.10	3.3.3ubuntu0.1
Ubuntu 26.04 LTS	3.2.1ubuntu0.1
Ubuntu 24.04 LTS	2.8.4ubuntu0.1
Ubuntu 22.04 LTS	2.4.15ubuntu0.1
Ubuntu 20.04 LTS	2.0.12+esm1
Ubuntu 18.04 LTS	1.6.19+esm1
Ubuntu 16.04 LTS	1.2.36+esm1
Ubuntu 14.04 LTS	1.0.1ubuntu2.24+esm4

Untuk rilis Ubuntu yang lebih lama, pembaruan tersebut tersedia melalui skema Extended Security Maintenance (ESM) dan dukungan Ubuntu Pro sesuai ketentuan masing-masing rilis.

Administrator disarankan memeriksa status paket APT yang terpasang dan memastikan sistem telah menerima versi perbaikan yang sesuai dengan rilis distribusinya.

HTTPS Dapat Mengurangi Risiko, tetapi Pembaruan Tetap Diperlukan

Canonical menjelaskan bahwa penggunaan repositori melalui HTTPS dapat melindungi komunikasi dari penyerang yang mencoba memanipulasi lalu lintas jaringan. Hal ini relevan karena eksploitasi yang dijelaskan membutuhkan manipulasi komunikasi HTTP.

Namun, HTTPS bukan pengganti pembaruan keamanan. Perlindungan tersebut tidak menghilangkan risiko apabila server mirror atau proxy yang digunakan memang telah dikompromikan atau berada di bawah kendali penyerang.

Ubuntu juga menyediakan mitigasi sementara dengan menonaktifkan percobaan ulang unduhan saat memasang pembaruan keamanan. Administrator dapat menggunakan opsi Acquire::Retries=0 ketika menjalankan proses pembaruan.

Contohnya:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Jika hanya ingin memperbarui komponen APT, Ubuntu menyediakan perintah berikut:

sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

Perintah tersebut merupakan mitigasi sementara selama proses pembaruan, bukan pengganti pemasangan versi APT yang telah diperbaiki. Administrator tetap perlu memastikan pembaruan keamanan berhasil diterapkan.

Belum Ada Laporan Eksploitasi dalam Pemberitahuan Keamanan

Meskipun dampaknya berpotensi serius, pemberitahuan keamanan Debian, Ubuntu, dan pengembang APT yang dirujuk dalam laporan awal tidak menyebutkan adanya serangan yang mengeksploitasi celah ini di dunia nyata.

Kerentanan ini dilaporkan oleh peneliti keamanan Max Justicz. Ubuntu mengategorikannya sebagai prioritas tinggi dengan skor CVSS 4.0 sebesar 7,7.

CVE-2026-109518 menjadi pengingat bahwa keamanan pengelola paket tidak hanya bergantung pada tanda tangan digital dan pemeriksaan integritas. Implementasi proses pengunduhan, pengalihan koneksi, serta penanganan unduhan yang dilanjutkan juga berperan penting dalam menjaga rantai pasokan perangkat lunak.

Pengguna Debian, Ubuntu, dan distribusi turunannya sebaiknya segera memeriksa status pembaruan APT dan memasang versi yang telah diperbaiki untuk mengurangi risiko kompromi sistem.