Actualizar un host Debian o Ubuntu no corrige la imagen de contenedor desde la que se lanzan otras instancias. En un boletín publicado el 5 de noviembre de 2026, AWS indicó que las imágenes afectadas deben reconstruirse con una versión corregida de APT y desplegarse de nuevo. La actualización del host y la de la imagen son tareas separadas (boletín de seguridad de AWS).
Un host parcheado no sanea la imagen reutilizable: trata ambos como objetivos de actualización independientes.
Un host actualizado no modifica su imagen de contenedor
AWS aconseja actualizar las instancias Ubuntu y Debian autogestionadas y, por separado, reconstruir y volver a desplegar las imágenes de contenedor con APT corregido. Una imagen base antigua puede seguir llevando el paquete vulnerable aunque el host donde se generó o ejecutó ya esté actualizado.
Para actualizar paquetes en instancias autogestionadas, AWS proporciona este comando:
sudo apt-get update && sudo apt-get upgrade -o Acquire::Retries=0
La opción Acquire::Retries=0 desactiva los reintentos en la orden de actualización. Después, los equipos que distribuyen imágenes deben reconstruirlas con APT corregido y desplegar las nuevas imágenes; actualizar una instancia no cambia por sí solo una imagen reutilizable.
Cómo funciona el fallo de verificación de APT
CVE-2026-109518 afecta a APT, el gestor de paquetes de Debian, Ubuntu y sistemas relacionados. Según el aviso de los desarrolladores de APT, el ataque requiere que Acquire::Retries esté configurado y que un atacante pueda manipular la ruta de descarga HTTP. Las redirecciones y los errores HTTP transitorios pueden provocar un reintento; en esa secuencia, el manejo incorrecto de enlaces duros puede permitir que un paquete cambie después de verificarse (aviso de seguridad de Debian).
La instalación del paquete alterado puede ejecutar código con privilegios de root. El problema depende de esas condiciones: una descarga HTTP, por sí sola, no equivale a una intrusión. Los desarrolladores de APT señalan que Acquire::Retries es el valor predeterminado desde APT 2.3.2, aunque scripts de usuario también pueden haberlo activado en versiones anteriores.
Versiones corregidas de APT por lanzamiento
Debian y Ubuntu publicaron sus avisos de seguridad el 4 de noviembre de 2026. El aviso DSA-6607-1 de Debian identifica 3.0.4 para stable trixie; el rastreador de seguridad de Debian detalla también otras ramas. Ubuntu publicó las versiones corregidas por lanzamiento en USN-8996-1.
| Distribución y lanzamiento | Versión corregida de APT |
| Debian bookworm | 2.6.2 |
| Debian trixie | 3.0.4 |
| Debian forky | 3.3.6 |
| Debian sid | 3.3.7 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 20.04 LTS | 2.0.12+esm1 |
| Ubuntu 18.04 LTS | 1.6.19+esm1 |
| Ubuntu 16.04 LTS | 1.2.36+esm1 |
| Ubuntu 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
Ubuntu indica que las versiones 20.04 y anteriores requieren Ubuntu Pro; para 16.04 y 14.04, el aviso especifica Legacy Support.
