یک آسیب‌پذیری تازه در مدیر بسته (Package Manager) APT پروژه دبیان (Debian) افشا شده است که به یک مهاجم مرد میانی (Man-in-the-Middle) امکان می‌دهد کد دلخواه را با دسترسی روت (Arbitrary Code Execution as Root) اجرا کند. به همین دلیل، هشدار امنیتی APT منتشر شده و کاربران باید هرچه سریع‌تر بسته‌های خود را به‌روزرسانی کنند.
جزئیات آسیب‌پذیری CVE-2026-109518
این آسیب‌پذیری با شناسه CVE-2026-109518 ردیابی می‌شود. در زمان انتشار این گزارش، متن کامل آن به‌صورت عمومی منتشر نشده است؛ اما بولتن امنیتی دبیان با شناسه DSA 6607-1 توضیح می‌دهد که «مکس جاستیس» (Max Justicz) این نقص را در APT کشف کرده است.
بر اساس این بولتن، APT می‌تواند دو دانلود متفاوت بسته را پس از آنکه یک تغییرمسیر HTTP (HTTP Redirect) نشانی یکسان (URI) به آن‌ها می‌دهد، با هم ادغام کند. مدیریت نادرست فایل هنگام ازسرگیری دانلود HTTP (Resuming an HTTP Download) باعث می‌شود مهاجم مرد میانی بتواند بسته را پس از مرحله تأیید (Verification) جایگزین کند و در نتیجه کد دلخواه با دسترسی روت اجرا شود.
نسخه اصلاح‌شده و توصیه به کاربران
برای توزیع پایدار (Stable Distribution) دبیان با نام تریکسی (trixie)، این مشکل در نسخه 3.0.4 APT برطرف شده است. این به‌روزرسانی همچنین چند مسئله دسترسی خارج از محدوده (Out-of-Bounds Access) را نیز اصلاح می‌کند.
- کاربران دبیان باید بسته‌های APT را به نسخه 3.0.4 یا بالاتر به‌روزرسانی کنند.
- به‌روزرسانی بسته‌های apt در توزیع پایدار تریکسی توصیه شده است.
- با توجه به امکان اجرای کد دلخواه با دسترسی روت، انجام این به‌روزرسانی امنیتی اهمیت فوری دارد.
دبیان در بولتن خود تأکید کرده است که کاربران باید بسته‌های apt را ارتقا دهند (Upgrade).