Sebuah kerentanan pada APT, pengelola paket untuk Debian dan Ubuntu, memungkinkan penyerang yang mampu memanipulasi unduhan paket untuk menukar paket terverifikasi dengan paket buatan mereka sendiri.
Kode milik peretas tersebut kemudian dieksekusi dengan hak akses root, berdasarkan laporan peringatan resmi yang dipublikasikan oleh pihak Debian, Ubuntu, beserta pengembang APT pada 4 November. Operasi peretasan ini mensyaratkan APT mencoba ulang proses unduhan yang gagal, sebuah fungsi yang aktif secara bawaan mulai dari Debian 12 serta Ubuntu 22.04 ke atas.
Debian telah meluncurkan versi perbaikan APT guna menangani celah ini, yang terdaftar sebagai CVE-2026-109518. Tim pengembang APT, yang mengkategorikan kelemahan ini sebagai celah kritis, menyebutkan bahwa pembaruan bagi Ubuntu beserta layanan langganan Ubuntu Pro tengah digulirkan secara bertahap. Para pengguna Ubuntu 14.04 yang memiliki langganan Ubuntu Pro sudah bisa memperoleh patch tersebut saat ini.
Versi sistem terdahulu, seperti Debian 11 maupun Ubuntu 20.04, tidak terancam secara bawaan, berdasarkan keterangan dari Ubuntu. Walau demikian, banyak skrip pengguna kemungkinan telah mengaktifkan konfigurasi pengulangan unduh, Acquire::Retries, pada sistem-sistem lama tersebut, jelas pengembang APT.
Cabang pengujian Debian testing masih menggunakan paket rentan versi 3.3.5 pada pukul 14:58 UTC tanggal 4 November. Bagi sistem Debian 11, yang masa dukungan jangka panjangnya (LTS) sudah resmi berakhir pada 31 Agustus lalu, para pengembang APT telah merilis versi perbaikan berupa paket 2.2.5.
Pihak Ubuntu menetapkan tingkat keparahan tinggi untuk kelemahan ini, dengan raihan skor CVSS 4.0 mencapai 7,7. Mereka juga menyatakan bahwa berbagai distro yang dikembangkan berbasis Debian dan Ubuntu turut terdampak, tanpa menyebutkan rincian nama distronya.
Ubuntu mendistribusikan build APT baru untuk empat versinya langsung ke repositori arsip keamanan pada pukul 14:25 UTC tanggal 4 November:
Pada pukul 15:46 UTC, Ubuntu masih mencatat seluruh delapan versi sistem yang dipantaunya untuk celah keamanan ini, membentang dari 14.04 LTS sampai 26.10, dalam status rentan.
Pelaku peretasan dapat berupa siapa pun yang mampu memodifikasi lalu lintas data HTTP antara klien APT dan server penyedia paket, termasuk peladen proxy atau mirror berbahaya, papar Ubuntu. Serangan ini berjalan ketika komputer pengguna sedang memasang suatu paket perangkat lunak. Peretas memanfaatkan skema pengalihan HTTP serta kesalahan server temporer biasa demi memaksa APT mengulang unduhan, terang para pengembang APT.
Max Justicz merupakan sosok yang pertama kali melaporkan kelemahan sistem ini. Tidak satu pun dari ketiga laporan penasihat keamanan tersebut yang mengungkap adanya serangan eksploitasi di dunia nyata, ataupun menyajikan solusi sementara bagi perangkat yang belum dapat memperbarui sistem. Mereka memaparkan alur serangan lewat protokol HTTP dan tidak menyebutkan apakah sumber repositori paket melalui jalur HTTPS turut terdampak.