Una falla crítica en APT, el gestor de paquetes utilizado por Debian y Ubuntu, podría permitir que un atacante sustituya la descarga de un paquete por un archivo malicioso y ejecute código como root. La vulnerabilidad, identificada como CVE-2026-109518, se detalló en avisos publicados por Debian, Ubuntu y los desarrolladores de APT el 4 de noviembre.
El ataque depende de que APT vuelva a intentar una descarga fallida, una opción activada de forma predeterminada en Debian 12 y versiones posteriores, y Ubuntu 22.04 y versiones posteriores. Según los desarrolladores de APT, un atacante que pueda alterar el tráfico HTTP entre un sistema y su servidor de paquetes podría utilizar redireccionamientos y errores temporales del servidor para provocar nuevos intentos y sustituir un paquete.
Debian ha publicado versiones corregidas de APT. Ubuntu también ha publicado compilaciones actualizadas para Ubuntu 26.10, 26.04 LTS, 24.04 LTS y 22.04 LTS. Ubuntu califica el problema como de alta prioridad y le asigna una puntuación CVSS 4.0 de 7.7. Su aviso señala que las distribuciones basadas en Debian y Ubuntu también están afectadas, pero no las identifica.
Según Ubuntu, las versiones anteriores, incluidas Debian 11 y Ubuntu 20.04, no son vulnerables de forma predeterminada. Sin embargo, los desarrolladores de APT advierten que es posible que se hayan habilitado scripts con la opción Acquire::Retries en esos sistemas. Se ha publicado una versión corregida de APT, la 2.2.5, para Debian 11.
Ubuntu indicó que sus suscriptores de Ubuntu Pro pueden obtener una corrección para Ubuntu 14.04. Los avisos no describen ninguna explotación conocida ni ofrecen una solución alternativa para los sistemas que no se puedan actualizar. Tratan los ataques por HTTP, pero no indican si también se ven afectadas las fuentes de paquetes a las que se accede mediante HTTPS. Max Justicz informó de la vulnerabilidad.
Fuentes: The Hacker News.