Celah Keamanan APT Ubuntu dan Debian: Cek Server Anda

Celah keamanan APT Ubuntu dan Debian (CVE-2026-109518) diumumkan pada 4 November 2026. APT adalah alat yang dipakai server untuk memasang dan memperbarui software. Lewat celah ini, penyerang bisa menyelipkan paket palsu yang lalu berjalan dengan hak penuh (root). Langkah utamanya: perbarui paket apt dan matikan pengulangan unduhan sampai pembaruan terpasang.

Celah ini ditemukan oleh peneliti keamanan Max Justicz. Ubuntu memberinya prioritas High. Skor bahayanya 7,7 dari 10 menurut CVSS 4.0, yaitu standar umum untuk menilai tingkat bahaya celah keamanan.

Artikel ini untuk Anda yang aplikasinya berjalan di VPS atau cloud dengan Ubuntu atau Debian. Bagian awal menjelaskan risikonya dengan bahasa sederhana. Perintah teknis ada di satu bagian khusus untuk tim IT atau vendor Anda.

Apa itu APT dan kenapa celah keamanan APT Ubuntu ini penting?

APT adalah semacam "toko aplikasi" bawaan server Ubuntu dan Debian. Server memakainya untuk memasang software baru dan memperbarui software lama. Setiap kali vendor memasang database, web server, atau patch keamanan, biasanya APT yang bekerja.

Karena tugasnya memasang software, APT berjalan dengan hak tertinggi di server, yaitu root. Root bisa membaca semua file, mengubah pengaturan, dan membuka database. Jadi, kalau APT tertipu memasang paket palsu, paket itu ikut berjalan sebagai root.

Contohnya sekolah yang menjalankan aplikasi PPDB di sebuah VPS. Data calon siswa dan orang tua tersimpan di server yang sama. Paket palsu yang berjalan sebagai root bisa menjangkau data tersebut. Itulah sebabnya celah di alat pemasang software perlu ditangani lebih dulu.

Bagaimana celah ini bisa dipakai penyerang?

Singkatnya, paket yang sudah lolos pemeriksaan bisa ditukar sebelum dipasang. Menurut pengumuman keamanan Debian (4 November 2026), salah penanganan file saat unduhan HTTP dilanjutkan membuat penyerang bisa mengganti paket setelah diverifikasi. Akibatnya, kode penyerang dijalankan sebagai root.

Bayangkan kiriman barang ke toko Anda. Petugas gudang sudah mengecek segelnya dan menyatakan aman. Lalu pengiriman dianggap gagal dan barang diantar ulang. Saat pengantaran ulang itulah isi kardus ditukar, padahal tanda "sudah dicek" tetap menempel.

Menurut halaman CVE resmi Ubuntu (4 November 2026), serangan ini butuh beberapa syarat:

• Paket diunduh lewat HTTP biasa, bukan HTTPS yang terenkripsi.
• Ada pengalihan alamat unduhan (redirect).
• APT mengulang unduhan yang gagal.
• Server sedang memasang atau memperbarui paket.

Pelakunya adalah pihak yang berada di jalur jaringan antara server dan sumber paket. Termasuk di dalamnya mirror atau proxy jahat. Mirror adalah server yang menyimpan salinan paket Ubuntu atau Debian agar unduhan lebih cepat. Proxy adalah perantara yang meneruskan lalu lintas internet server.

Server mana yang terdampak?

Secara bawaan, yang terdampak adalah Ubuntu 22.04 LTS ke atas dan Debian 12 ke atas. Penyebabnya pengaturan Acquire::Retries, yaitu jumlah percobaan ulang saat unduhan gagal. Menurut halaman CVE Ubuntu dan pelacak keamanan Debian (November 2026), nilai bawaannya 3 sejak kedua rilis itu.

Rilis yang lebih lama, misalnya Ubuntu 20.04, tidak terdampak dalam pengaturan bawaan. Nilai retry-nya 0, artinya unduhan tidak diulang. Namun, rilis lama tetap terdampak bila seseorang pernah mengubah nilai itu dari 0. Jadi, versi lama belum tentu aman.

