APT 패키지 관리자 고위험 취약점 CVE-2026-109518 안내
데비안(Debian), 우분투(Ubuntu) 및 그 파생 배포판에서 핵심적으로 사용되는 패키지 관리 도구인 APT에서 심각한 보안 취약점이 발견되었습니다. Max Justicz에 의해 발견된 이 취약점은 CVE-2026-109518로 식별되었으며, CVSS 4.0 기준 7.7점의 ‘높음(High)’ 등급을 받았습니다.
이 취약점은 공격자가 시스템과 아카이브 서버 사이의 HTTP 트래픽을 조작할 수 있는 환경(On-path attacker)에서 악용될 수 있습니다. 공격자는 이를 통해 정상적인 패키지 대신 악성 .deb 파일을 설치하도록 유도하여 대상 시스템의 루트(root) 권한을 획득할 수 있으므로, 서버 관리자분들의 신속한 점검과 업데이트가 필요합니다.
취약점 개요 및 영향
CVE-2026-109518은 APT 라이브러리에서 호출하는 HTTP 백엔드 내에 존재합니다. 일반적으로 APT는 아카이브 서명 체계를 통해 패키지의 무결성을 보호하지만, 이번 취약점은 특정 상황에서 서명 검증이 실패하더라도 APT가 패키지를 설치하도록 속일 수 있는 허점을 노립니다.
특히 이 문제는 클라이언트가 다운로드 실패 시 재시도(Retry)를 수행할 때 발생합니다. 우분투 22.04 LTS 이상의 버전은 기본적으로 재시도 설정이 활성화되어 있어 취약하며, 이전 버전이라도 관리자가 별도로 재시도 설정을 구성했다면 위험에 노출될 수 있습니다. 공격자가 악성 패키지를 설치하는 데 성공하면 패키지 스크립트가 루트 권한으로 실행되어 시스템이 완전히 장악될 수 있습니다.
영향을 받는 환경
이번 취약점은 APT 기반의 모든 프런트엔드(apt, apt-get, aptitude 등)에 영향을 미칩니다. 다만, snap 패키지 시스템은 별도의 관리 방식을 사용하므로 이번 취약점의 영향을 받지 않습니다. 주요 배포판별 영향 및 해결 버전은 다음과 같습니다.
- Ubuntu 26.10 (Stonking): 3.3.3ubuntu0.1 버전에서 수정
- Ubuntu 26.04 LTS (Resolute): 3.2.1ubuntu0.1 버전에서 수정
- Ubuntu 24.04 LTS (Noble): 2.8.4ubuntu0.1 버전에서 수정
- Ubuntu 22.04 LTS (Jammy): 2.4.15ubuntu0.1 버전에서 수정
- Ubuntu 20.04 LTS (Focal): 2.0.12+esm1 버전에서 수정 (ESM 필요)
- Ubuntu 18.04 LTS (Bionic): 1.6.19+esm1 버전에서 수정 (ESM 필요)
- Ubuntu 16.04 LTS (Xenial): 1.2.36+esm1 버전에서 수정 (ESM 필요)
- Ubuntu 14.04 LTS (Trusty): 1.0.1ubuntu2.24+esm4 버전에서 수정 (ESM 필요)
내 서버의 APT 버전 확인 방법
현재 서버에 설치된 APT 패키지의 버전을 확인하여 보안 패치가 적용되었는지 대조해 보시기 바랍니다. 터미널에서 아래 명령어를 실행합니다.
apt list --installed '?source-package(^apt$)'출력된 버전이 위에서 언급한 각 배포판별 수정 버전보다 낮다면 즉시 업데이트를 진행해야 합니다.
보안 업데이트 적용 방법
가장 안전한 방법은 시스템의 모든 패키지를 최신 상태로 유지하는 것입니다. 업데이트 과정에서 발생할 수 있는 재시도 취약점 노출을 방지하기 위해, Acquire::Retries 옵션을 일시적으로 0으로 설정하여 업데이트하는 것이 권장됩니다.
1. 전체 시스템 업데이트
sudo apt update && sudo apt upgrade -o Acquire::Retries=02. APT 패키지만 단독 업데이트
전체 업데이트가 어려운 상황이라면 APT 패키지만 선택하여 업데이트할 수 있습니다.
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'추가 보안 강화: HTTPS(TLS) 활성화
이 취약점은 HTTP 트래픽 조작을 전제로 하므로, APT 소스 리스트를 HTTPS로 전환하면 근본적인 통신 보안을 강화할 수 있습니다. 아래 명령어를 통해 기존 HTTP URL을 HTTPS로 일괄 변경할 수 있습니다. (단, 일부 국가별 미러 서버는 HTTPS를 지원하지 않을 수 있으므로 실행 후 apt update로 확인이 필요합니다.)
sudo sed -Ei 's!http://((([a-z]+\.)?archive|security|ports)\.ubuntu\.com)!https://\1!' /etc/apt/sources.list /etc/apt/sources.list.d/*.list /etc/apt/sources.list.d/*.sources
sudo apt update요약 및 결론
CVE-2026-109518은 네트워크 상의 공격자가 서버의 루트 권한을 탈취할 수 있게 하는 위험한 취약점입니다. 우분투 16.04 LTS 이상의 버전에서 unattended-upgrades 기능이 활성화되어 있다면 24시간 이내에 자동으로 패치가 적용되지만, 관리자가 직접 버전을 확인하고 수동 업데이트를 수행하는 것이 가장 확실합니다.
서버의 안전을 위해 지금 바로 APT 버전을 확인하시고, 보안 패치를 적용하시기 바랍니다. 특히 외부 네트워크와 연결된 서버라면 HTTPS 전송 계층 보안을 함께 적용하는 것을 강력히 권장합니다.