CVE-2026-109518: Host-Update behebt alte Images nicht

AWS empfahl am 5. November 2026, betroffene Debian- und Ubuntu-Container-Images mit korrigiertem APT neu zu bauen und erneut bereitzustellen. Ein APT-Update auf einem laufenden Host aktualisiert ein separates Basis-Image nicht, aus dem später weitere Systeme gestartet werden (AWS-Sicherheitsbulletin).

Ein gepatchter Host ersetzt nicht den Neubau eines Images, aus dem später weitere Systeme starten.

Host und Container-Image getrennt aktualisieren

Für selbstverwaltete Debian- und Ubuntu-Instanzen sind Updates des laufenden Systems und der wiederverwendbaren Images getrennte Aufgaben. Teams müssen betroffene Images mit einem korrigierten APT-Paket neu bauen und anschließend erneut bereitstellen. Sonst kann ein später gestartetes System weiterhin das alte Basis-Image verwenden, auch wenn ein laufender Host bereits aktualisiert wurde. AWS veröffentlichte diese Betriebsempfehlung am 5. November 2026.

Welche Bedingungen CVE-2026-109518 voraussetzt

CVE-2026-109518 betrifft die Behandlung umgeleiteter und wiederholter HTTP-Paketdownloads durch APT. Weiterleitungen können dazu führen, dass APT verschiedene Downloads derselben URI zusammenführt. Bei einer fortgesetzten HTTP-Übertragung kann der fehlerhafte Umgang mit wiederverwendeten Hardlinks dazu führen, dass ein Paket nach seiner Prüfung ausgetauscht wird. Wird das veränderte Paket installiert, kann sein Code mit Root-Rechten laufen. Debian und die APT-Entwickler beschrieben den Fehler am 4. November 2026 in ihren Sicherheitsmitteilungen (Debian-Sicherheitsmitteilung; technischer Hinweis der APT-Entwickler).

Der von den APT-Entwicklern beschriebene Angriffsweg setzt voraus, dass ein Angreifer den HTTP-Downloadpfad manipulieren kann, Weiterleitungen auftreten und vorübergehende HTTP-Fehler einen erneuten Download auslösen. Zusätzlich muss Acquire::Retries gesetzt sein. Diese Einstellung ist laut den APT-Entwicklern erst seit APT 2.3.2 standardmäßig aktiv; auch Skripte können sie auf älteren Installationen gesetzt haben.

Korrigierte APT-Versionen nach Release

Debians Sicherheitsmitteilung nennt APT 3.0.4 als korrigierte Version für das stabile Release trixie. Der Debian Security Tracker führt außerdem die korrigierten Versionen für bookworm, forky und sid auf. Ubuntu nennt eigene Paketstände für die aufgeführten Releases (Debian Security Tracker; Ubuntu-Sicherheitsmitteilung USN-8996-1).

Für Ubuntu 20.04 LTS und ältere Releases ist Ubuntu Pro erforderlich. Für 16.04 und 14.04 nennt Ubuntu zusätzlich Legacy Support.