[CVE-2026-109518] apt 보안 업데이트
apt는 Ubuntu·Debian에서 프로그램을 설치하고 업데이트할 때 쓰는 도구입니다.
이번 문제는 홈페이지 방문 요청이 아니라 프로그램을 내려받아 설치하는 순간에 생깁니다.
성공하면 서버의 최고 관리 권한인 root를 얻을 수 있는 문제입니다.
운영 서버뿐 아니라 컨테이너 이미지를 만드는 빌드·CI 환경도 확인할 필요가 있습니다.
공격자가 HTTP 다운로드 통신에 끼어들거나 악성 미러·프록시를 이용할 수 있고, 다운로드 재시도 조건까지 맞으면 악성 패키지가 설치될 수 있습니다. 작은 사이트도 같은 조건이면 해당하지만, 일반 방문자가 URL을 호출하는 것만으로 성립하지는 않습니다.
CVE-2026-109518은 11월 4일 공개됐고, Ubuntu의 점수는 CVSS 4.0 7.7/High입니다.
아래 버전은 공식 보안 공지에 올라온 수정판입니다.
| 운영체제 | APT 수정 버전 |
|---|---|
| Ubuntu 22.04 / 24.04 | 2.4.15ubuntu0.1 / 2.8.4ubuntu0.1 |
| Ubuntu 26.04 / 26.10 | 3.2.1ubuntu0.1 / 3.3.3ubuntu0.1 |
| Ubuntu 20.04 / 18.04 | 2.0.12+esm1 / 1.6.19+esm1 — Ubuntu Pro |
| Debian 12 / 13 | 2.6.2 / 3.0.4 |
서버 담당자는 패치를 받는 통신부터 확인해야 합니다.
통신 중간에 공격당할 우려가 있다면 패치 설치 전에 저장소 연결을 HTTPS로 바꾸는 방법을 이용할 수 있습니다.
다운로드 재시도 설정인 Acquire::Retries를 0으로 두는 것도 해당 공격 경로를 막는 방법입니다.
Ubuntu 22.04·Debian 12부터는 기본 재시도 값이 3이라 기본 설정도 확인 대상이에요.
HTTPS가 통신 경로를 보호하며, snap 방식의 설치는 이 APT 문제와 다릅니다.
구형 Ubuntu도 재시도를 따로 켰다면 해당할 수 있습니다.
Ubuntu 26.10은 보안 공지에는 수정판이 올라왔지만 블로그에 배포 중 표기가 남아 있어 실제 저장소에서 받을 수 있는지도 확인해야 합니다.
최신댓글
댓글을 불러오는 중입니다.
최신글
글을 불러오는 중입니다.