Debian / Ubuntu Linux 都是使用 APT(Advanced Package Tool) 來作套件管理(底層是 dpkg)，此次是 APT 存在安全性漏洞(CVE-2026-109518,CVSS:7.7)
先說明若沒有安裝安全性的修復套件，可以先關掉下載重試的功能：
- echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99-no-retries
- apt-config dump | grep -i '^Acquire::Retries '
- 確認輸出 Acquire::Retries "0"; 即可
Linux CVE-2026-109518：APT (Advanced Package Tool)的安全性漏洞
CVE-2026-109518 的發生原因：
當系統透過 HTTP 協定下載軟體時，若遭受中間人攻擊（MitM）或使用受污染的鏡像代理伺服器：
- 轉址與合併：攻擊者可藉由 HTTP Redirect 讓不同的套件下載請求指向相同 URI，導致 APT 將其合併處理
- 觸發重試與硬連結（Hard Link）：若發生暫時性傳輸錯誤並觸發自動重新下載，APT 在處理硬連結時會不當地覆寫已通過 GPG 簽章驗證的檔案
- 以 Root 執行：攻擊者可藉此將未經驗證的惡意套件蓋過去，而 .deb 套件的安裝腳本會以 root 權限 執行，進而取得系統最高控制權
- 註：舊版系統（如 Debian 11、Ubuntu 20.04 以下）預設不啟動重試（Acquire::Retries 為 0），除非使用者自行手動開啟
各版本 Debian 的安全修復版本，請檢查系統 APT 是否已升級至以下或更高版本：
- Debian 12 (Bookworm)：2.6.2
- Debian 13 (Trixie / Testing)：3.0.4
- Debian 11 (Bullseye)：2.2.4+deb11u3
查看本地端 apt 版本資訊
- apt-cache policy apt
修補並升級 APT 的套件避免被修改
- sudo apt-get update
- sudo apt-get install --only-upgrade apt # 系統會自動一併升級相關的函式庫(如 libapt-pkg)