Ubuntu 於 2026 年 11 月 4 日發布 USN-8996-1，修補 APT 套件管理工具的 CVE-2026-109518。管理 Ubuntu、Debian 與相關衍生系統的人員，應優先確認發行版提供的安全更新。
漏洞風險：未經驗證的套件可能取得 root 權限
依 Ubuntu 的 CVE 說明，能操控 APT 與套件伺服器之間 HTTP 流量的攻擊者，包括惡意鏡像或代理，可能利用硬連結重用問題，在重新導向及下載重試時讓 APT 安裝攻擊者控制、未經驗證的套件。套件安裝通常使用 root 權限，因此可能導致 root 權限遠端程式碼執行。Ubuntu 將此漏洞列為 High，CVSS 4.0 分數為 7.7。
攻擊需要符合相關條件，包括 Acquire::Retries 設為非零。Ubuntu 指出，Debian 12 與 Ubuntu 22.04 LTS 起預設值為 3；舊版本也應檢查是否曾由腳本或管理設定啟用重試。這不代表執行過更新就一定遭到入侵。
Ubuntu 官方修補版本
以下為通告列出的修補版本；安裝同一發行版官方套件庫提供的後續安全版本也適用，不要跨發行版手動混裝套件。
| Ubuntu 版本 | APT 修補版本 |
|---|---|
| 26.10 | 3.3.3ubuntu0.1 |
| 26.04 LTS | 3.2.1ubuntu0.1 |
| 24.04 LTS | 2.8.4ubuntu0.1 |
| 22.04 LTS | 2.4.15ubuntu0.1 |
| 20.04 LTS | 2.0.12+esm1（Ubuntu Pro） |
| 18.04 LTS | 1.6.19+esm1（Ubuntu Pro） |
| 16.04 LTS | 1.2.36+esm1（Ubuntu Pro Legacy Support） |
| 14.04 LTS | 1.0.1ubuntu2.24+esm4（Ubuntu Pro Legacy Support） |
來源：Ubuntu 安全通告 USN-8996-1。舊版系統須確認相應訂閱與安全更新來源已啟用。
更新與確認方式
以下以 Ubuntu 為例，先更新套件索引，再升級 APT（相依套件會由套件管理器處理）：
sudo apt-get update
sudo apt-get install --only-upgrade apt可依維護時段執行一般完整套件升級，並用以下指令確認 APT 與相依函式庫狀態：
dpkg-query -W 'libapt-pkg*'
apt-cache policy apt
dpkg-query -W apt
sudo dpkg --audit確認 apt-cache policy apt 的 Installed 版本已達該發行版修補版本。若索引下載失敗或仍顯示舊版本，先處理套件庫連線或設定，不要以停用簽章、允許不可信套件的方式繞過驗證。是否需重開機，應依本次整批系統更新結果與服務狀態安排。
Debian 與其他系統
APT 上游維護者同日公告這項驗證繞過問題，並列出各維護分支的修補版本；這次更新也包含其他記憶體存取與資源耗用問題的修正。Debian 使用者應以自身發行版的安全套件與公告為準，不能直接套用上表的 Ubuntu 套件版本。
Bazzite 本機系統使用映像部署更新，應依其系統更新機制維護；若另有 Ubuntu／Debian 容器或虛擬機，仍須分別檢查其中的 APT。
上游參考：APT-2026-11-01 security update（2026-11-04）。
整理日期：2026 年 11 月 5 日。本文為官方安全通告摘要與管理操作說明，不代表個別主機已遭入侵。