Pada 4 November 2026, tim keamanan Debian, Ubuntu, dan pengembang APT merilis peringatan bersama untuk sebuah celah yang masuk kategori kritis: CVE-2026-109518. Celah ini memungkinkan penyerang yang bisa mengubah lalu lintas unduhan paket mengganti paket yang sudah lolos verifikasi dengan paket miliknya, lalu menjalankan kode sebagai root. Bagi instansi, desa, dan sekolah yang server-nya berbasis Ubuntu atau Debian, ini bukan berita yang bisa ditunda, karena penambalan hanya butuh hitungan menit.

Apa yang sebenarnya terjadi?

APT adalah manajer paket yang dipakai hampir semua server Linux turunan Debian, termasuk Ubuntu. Saat memasang paket, APT mengunduh berkas dari server arsip (mirror), memverifikasinya, lalu memasangnya. Masalahnya ada pada mekanisme hard link yang dipakai ulang saat APT mengulang unduhan yang gagal (retry).

Menurut deskripsi resmi Ubuntu, penyerang yang berada di jalur jaringan (on-path), misalnya mirror palsu atau proxy yang dikuasai penyerang, dapat memanfaatkan redirect HTTP dan error sementara yang normal untuk memancing APT mengulang unduhan. Pada percobaan ulang itulah APT bisa dipaksa memasang paket yang tidak terverifikasi, dan kode penyerang berjalan dengan hak akses root. Dampaknya menyentuh tiga sisi sekaligus: kerahasiaan, integritas, dan ketersediaan sistem.

Ubuntu memberi skor CVSS 4.0 sebesar 7,7 (High), sementara pengembang APT menyebutnya kritis. Celah dilaporkan oleh Max Justicz. Ketiga peringatan resmi tidak menyebut adanya serangan yang sudah mengeksploitasi celah ini di lapangan, dan juga tidak menyediakan patch darurat berupa workaround resmi.

Siapa yang benar-benar berisiko?

Kunci risikonya ada pada setelan Acquire::Retries: serangan hanya berjalan bila nilainya bukan nol, dan nilai 3 adalah bawaan sejak Debian 12 (bookworm) serta Ubuntu 22.04 LTS (Jammy), sehingga keduanya rentan dalam konfigurasi standar. Debian 11 dan Ubuntu 20.04 tidak rentan secara bawaan, tetapi banyak skrip administrator yang menyalakan opsi retry tersebut, jadi jangan berasumsi aman hanya karena versinya lebih tua.

Yang perlu diwaspadai juga: distribusi turunan Debian dan Ubuntu ikut terdampak. Ubuntu menyebut hal ini secara eksplisit tanpa menyebut nama distro satu per satu. Jika instansi Anda memakai distro turunan untuk server layanan publik, anggap sistem tersebut terdampak sampai terbukti sudah diperbarui.

Versi APT yang sudah diperbaiki

• Ubuntu 26.10: apt 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: apt 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: apt 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: apt 2.4.15ubuntu0.1
• Ubuntu 20.04, 18.04, 16.04, dan 14.04: perbaikan tersedia lewat Ubuntu Pro (ESM), termasuk untuk 16.04 dan 14.04 via add-on Legacy Support
• Debian 11: apt 2.2.5 (dukungan jangka panjang Debian 11 sendiri sudah berakhir 31 Agustus 2026)

Catatan penting: pada 4 November 2026 pukul 14.58 UTC, cabang testing Debian masih memakai APT versi 3.3.5 yang rentan. Jika Anda menjalankan Debian testing di server produksi, pantau terus pengumuman Debian sebelum menganggapnya beres.

Langkah menambal, sekitar 5 menit per server

1. Cek versi APT saat ini. Jalankan apt --version lalu dpkg -l apt untuk melihat versi persisnya.
2. Segarkan daftar paket. Jalankan apt update. Jika muncul pesan bahwa indeks tidak bisa diambil, selesaikan dulu masalah jaringan atau mirror-nya.
3. Perbarui hanya paket APT. Jalankan apt install --only-upgrade apt. Ini lebih aman daripada apt upgrade penuh di jam kerja karena tidak menyentuh paket lain.
4. Verifikasi hasilnya. Ulangi apt --version dan bandingkan dengan daftar versi di atas. Untuk Ubuntu, apt-cache policy apt akan menampilkan versi terpasang versus versi kandidat.
5. Ulangi untuk setiap server. Catat server mana yang sudah dan belum ditambal, terutama VPS yang menjalankan layanan publik seperti website desa, aplikasi sekolah, atau panel administrasi.

Mitigasi sementara bila penambalan belum bisa dilakukan

Karena serangan mensyaratkan APT mengulang unduhan, menonaktifkan retry akan menutup jalur masuknya. Buat berkas baru di dalam folder /etc/apt/apt.conf.d/ dengan nama 99no-retry, berisi satu baris Acquire::Retries "0";. Konsekuensinya, unduhan paket akan langsung gagal saat koneksi tidak stabil, sehingga ini hanya cocok sebagai langkah sementara. Perlu ditegaskan bahwa ini bukan workaround resmi dari Debian maupun Ubuntu, melainkan pengurangan permukaan serangan berdasarkan prasyarat yang disebutkan dalam deskripsi CVE.

Dua langkah penguatan lain yang layak diterapkan bersamaan:

• Ganti sumber paket ke mirror resmi lewat HTTPS (misalnya https://archive.ubuntu.com/ubuntu), dan hindari mirror pihak ketiga yang tidak jelas pengelolanya.
• Batasi akses keluar server. Server aplikasi jarang butuh menjelajah internet bebas; cukup izinkan ke mirror paket yang dipakai.

Kenapa ini relevan untuk instansi dan sekolah

Server yang dijalankan untuk layanan publik biasanya dipasang sekali lalu dilupakan. Padahal celah seperti ini tidak butuh akses login awal, karena penyerang hanya perlu berada di jalur jaringan yang dilewati server saat mengambil paket. Risiko terbesarnya bukan pada serangan berskala besar, melainkan pada satu server lama yang masih memakai APT versi awal dan sesekali dipakai memasang paket baru oleh teknisi.

Kebiasaan yang layak dibakukan: jadwalkan apt update dan pemasangan patch keamanan minimal sebulan sekali, simpan catatan versi APT tiap server, dan minta persetujuan sebelum menjalankan pemutakhiran penuh di luar jam layanan. Untuk lingkungan dengan banyak server, prioritaskan yang menghadap internet lebih dulu.

Sumber: The Hacker News, Ubuntu Security CVE-2026-109518, Debian Security Announce.