Модель OpenAI GPT 5.6 Sol за два часа помогла обнаружить уязвимость CVE-2026-109518 в APT — системе установки и обновления программ в Debian, Ubuntu и производных дистрибутивах. Как сообщил TechCrunch, ошибку нашёл технический директор и сооснователь Charge Robotics Макс Юстиц.
Исследователь ранее обнаруживал другую уязвимость в том же коде. Получив доступ к модели через программу OpenAI для специалистов по информационной безопасности Daybreak Blue, он попросил её найти столь же опасные или более серьёзные ошибки. По словам Юстица, рабочий результат появился через два часа.
Уязвимость позволяла атакующему, способному изменять незашифрованный HTTP-трафик между компьютером и сервером с пакетами, заставить APT установить неподписанный файл .deb. Сценарии из такого пакета выполняются с правами root, поэтому успешная атака давала полный контроль над системой. Источником атаки мог быть в том числе вредоносный сервер-зеркало или прокси.
Читайте также
Для эксплуатации пользователь должен был запустить установку пакета, а APT — перейти по перенаправлению и повторить неудавшуюся загрузку. Повторные попытки по умолчанию включены в Debian 12, Ubuntu 22.04 LTS и более новых версиях. Старые выпуски уязвимы, только если параметру Acquire::Retries вручную присвоено ненулевое значение.
Ubuntu оценила серьёзность ошибки в 7,7 балла из 10 и выпустила обновления для всех затронутых поддерживаемых версий. Администраторам следует сверить установленную версию компонентов APT с таблицей в уведомлении и установить исправление; при включённом механизме автоматических обновлений безопасности патч должен примениться в течение 24 часов после публикации.
Юстиц сообщил об ошибке проекту Debian. Публичных свидетельств её эксплуатации на 5 ноября не было.