--- title: "Luka w APT pozwala podmienić sprawdzony pakiet i uruchomić kod jako root" description: "Luka CVE-2026-109518 w menedżerze pakietów APT dotyczy Debiana, Ubuntu i części systemów pochodnych. Atak może prowadzić do uruchomienia kodu z uprawnieniami root podczas instalacji pakietu." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root" markdown_url: "https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root/index.md" date_published: "2026-11-06T17:28:45.129Z" date_modified: "2026-11-06T17:32:02.636Z" author: "Redakcja" category: "Cyberbezpieczeństwo" tags: - "apt" - "debian" - "ubuntu" - "cve-2026-109518" - "luka bezpieczeństwa" source_url: "https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html" source_name: "The Hacker News" image_url: "https://najnowsze-informacje.pl/api/media/file/cyberbezpieczenstwo-unsplash-1793818951022.jpeg" image_alt: "person using laptop computers" image_credit: "© Jefferson Santos / Unsplash" image_credit_url: "https://unsplash.com/@jefflssantos" --- # Luka w APT pozwala podmienić sprawdzony pakiet i uruchomić kod jako root > Krytyczna luka w APT umożliwia atakującemu podmianę pobieranego pakietu i uruchomienie własnego kodu z uprawnieniami root. ## Kluczowe informacje - Luka CVE-2026-109518 pozwala podmienić sprawdzony pakiet na przygotowany przez atakującego. - Zagrożenie dotyczy między innymi Debiana 12 i Ubuntu 22.04 lub nowszych, gdzie ponawianie pobierania jest domyślnie włączone. - Debian opublikował poprawki, a aktualizacje dla Ubuntu były udostępniane etapami. - Źródła nie opisują znanych ataków ani obejścia dla systemów, których nie można jeszcze zaktualizować. W APT, menedżerze pakietów używanym przez Debiana i Ubuntu, wykryto lukę oznaczoną jako CVE-2026-109518. Atakujący, który może modyfikować pobierane dane, jest w stanie doprowadzić do podmiany sprawdzonego pakietu na własny. Kod znajdujący się w takim pakiecie może następnie zostać uruchomiony z uprawnieniami root podczas instalacji. Twórcy APT określili podatność jako krytyczną, a Ubuntu nadało jej wysoki priorytet i wynik CVSS 7,7. ## Na czym polega zagrożenie Według opublikowanych poradników zagrożenie dotyczy sytuacji, w której napastnik może zmienić ruch HTTP pomiędzy APT a serwerem pakietów. Może to obejmować złośliwy mirror lub serwer proxy. Luka jest związana z mechanizmem ponawiania nieudanych pobrań. Od Debiana 12 i Ubuntu 22.04 funkcja ta jest domyślnie włączona. APT może zostać skłoniony do ponowienia pobierania między innymi przez przekierowania oraz tymczasowe błędy serwera. Starsze wydania, takie jak Debian 11 i Ubuntu 20.04, nie są domyślnie narażone w ten sposób, ale skrypty użytkowników mogły wcześniej włączyć opcję Acquire::Retries. ## Poprawki są udostępniane etapami Debian opublikował poprawione wersje APT, w tym wersję 2.2.5 dla Debiana 11, którego wsparcie długoterminowe zakończyło się 31 sierpnia. Aktualizacje dla Ubuntu oraz usługi Ubuntu Pro były udostępniane etapami. Dla Ubuntu 14.04 z Ubuntu Pro poprawka była już dostępna. Ubuntu przekazało nowe kompilacje APT dla czterech wydań do archiwum bezpieczeństwa, jednak o 15:46 wszystkie osiem monitorowanych wydań, od 14.04 LTS do 26.10, nadal oznaczano jako podatne. O 14:58 podatną wersję 3.3.5 wykorzystywała także gałąź testowa Debiana. Ubuntu zaznacza, że problem może dotyczyć również dystrybucji zbudowanych na Debianie i Ubuntu, choć nie wymienia ich z nazwy. Poradniki Debiana, Ubuntu i twórców APT nie opisują dotąd ataków wykorzystujących tę lukę ani obejścia dla systemów, których nie można od razu zaktualizować. Nie rozstrzygają też, czy podatne są źródła pakietów używające HTTPS. Administratorzy powinni sprawdzić dostępność poprawek dla używanego wydania i aktualizować APT zgodnie z komunikatami dostawcy. ## Wyjaśnienie pojęć ### [APT](https://najnowsze-informacje.pl/definicje/apt) Określenie grupy prowadzącej długotrwałe, ukierunkowane działania z użyciem zaawansowanych narzędzi. ### [uprawnienia root](https://najnowsze-informacje.pl/definicje/uprawnienia-root) Najwyższy poziom uprawnień w systemie operacyjnym, pozwalający na wykonywanie działań niedostępnych zwykłym użytkownikom. ### [CVSS](https://najnowsze-informacje.pl/definicje/cvss) Standardowy system oceny ważności podatności bezpieczeństwa, wykorzystujący wynik liczbowy od 0,0 do 10,0 oraz opis czynników wpływających na ryzyko. ## Źródło pierwotne [The Hacker News](https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-11-06T17:28:45.129Z - **Ostatnia aktualizacja:** 2026-11-06T17:32:02.636Z - **Kategoria:** Cyberbezpieczeństwo - **Adres kanoniczny:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root](https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root) - **Wersja Markdown:** [https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root/index.md](https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Luka w APT pozwala podmienić sprawdzony pakiet i uruchomić kod jako root”, 2026-11-06, https://najnowsze-informacje.pl/cyberbezpieczenstwo/luka-w-apt-pozwala-podmienic-sprawdzony-pakiet-i-uruchomic-kod-jako-root