Uma falha crítica no APT, o gerenciador de pacotes usado pelo Debian e pelo Ubuntu, pode permitir que um invasor substitua o download de um pacote por um arquivo malicioso e execute código como root. A vulnerabilidade, identificada como CVE-2026-109518, foi detalhada em comunicados publicados pelo Debian, pelo Ubuntu e pelos desenvolvedores do APT em 4 de novembro.
O ataque depende de o APT tentar novamente um download que falhou, uma configuração ativada por padrão no Debian 12 e versões posteriores e no Ubuntu 22.04 e versões posteriores. Segundo os desenvolvedores do APT, um invasor capaz de alterar o tráfego HTTP entre um sistema e seu servidor de pacotes pode usar redirecionamentos e erros temporários do servidor para acionar novas tentativas e substituir um pacote.
O Debian publicou versões corrigidas do APT. O Ubuntu também disponibilizou versões atualizadas para Ubuntu 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS. O Ubuntu classifica o problema como de alta prioridade e atribui a ele uma pontuação CVSS 4.0 de 7,7. Seu comunicado afirma que distribuições baseadas no Debian e no Ubuntu também são afetadas, sem identificá-las.
Versões mais antigas, incluindo Debian 11 e Ubuntu 20.04, não são vulneráveis por padrão, segundo o Ubuntu. No entanto, os desenvolvedores do APT alertam que scripts podem ter ativado a configuração Acquire::Retries nesses sistemas. Uma versão corrigida do APT, 2.2.5, foi publicada para o Debian 11.
O Ubuntu informou que seus assinantes do Ubuntu Pro podem obter uma correção para o Ubuntu 14.04. Os comunicados não descreveram nenhuma exploração conhecida nem forneceram uma solução alternativa para sistemas que não podem ser atualizados. Eles abordam ataques por HTTP, mas não dizem se as fontes de pacotes acessadas por HTTPS são afetadas. Max Justicz relatou a vulnerabilidade.
Fontes: The Hacker News.