CVE-2026-109518 kann dazu führen, dass APT ein vom Angreifer kontrolliertes, nicht verifiziertes Paket installiert und Code mit Root-Rechten ausführt. Dafür muss ein Angreifer den HTTP-Verkehr zwischen APT-Client und Archivserver manipulieren können; zugleich müssen mehrere Bedingungen beim Paketdownload zusammentreffen, wie der Debian Security Tracker beschreibt. Cybersecurity News berichtete am 4. November 2026 über die Offenlegung der Sicherheitslücke.
Welche Bedingungen der Angriff voraussetzt
Der Angreifer muss sich in den Datenverkehr zwischen APT und dem Paketarchiv einschalten und ihn verändern können. Als mögliche Folge nennt der Debian Security Tracker die Installation eines angreiferkontrollierten Pakets und Codeausführung mit Root-Rechten.
Zusätzlich müssen mehrere Bedingungen zusammenkommen: APT verwendet eine Hardlink-Verknüpfung erneut, folgt einer Weiterleitung und versucht, ein Paket erneut herunterzuladen. Außerdem muss Acquire::Retries einen Wert größer als null haben. Der Tracker nennt 3 als Standardwert ab Debian 12 (bookworm) und Ubuntu 22.04 LTS (Jammy). Ältere Releases seien in ihrer Standardkonfiguration nicht betroffen.
APT-Versionen in den Debian-Zweigen
Der Debian Security Tracker führt folgende Paketstände auf:
| Debian-Zweig | APT-Version | Sicherheitsstatus |
| bookworm | 2.6.1 | Verwundbar |
| bookworm (security) | 2.6.2 | Behoben |
| trixie | 3.0.3 | Verwundbar |
| trixie (security) | 3.0.4 | Behoben |
| forky und sid | 3.3.6 | Behoben |
Prüfe für einen Debian-Rechner, welchem Zweig er angehört, und vergleiche die installierte APT-Version mit dem entsprechenden Eintrag. Der Tracker führt APT 3.3.6 für forky und sid als behoben; ein Datum für diesen Paketstatus nennt er nicht.
