El 4 de noviembre de 2026, Debian y los mantenedores de APT publicaron avisos sobre CVE-2026-109518. El ataque descrito requiere que Acquire::Retries tenga un valor distinto de cero y que un atacante pueda manipular el tráfico HTTP o controlar un mirror o proxy malicioso. Debian explicó cómo el fallo puede permitir ejecutar código como administrador al instalar un paquete manipulado; su tracker lista versiones corregidas para varias ramas. Debian atribuyó el hallazgo a Max Justicz. Canonical también anunció ese día que había correcciones para Ubuntu.
Para valorar la exposición, comprueba el valor de Acquire::Retries y la versión de APT correspondiente a tu rama de Debian.
Cómo la descarga puede acabar sustituyendo un paquete verificado
La secuencia descrita combina redirecciones HTTP, errores temporales del servidor y reintentos. Los mantenedores de APT explicaron que esa interacción puede sobrescribir datos mediante la gestión de enlaces duros (hard links). Debian advirtió que el paquete puede sustituirse después de la verificación y que, al instalarlo, el atacante podría ejecutar código con privilegios de root. El aviso de APT detalla el mecanismo.
Por tanto, la verificación inicial no impide esta ruta de ataque: la sustitución ocurre después. La vulnerabilidad no se activa solo por usar Debian o Ubuntu; también hacen falta la configuración de reintentos y la capacidad del atacante para manipular la ruta HTTP, por ejemplo mediante un mirror o proxy malicioso.
El ajuste de reintentos que interviene en el ataque
Acquire::Retries debe ser distinto de cero para que funcione la ruta descrita. APT tiene activados los reintentos de forma predeterminada desde la versión 2.3.2. El tracker de Debian indica que el valor predeterminado es 3 en Debian 12 (bookworm) y Ubuntu 22.04 LTS (Jammy); en versiones anteriores, scripts o configuraciones locales también pueden haberlo activado. Los mantenedores de APT y el tracker de Debian describen este requisito.
Versiones de APT que Debian lista como corregidas
El tracker de Debian lista estas versiones para las ramas indicadas. La versión 3.0.4 de trixie también figura en el aviso de seguridad de Debian del 4 de noviembre de 2026.
| Rama de Debian | Versión corregida de APT |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
Consulta el tracker de Debian para las ramas y versiones. La actualización de APT también estuvo disponible para Debian, Debian LTS, Debian eLTS, Ubuntu y Ubuntu Pro, según el aviso de los mantenedores de APT del 4 de noviembre.
Otros problemas que el aviso dejó sin corregir
La actualización agrupó correcciones para varios problemas de seguridad de memoria, análisis sintáctico y resolución de dependencias, además de fallos de agotamiento de memoria al reintentar elementos retrasados en APT 2.6, 2.8 y 3.0. El aviso de los mantenedores también indicó que algunos problemas de acceso fuera de límites en apt-ftparchive y en el analizador de dependencias de compilación quedaron sin corregir. Entre las razones señaladas están la complejidad, las pruebas prácticas limitadas y el riesgo de regresiones. El anuncio de APT describe el alcance de esas correcciones y exclusiones.