Menurut blog resmi Canonical, perusahaan pengembang Ubuntu (4 November 2026), software yang dipasang lewat Snap tidak terdampak. Sebaliknya, semua cara memakai APT ikut terdampak, termasuk apt-get dan aplikasi grafis Ubuntu.

Halaman resmi Ubuntu dan Debian tidak menyebut apakah celah ini sudah dipakai penyerang di lapangan. Saran kami, jangan menunggu kabar itu. Perbaikannya sudah tersedia dan langkahnya tidak rumit.

Langkah perbaikan untuk tim IT atau vendor Anda

Bagian ini bisa langsung Anda teruskan ke tim IT, vendor, atau pengelola server. Intinya ada tiga: cek versi apt, perbarui, dan rapikan sumber unduhan paket.

Versi apt yang sudah aman

Menurut pengumuman keamanan Ubuntu dan pelacak keamanan Debian (4 November 2026), versi apt berikut sudah memuat perbaikan:

• Ubuntu 26.10: 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
• Ubuntu 20.04 LTS: 2.0.12+esm1, hanya tersedia lewat Ubuntu Pro (layanan dukungan keamanan tambahan dari Canonical).
• Debian 13: 3.0.4, dari pengumuman DSA-6607-1.
• Debian 12: 2.6.2, dari pengumuman DLA-4880-1 milik tim Debian LTS (dukungan jangka panjang), bukan DSA.

Urutan langkahnya

1. Cek versi apt yang terpasang. Bandingkan hasilnya dengan daftar di atas.

apt list --installed '?source-package(^apt$)'

2. Cek apakah sumber paket masih memakai http://. Periksa juga mirror lokal atau mirror bawaan penyedia VPS.

grep -rn "http://" /etc/apt/sources.list /etc/apt/sources.list.d/

Bila mirror mendukung, ganti ke https://. Canonical menyarankan pindah ke HTTPS sebelum memasang pembaruan agar tidak ada celah waktu untuk penyerang. Untuk alamat resmi Ubuntu, Canonical memberikan perintah berikut. Perintah ini tidak mengubah alamat mirror atau repositori lain.

sudo sed -Ei 's!http://((([a-z]+\.)?archive|security|ports)\.ubuntu\.com)!https://\1!' /etc/apt/sources.list /etc/apt/sources.list.d/*.list /etc/apt/sources.list.d/*.sources

Perlu dicatat, menurut Canonical, sebagian mirror komunitas, termasuk mirror khusus negara, belum mendukung HTTPS. Cek dulu sebelum mengganti alamatnya.

3. Perbarui apt dengan retry dimatikan. Opsi -o Acquire::Retries=0 membuat proses pembaruan ini tidak mengulang unduhan.

sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

Canonical juga menyarankan memperbarui semua paket sekaligus dengan sudo apt update && sudo apt upgrade -o Acquire::Retries=0.

4. Bila belum bisa memperbarui, set retry ke 0. Menurut blog Canonical, bila nilainya 0, unduhan tidak diulang dan celah ini tidak bisa dimanfaatkan. File ini boleh dihapus setelah apt diperbarui.

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99-no-retries

5. Pastikan unattended-upgrades aktif. Fitur ini memasang pembaruan keamanan secara otomatis. Menurut Canonical, fitur ini aktif bawaan sejak Ubuntu 16.04 dan memasang perbaikan dalam 24 jam setelah tersedia.

systemctl status unattended-upgrades

6. Periksa image Docker dan server CI/CD. Image Docker berbasis Debian atau Ubuntu biasanya menjalankan APT saat dibangun. Begitu juga server CI/CD, yaitu server yang otomatis membangun dan merilis aplikasi. Bangun ulang image dengan base image terbaru, dan terapkan langkah 3 atau 4 di proses build.

Kenapa HTTPS saja belum cukup?

HTTPS menutup jalan bagi penyusup di jalur jaringan, tetapi tidak menolong bila mirror-nya sendiri yang jahat. Menurut blog Canonical (4 November 2026), HTTPS melindungi dari celah ini selama data dalam perjalanan. HTTPS memastikan Anda tersambung ke mirror yang benar, bukan memastikan isi mirror itu jujur.

