Am 4. November 2026 beschrieben Debian und die APT-Maintainer die Schwachstelle CVE-2026-109518: Unter bestimmten Netzwerk- und Konfigurationsbedingungen kann APT Paketdaten nach der Prüfung ersetzen. Wird das Paket anschließend installiert, kann Schadcode mit Root-Rechten ausgeführt werden. Debians Sicherheitsmeldung und die Mitteilung der APT-Maintainer erläutern den Angriffsweg. Canonical teilte am selben Tag mit, dass Korrekturen für Ubuntu verfügbar seien (Ubuntu-Mitteilung).
Wie die Lücke die Paketprüfung umgeht
Der beschriebene Angriff nutzt HTTP-Weiterleitungen und vorübergehende Serverfehler, durch die APT einen Download wiederholt. Bei der fehlerhaften Behandlung solcher Wiederholungen können vorhandene Hardlinks überschrieben werden. So lässt sich ein Paket nach der Verifizierung durch manipulierte Daten ersetzen. Wird dieses Paket installiert, kann der enthaltene Code mit Root-Rechten laufen.
Welche Bedingungen der Angriff voraussetzt
Acquire::Retries muss auf einen Wert größer als null gesetzt sein. Der Angreifer muss außerdem den HTTP-Datenverkehr beeinflussen können oder einen schädlichen Mirror beziehungsweise Proxy kontrollieren. Ein aktivierter Wiederholungswert allein beschreibt also noch nicht den gesamten Angriffsweg.
Der Standardwert für Wiederholungen wurde mit APT 2.3.2 eingeführt. Debian führt den Wert 3 ab Debian 12 als Standard auf; für Ubuntu gilt das laut Debian-Tracker ab Ubuntu 22.04 LTS. Auch auf älteren Systemen können Skripte die Wiederholungen aktiviert haben.
Für den beschriebenen Angriffsweg müssen eine aktivierte Wiederholung und ein beeinflussbarer HTTP-Download zusammenkommen.
Debian-Versionen, die der Tracker als behoben führt
Der Debian-Sicherheitstracker führt diese APT-Quellpaketversionen als behoben auf:
| Debian-Zweig | Als behoben geführte APT-Quellpaketversion |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
Debians Sicherheitsmeldung nennt APT 3.0.4 als Korrektur für den stabilen Zweig trixie. Für Ubuntu meldete Canonical verfügbare Korrekturen.
Weitere Probleme, die das Update nicht behob
Die APT-Mitteilung bündelte außerdem Korrekturen für bestimmte Speicherzugriffs-, Parser- und Solver-Probleme sowie für Speichererschöpfung beim erneuten Abruf verzögerter Elemente in APT 2.6, 2.8 und 3.0. Bestimmte Out-of-bounds-Probleme in apt-ftparchive und im Build-Dependency-Parser blieben jedoch unkorrigiert. Als Gründe nannte der APT-Maintainer die Komplexität der Änderungen, begrenzte praktische Testmöglichkeiten und das Risiko von Regressionen.
