Debian repareert lek waarmee aanvaller code met rootrechten kon uitvoeren
Een kwetsbaarheid in pakketbeheerder APT maakte het mogelijk software na controle te vervangen.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Debian heeft een kwetsbaarheid in pakketbeheerder APT gedicht. Een aanvaller die netwerkverkeer kon onderscheppen, kon volgens Debian een pakket na de controle vervangen en zo eigen code met rootrechten uitvoeren.
De fout heeft het kenmerk CVE-2026-109518 en zit in de manier waarop APT downloads hervat. Volgens Debian kunnen twee verschillende pakketdownloads na een HTTP-omleiding dezelfde URI krijgen. Door onjuiste verwerking van bestanden kan APT daarna een pakket verwisselen nadat de controle van de digitale handtekening al heeft plaatsgevonden.
De aanval vereist volgens de beschikbare technische beschrijving dat de aanvaller zich tussen de computer en de pakketbron bevindt, bijvoorbeeld op een gemanipuleerd netwerk. Dat maakt misbruik minder eenvoudig dan een aanval die rechtstreeks via internet kan worden uitgevoerd, maar de mogelijke uitkomst is ernstig: willekeurige code kan met rootrechten draaien. Root is het hoogste bevoegdheidsniveau op Linux-systemen.
Voor de stabiele Debian-versie Trixie is het probleem opgelost in APT-versie 3.0.4. Debian noemt daarnaast meerdere problemen met toegang buiten toegewezen geheugenbereiken die in dezelfde update zijn aangepakt. De distributie adviseert gebruikers hun APT-pakketten bij te werken.
Een onafhankelijke beschrijving van de update meldt dat de fout niet alleen voor Debian relevant is, omdat APT ook wordt gebruikt door Ubuntu en andere op Debian gebaseerde Linuxdistributies. Die distributies beheren echter vaak eigen pakketversies en beveiligingsupdates. Gebruikers van Ubuntu of andere systemen moeten daarom de beveiligingsinformatie van hun eigen leverancier volgen; de Debian-versie 3.0.4 geldt niet automatisch voor elk systeem.
Voor ontwikkelaars en beheerders is vooral de combinatie van pakketbeheer en netwerkvertrouwen van belang. APT-handtekeningen zijn bedoeld om te controleren of een gedownload pakket authentiek is. Deze kwetsbaarheid zat juist in de verwerking van een download nadat die controle was uitgevoerd. Debian beschrijft in de melding geen concrete aanvallen waarbij het lek al is misbruikt.
De melding noemt onderzoeker Max Justicz als ontdekker. De technische details in het openbare Debian-advies zijn beperkt: er staat wel beschreven welke fout tot vervanging na verificatie kan leiden, maar niet welke omgevingen in de praktijk het grootste risico lopen. Vooralsnog is dus zeker dat er een beveiligingsupdate beschikbaar is, maar niet hoe vaak de kwetsbaarheid is uitgebuit of welke systemen buiten Debian precies geraakt zijn.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kern van het artikel is rechtstreeks gebaseerd op het Debian-beveiligingsadvies van 4 november 2026 en wordt inhoudelijk bevestigd door een onafhankelijke Linux-publicatie. Onzekerheden over getroffen distributies en daadwerkelijk misbruik zijn expliciet begrensd.
- bevestigd Debian publiceerde op 4 november 2026 een beveiligingsadvies over CVE-2026-109518 in APT. — Datum, pakket en CVE staan in het Debian-advies. bron
- bevestigd Een HTTP-omleiding kan twee downloads dezelfde URI geven, waarna een pakket na verificatie kan worden vervangen. — Dit mechanisme staat expliciet beschreven in het Debian-advies. bron
- bevestigd De kwetsbaarheid kan leiden tot willekeurige code-uitvoering met rootrechten. — Debian noemt arbitrary code execution as root. bron
- bevestigd De kwetsbaarheid is voor Debian Trixie opgelost in APT 3.0.4. — De vaste versie staat in het Debian-advies. bron
- bevestigd APT wordt ook gebruikt door Ubuntu en andere Debian-gebaseerde distributies, die eigen pakketversies kunnen beheren. — Linuxiac beschrijft het gebruik van APT en het eigen onderhoud van versies door distributies. bron
- bevestigd De Debian-melding noemt geen concrete aanvallen waarbij de kwetsbaarheid al is misbruikt. — Het openbare advies beschrijft de kwetsbaarheid en patch, maar noemt geen concrete exploitatie. bron
Noot van de redactie
Zeker is dat Debian op 4 november 2026 een APT-kwetsbaarheid publiceerde en voor Trixie versie 3.0.4 beschikbaar stelde. De precieze gevolgen voor andere distributies en de omvang van eventueel misbruik zijn in de geraadpleegde bronnen niet vastgesteld.Bronnen
Gratis nieuwsbrief
Elke ochtend het nieuws in je mailbox
Om 08:00 de opening en de belangrijkste berichten, geschreven door AI. Meer over de ochtendmail
Je krijgt eerst een mail om te bevestigen. Afmelden kan onder elke mail. Privacy
Meer hierover bij andere media
- NOS — „apt debian”
- Het Parool — „apt debian”
- NRC — „apt debian”