Bayangkan mobil boks tertutup. Barang aman selama di jalan, tetapi tidak berguna kalau gudang asalnya sudah curang. Canonical menyebut mirror jahat bisa memanfaatkan celah yang sama untuk mengirim paket yang tidak lolos pemeriksaan tanda tangan.

Jadi, pindah ke HTTPS tetap bagus, tetapi perbarui apt dan matikan retry tetap wajib. Menurut Canonical, setelah apt diperbarui, mirror yang disusupi tidak lagi berisiko untuk celah ini. Bila Anda ingin memahami peran HTTPS di website, baca juga fungsi SSL dan backup website.

Checklist untuk pemilik bisnis: apa yang ditanyakan ke vendor?

Anda tidak perlu menjalankan perintah apa pun sendiri. Cukup kirim pertanyaan berikut ke vendor, tim IT, atau penyedia hosting, lalu minta jawaban tertulis.

• Server mana saja yang memakai Ubuntu 22.04 ke atas atau Debian 12 ke atas, termasuk server uji coba dan cadangan?
• Apakah paket apt di setiap server sudah di versi aman, dan kapan diperbarui?
• Apakah sumber paket server masih memakai http://, dan bisakah dipindah ke https://?
• Apakah pembaruan keamanan otomatis (unattended-upgrades) aktif di semua server?
• Apakah image Docker dan server build aplikasi sudah dibangun ulang dengan apt versi baru?
• Untuk server lama seperti Ubuntu 20.04, apakah pengaturan retry pernah diubah, dan apakah server terdaftar di Ubuntu Pro?

Kalau aplikasi Anda ada di shared hosting, sistem server dikelola penyedia hosting. Tanyakan langsung apakah mereka sudah memasang perbaikan ini. Pola pengecekan yang sama juga kami bahas di artikel celah keamanan kernel Linux dan cara cek server.

Pertanyaan yang sering diajukan

Apakah server saya pasti diretas karena celah APT ini?

Tidak pasti. Serangan butuh unduhan lewat HTTP, pengalihan alamat, unduhan yang diulang, dan server yang sedang memasang paket. Namun, dampaknya berat karena kode penyerang berjalan sebagai root, jadi pembaruan tetap perlu segera dilakukan.

Server saya masih Ubuntu 20.04. Apakah aman?

Dalam pengaturan bawaan, Ubuntu 20.04 tidak terdampak karena nilai retry-nya 0. Bila nilai itu pernah diubah, server ikut terdampak. Versi perbaikannya, 2.0.12+esm1, hanya tersedia lewat Ubuntu Pro.

Apakah cukup dengan mengganti sumber paket ke HTTPS?

Belum cukup. HTTPS melindungi data di perjalanan, tetapi tidak melindungi dari mirror yang memang jahat. Perbarui apt dan matikan retry sampai pembaruan terpasang.

Apakah aplikasi yang dipasang lewat Snap ikut terdampak?

Tidak. Menurut blog resmi Canonical (4 November 2026), pemasangan software lewat Snap tidak terdampak celah ini. Yang terdampak adalah semua cara memasang paket lewat APT.

Kalau Anda belum punya tim yang rutin merawat server aplikasi, Anaverse, software house dan IT consultant di Pekanbaru, Riau, bisa membantu memeriksa kondisi server dan menyusun rutinitas pembaruannya lewat layanan konsultan IT. Ceritakan dulu kondisi server dan aplikasi Anda lewat halaman kontak.

Referensi

• Ubuntu Security: CVE-2026-109518
• Ubuntu Security Notice USN-8996-1: APT vulnerability (4 November 2026)
• Canonical Blog: CVE-2026-109518 APT vulnerability fixes available (4 November 2026)
• Debian Security Tracker: CVE-2026-109518
• Debian Security Advisory DSA-6607-1: apt security update (4 November 2026)
• Debian Security Tracker: DLA-4880-1 (Debian LTS)