Debian／Ubuntu APT 高危漏洞 CVE-2026-109518：HTTP 下載重試可被利用替換套件
情報摘要
Debian 與 Ubuntu 於 11 月 4 日公布 APT 套件管理員漏洞 CVE-2026-109518。攻擊者須能操縱套件下載的 HTTP 流量，並令用戶端跟隨重新導向及重試下載，才可誘使系統安裝未經驗證的惡意套件，以 root 權限執行程式碼。Ubuntu 評為 CVSS 4.0 7.7 分（High）；管理員應核對發行版、重試設定及實際安裝的修補版本。
漏洞不會單憑系統安裝了 APT 就自行觸發。Ubuntu 說明須在安裝套件時，讓攻擊者操縱用戶端與套件伺服器之間的 HTTP 流量，包括惡意鏡像或代理，並觸發重新導向及下載重試。Debian 指 HTTP 重新導向可令兩次套件下載共用 URI，恢復下載時的檔案處理問題讓套件在驗證後被替換。
Acquire::Retries 必須為非零。Ubuntu CVE 頁指出，Debian 12（bookworm）及 Ubuntu 22.04 LTS（Jammy）起，預設值為 3；較舊發行版在預設設定下不受此利用方式影響，但手動啟用重試者仍須核查。這是預設設定的界線，不代表較舊 APT 已修補。
Debian 官方 DSA-6607-1 確認 trixie 的修補版本為 3.0.4；DLA-4880-1 確認 Debian 12 bookworm 的修補版本為 2.6.2。應使用對應發行版的安全更新，不要跨發行版套用版本號。
Ubuntu 博文的修補表列出：22.04 LTS 為 2.4.15ubuntu0.1、24.04 LTS 為 2.8.4ubuntu0.1、26.04 LTS 為 3.2.1ubuntu0.1。26.10 的 3.3.3ubuntu0.1 在核對時仍標為正在發布，不能視為所有用戶已可取得。
較舊 Ubuntu 的修補表列出：20.04 LTS 為 2.0.12+esm1、18.04 LTS 為 1.6.19+esm1、16.04 LTS 為 1.2.36+esm1、14.04 LTS 為 1.0.1ubuntu2.24+esm4。取得更新需符合相應 Ubuntu Pro／ESM 支援資格；16.04 及 14.04 另需 Legacy 附加支援。
Ubuntu 表示 snap 套件安裝不受此漏洞影響，FTP 等其他傳輸方式亦不在此漏洞範圍。對 HTTP 下載而言，應完成 APT 更新，而非只改用另一個 APT 圖形或命令列前端。
受影響產品
Debian、Ubuntu 及衍生發行版的未修補 APT；涉及 HTTP 下載後端及使用 APT 的前端，包括 apt、apt-get、aptitude 與圖形介面
適用讀者
維護 Debian／Ubuntu 伺服器、桌面及衍生發行版的系統管理員，尤其是使用 HTTP 套件來源、鏡像或代理的環境
建議行動
按所用發行版安裝官方 APT 安全更新，並核實已安裝版本。Ubuntu 建議在安裝更新時暫設 Acquire::Retries=0，避免重試觸發漏洞；這亦適用於惡意鏡像的威脅情境。若要以 HTTPS 降低傳輸路徑遭竄改的風險，先確認所用套件鏡像支援 HTTPS，並檢查更新套件清單有否出錯；HTTPS 不能替代 APT 修補。Ubuntu 26.10 用戶應先核實修補是否已在自己的官方套件來源提供。
風險評級依據
Ubuntu 官方 CVE 頁列為 High，CVSS 4.0 基本分數為 7.7，向量為 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N。此評分包含額外攻擊前提，不能解讀為任何遠端攻擊者均可直接接管系統。
解讀限制
截至香港時間 2026 年 11 月 5 日核對時，Ubuntu 博文首段稱已為所有受影響版本發布更新，但同頁把 26.10 標為正在發布；Ubuntu CVE 頁亦仍把列出的版本標為 Vulnerable。官方頁面狀態不一致，本文保留差異，不推定原因或保證套件已送達所有鏡像。
Ubuntu 博文連結的 USN-8996-1 在核對時回傳 404，因此本文未引用其未能讀取的內容；修補版本依據可讀取的官方博文及 Debian 原始公告。
所核對的官方來源未確認此漏洞已在野外遭利用，亦未提供香港受害機構或受影響數量。不能據此斷言沒有攻擊，或把漏洞存在等同系統已遭入侵。
11 月 4 日是已核對的原始公告日期；11 月 5 日是本站香港時間的編輯日期。漏洞發現或首次遭利用的日期未獲確認。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。