რეალურ შეტევებზე ცნობები ჯერ არ გავრცელებულა, თუმცა განახლება უკვე გამოსულია და სისტემების დაუყოვნებლივ განახლებაა საჭირო.
Debian-მა, Ubuntu-მ და პროგრამების მართვის ხელსაწყოს, APT-ის შემქმნელებმა 4 ნოემბერს უსაფრთხოების ოფიციალური გაფრთხილებები გამოაქვეყნეს, რომელთა მიხედვითაც Linux-ის ამ სისტემებში კრიტიკული სისუსტე აღმოჩნდა. როგორც გამოცემა The Hacker News ამ ანგარიშებზე დაყრდნობით წერს, ხარვეზი საშუალებას აძლევს ნებისმიერ პირს, ვინც თქვენს სერვერსა და განახლებების წყაროს შორის ქსელურ კავშირს აკონტროლებს, შემოწმებული პროგრამა საკუთარი ფაილით ჩაანაცვლოს. ამის შემდეგ კი თავდამსხმელის კოდი კომპიუტერზე სრული ადმინისტრაციული, ანუ root-უფლებებით ეშვება.
APT არის სტანდარტული პროგრამა, რომელსაც Debian და Ubuntu ახალი აპლიკაციების დასაყენებლად და განახლებების ჩამოსატვირთად იყენებენ. ხარვეზი, რომელსაც CVE-2026-109518 კოდი მიენიჭა, მკვლევარმა Max Justicz-მა აღმოაჩინა. APT-ის დეველოპერები ამ პრობლემას კრიტიკულად აფასებენ, ხოლო Ubuntu-მ მას მაღალი პრიორიტეტი და CVSS 4.0 სისტემით 7.7 ქულა მიანიჭა.
როგორ მუშაობს შეტევა და ვინ არის საფრთხეში
როგორ ახერხებს ჰაკერი უკვე შემოწმებული ფაილის შეცვლას? შეტევისთვის აუცილებელია, რომ ბოროტმოქმედს HTTP-ტრაფიკის შეცვლა შეეძლოს. Ubuntu-ს განმარტებით, ეს შეიძლება იყოს დაუცველი შუამავალი სერვერი (პროქსი) ან თავად ფაილების გადმოსაწერი ყალბი სარკული სერვერი. თავდამსხმელი იყენებს ჩვეულებრივ HTTP-გადამისამართებებსა და სერვერის დროებით შეცდომებს, რათა APT-ს ფაილის ხელახლა ჩამოტვირთვა აიძულოს. სწორედ ამ განმეორებითი მცდელობის დროს ხდება უკვე შემოწმებული და უსაფრთხოდ მიჩნეული პაკეტის მავნე კოდით ჩანაცვლება. როდესაც სისტემა ამ პაკეტს აყენებს, ის root-უფლებებით მუშაობს, რაც კომპიუტერზე სრულ კონტროლს ნიშნავს.
ეს მეთოდი მუშაობს მხოლოდ მაშინ, როცა APT-ში ჩართულია ჩამოტვირთვის ხელახალი მცდელობის ფუნქცია. Debian 12-იდან და Ubuntu 22.04-იდან მოყოლებული, ეს პარამეტრი სისტემაში ქარხნულადვე ჩართულია. უფრო ძველი ვერსიები, როგორებიცაა Debian 11 და Ubuntu 20.04, საწყის პარამეტრებში დაცულია. თუმცა სისტემური ადმინისტრატორების მიერ დაწერილი ბევრი ავტომატური სკრიპტი ამ ფუნქციას (Acquire::Retries) ხელით რთავს, რაც ძველ სისტემებსაც საფრთხეს უქმნის. Ubuntu ასევე აღნიშნავს, რომ პრობლემა ეხება Debian-სა და Ubuntu-ზე დაფუძნებულ სხვა დისტრიბუციებსაც, თუმცა კონკრეტულ სახელწოდებებს არ აზუსტებს.
განახლებების სტატუსი და შეზღუდვები
Debian-მა APT-ის გასწორებული ვერსიები უკვე გამოუშვა. განახლებული 2.2.5 ვერსია მომზადდა Debian 11-ისთვისაც კი, მიუხედავად იმისა, რომ მისი გრძელვადიანი მხარდაჭერის (LTS) ვადა 2026 წლის 31 აგვისტოს ამოიწურა.
Ubuntu-მ 4 ნოემბერს APT-ის ახალი ვერსიები თავისი ოთხი გამოშვებისთვის გამოაქვეყნა. თუმცა იმავე დღის 15:46 UTC დროის მონაცემებით, კომპანიის სიაში კვლავ დაუცველად იყო მონიშნული რვავე აქტიური ვერსია, დაწყებული 14.04 LTS-იდან 26.10-ამდე. Ubuntu Pro-ს მომხმარებლებს, რომლებიც ჯერ კიდევ 14.04 ვერსიას იყენებენ, განახლების მიღება უკვე შეუძლიათ.
გამოქვეყნებულ ანგარიშებში ნათქვამია, რომ ამ ხარვეზის რეალურ შეტევებში გამოყენების შემთხვევები ჯერ არ აღრიცხულა. დეველოპერებს არც დროებითი შემოვლითი გზა შემოუთავაზებიათ იმ სისტემებისთვის, რომლებზეც განახლების მაშინვე დაყენება ვერ ხერხდება. ასევე, დოკუმენტებში აღწერილია შეტევა მხოლოდ HTTP-კავშირის დროს და არ არის დაკონკრეტებული, ემუქრებათ თუ არა საფრთხე იმ მომხმარებლებს, რომლებიც პაკეტებს დაშიფრული HTTPS-წყაროებიდან იწერენ. თუ Linux-ის სერვერს ან სამუშაო კომპიუტერს მართავთ, APT-ის განახლება პირველივე შესაძლებლობისთანავე უნდა დააყენოთ.
| ხარვეზის კოდი | CVE-2026-109518 |
| საფრთხის შეფასება (CVSS 4.0) | 7.7 ქულა |
| ქარხნულად დაუცველი ვერსიები | Debian 12-იდან და Ubuntu 22.04-იდან ზემოთ |
| Debian 11-ის გასწორებული ვერსია | APT 2.2.5 |
| Ubuntu-ს დაუცველი ვერსიების სია | 8 გამოშვება (14.04 LTS-იდან 26.10-ამდე) |
| გაფრთხილების გამოქვეყნების თარიღი | 2026 წლის 4 ნოემბერი |
წყარო: The Hacker News: Debian and Ubuntu APT flaw lets MitM attackers run code as root (4 Nov 2026)
ეს სტატია შეიქმნა AI ხელსაწყოებით, პროცესში ადამიანის ჩართულობა დაახლოებით 10%-ია.
