우분투 및 데비안 APT 패키지 관리자 고위험 취약점 발견

Canonical은 2026년 11월 4일, 데비안(Debian)과 우분투(Ubuntu) 등 리눅스 배포판에서 사용되는 패키지 관리자 APT의 고위험 보안 취약점인 CVE-2026-109518을 공개했다. CVSS 4.0 기준 7.7점으로 평가된 이 결함은 공격자가 시스템과 아카이브 서버 사이의 HTTP 트래픽을 조작하여 악의적인 패키지를 설치하고 루트 권한을 획득할 수 있게 한다.

gamingonlinux.com에 따르면, 이번 취약점은 APT 라이브러리의 HTTP 백엔드에서 발생하며 apt, apt-get, aptitude 및 우분투 그래픽 애플리케이션에 영향을 미친다. 이 공격은 클라이언트가 실패한 다운로드를 재시도하는 설정인 'Acquire::Retries'를 통해 이루어지며, 우분투 22.04 LTS 이상 버전에서 기본적으로 영향을 받는다.

보안 연구원 Max Justicz가 발견한 이 취약점은 TLS를 통한 HTTPS 연결을 사용할 경우 방어할 수 있으며, 스냅(Snap) 패키지 설치에는 영향을 주지 않는다. Canonical은 우분투 14.04 LTS부터 26.10까지의 버전에 대한 수정된 APT 패키지를 배포했다. 데비안 역시 안정판(trixie) 3.0.4, 불안정판(Unstable) 3.3.6, Bookworm 2.6.2 버전에서 해당 문제를 해결했다.