APT 包校验绕过漏洞：Debian 与 Ubuntu 的供应链提醒

11 月初披露的一个供应链风险值得用 Linux 的团队留意：CVE-2026-109518 影响 Debian、Ubuntu 及衍生系统上的 APT。在特定条件下，处于链路中间的位置（恶意代理、被篡改镜像或受控 HTTP 传输）可利用重定向与重试处理，把一个已验证的包替换成攻击者控制的包，并以 root 身份运行维护者脚本。

实际影响范围 默认暴露主要影响 Debian 12 以上、Ubuntu 22.04 LTS 以上，因为这些版本的 APT 默认开启重试。HTTPS 软件源能大幅降低这条攻击路径，但打补丁才是根本修复。截至本刊发稿，未见大规模实际利用报道，但仍应视为高优先级的发行版升级项。

给运维的动作 先确认软件源走 HTTPS，再尽快把 APT 升级到修复版本。对离线或内网镜像源，额外审计镜像源的完整性与传输通道。供应链安全不是「别人修了我再跟」，而要把镜像、代理、传输三层一起纳入可验证的信任链。

本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。

供应链这块 Debian 和 Ubuntu 都中招，提醒我们镜像源别随便加第三方。内网机器最好锁死签名校验，定期比对已装包的哈希。