2026年11月4日，APT 維護者 Julian Andres Klode 於 Debian 的 deity 郵件列表公布 APT-2026-11-01 安全更新，修補編號 CVE-2026-109518 的「嚴重檔案驗證繞過」漏洞[1]。攻擊者若能介入 APT 的下載流量，便可利用重新導向與伺服器暫時錯誤，令 APT 以攻擊者指定的檔案覆寫已驗證的套件，繼而以 root 權限執行任意程式碼。APT 多條穩定分支已同步推出修正版本，Debian 亦為穩定版發出安全公告 DSA-6607-1[3]。
漏洞成因與攻擊路徑
根據官方公告，漏洞的關鍵在於 APT 的下載重試機制。當伺服器回傳重新導向，或 5xx、429 等短暫性 HTTP 錯誤時，APT 會依 Acquire::Retries 設定重試下載；重試過程中，APT 會覆寫先前已存在的硬連結（hardlink），攻擊者便可趁此機會以自選內容取代該檔案[1]。由於 .deb 套件以 root 權限安裝，驗證一旦被繞過，即等同取得遠端程式碼執行能力。
此攻擊依賴 Acquire::Retries 選項，該選項自 APT 2.3.2 起才成為預設值，但不少較舊版本的用戶腳本亦可能早已自行啟用。公告感謝 Max Justicz 報告此問題[1]。
受影響版本與修正
APT 已為以下分支提供修正：1.2.y 為 1.2.36、1.4.y 為 1.4.12、1.6.y 為 1.6.19、1.8.2.z 為 1.8.2.4、2.0.y 為 2.0.12、2.2.y 為 2.2.5、2.4.y 為 2.4.15、2.6.y 為 2.6.2、2.8.y 為 2.8.4、3.0.y 為 3.0.4、3.2.y 為 3.2.1，開發分支 unstable 則為 3.3.6[1]。
在 Debian 方面，穩定版 trixie 的修正版本為 3.0.4，對應公告 DSA-6607-1[3]；舊穩定版 bookworm 為 2.6.2，對應長期支援公告 DLA-4880-1[2]。Ubuntu 及 Ubuntu Pro 頻道亦同步推出更新，其中 Ubuntu Pro 客戶的 trusty 版本為 1.0.1ubuntu2.24[1]。
升級與檢查建議
系統管理員應盡快執行 apt update 及 apt full-upgrade，並以 apt --version 確認版本已達所屬分支的修正號。若環境設有內部鏡像或代理，亦應檢查其是否會對套件下載作出重新導向，並避免透過不受信任的中介取得套件。
由於漏洞成立的前提是下載重試，管理員可檢視 /etc/apt/apt.conf.d/ 內是否設定 Acquire::Retries。在未能即時升級的過渡期，將重試次數設為零可減少暴露機會，但長遠仍應安裝官方修正；企業環境亦應檢查自動化腳本是否自行加入重試設定。
同批修正的其他問題
除上述漏洞外，本次更新亦捆綁多項越界記憶體存取修正，包括拒絕沒有 Version 欄位的 .deb、修正 solver 比較運算未符合嚴格弱序、限制 tagfile 的無界回溯掃描，以及 gpgv 與 DNS 解析的邊界檢查[1]。官方表示，這些問題本身不預期造成直接安全影響，但第三方應用（例如以 root 權限解析使用者提供 .deb 的 PackageKit）可能出現阻斷服務。另外，APT 2.6、2.8 及 3.0 系列在重試延遲項目時可能耗盡記憶體或塞滿日誌，亦已一併修正。
官方同時指出，apt-ftparchive 的多個越界存取，以及建置依賴解析器的越界讀取，因修正複雜度高、回歸風險大，本次並未納入[1]。
參考資料
[1] APT-2026-11-01 security update（2026年11月4日）