Debian ve Ubuntu dağıtımlarının temel paket yönetim aracı APT üzerinde, yerel ağda veya hat üzerinde bulunan bir saldırganın sistemde root yetkisiyle kod çalıştırmasına yol açan kritik bir güvenlik açığı tespit edildi. Güvenlik araştırmacısı Max Justicz tarafından ortaya çıkarılan ve CVE-2026-109518 koduyla takip edilen zafiyet, kötü niyetli bir yansı sunucusu veya aradaki adam (MitM) konumundaki aktörlerin doğrulanmamış paketleri sisteme yükletmesine imkan tanıyor.
Saldırı Senaryosu ve Varsayılan Yapılandırma Riski
Zafiyet, APT'nin HTTP yönlendirmelerini (redirect) ele alma biçimi ile indirme yeniden denemelerindeki (retry) dosya yönetimi arasındaki mantıksal bir hatadan kaynaklanıyor. İndirme hatası yaşandığında devreye giren hard-link mekanizması, saldırganın manipüle ettiği kötü niyetli paketin doğrulama adımlarını atlatarak imzasız şekilde sisteme kurulmasını sağlıyor. Bu senaryonun gerçekleşmesi için sistemde Acquire::Retries değerinin sıfırdan farklı olması gerekiyor; ancak Debian 12 (bookworm) ve Ubuntu 22.04 LTS'den itibaren bu değer varsayılan olarak 3 olarak tanımlanmış durumda.
Dağıtımlar İçin Yamalar Yayımlandı
Debian ve Ubuntu güvenlik ekipleri, 7.7 CVSS puanına (Yüksek) sahip zafiyet için resmi güncellemeleri dağıtıma sundu. Debian tarafında Bookworm için 2.6.2 ve Trixie için 3.0.4 sürümleri yayımlanırken; Ubuntu, USN-8996-1 bülteni kapsamında 22.04 LTS (2.4.15ubuntu0.1), 24.04 LTS (2.8.4ubuntu0.1), 26.04 LTS (3.2.1ubuntu0.1) ve 26.10 (3.3.3ubuntu0.1) sürümlerine düzeltmeleri aktardı. Eski LTS sürümleri için ise Ubuntu Pro ESM depoları üzerinden güncellemeler sağlandı.
Alınması Gereken Önlemler
Sistem yöneticilerinin sunucularındaki paket listelerini yenileyerek güncel APT paketlerini ivedilikle kurması gerekiyor. Yamaların hemen uygulanamadığı kurumsal ortamlarda ise /etc/apt/apt.conf yapılandırmasına 'Acquire::Retries "0";' satırının eklenmesi ve depo adreslerinde düz HTTP yerine doğrudan HTTPS bağlantılarının zorunlu kılınması geçici hafifletme sağlıyor.
Türkiye açısından
Debian ve Ubuntu güvenlik bültenlerinde Türkiye’ye özgü etkilenen kurum, sunucu sayısı veya yerel bir bildirim yer almıyor. Ülkemizde Debian/Ubuntu tabanlı sunucu kullanan ekipler için risk, yama uygulanmamış ve Acquire::Retries değeri sıfırdan farklı istemcilerde geçerlidir; doğrulanmış bir TR olay kaydı bulunmuyor.
Kaynaklar
- Debian Güvenlik Takibi (CVE-2026-109518)
- Ubuntu Güvenlik Bildirimi USN-8996-1
- Ubuntu CVE-2026-109518 Raporu
Kapak görseli (temsili): «Wikimedia Foundation Servers 2015-88» — VGrigas (WMF), Wikimedia Commons, CC BY-SA 3.0 (16:9 kırpıldı, 1200×675). Olay görüntüsü değildir; Debian/Ubuntu ürün logosu değildir.
