El fallo CVE-2026-109518 de APT puede permitir que un atacante instale un paquete bajo su control y ejecute código con privilegios de root. El Debian Security Tracker describe un ataque que requiere que coincidan varias condiciones: manipulación del tráfico HTTP, reutilización de enlaces duros, redirecciones y un reintento de descarga con Acquire::Retries distinto de cero. El rastreador de Debian también lista versiones vulnerables y corregidas para distintas ramas de Debian.
Qué condiciones necesita el ataque
El atacante debe poder alterar el tráfico HTTP entre el cliente APT y el servidor del archivo de paquetes; el rastreador cita como ejemplos un espejo o un proxy malicioso. Además, el proceso debe reutilizar enlaces duros, seguir redirecciones y reintentar la descarga de un paquete. Acquire::Retries debe tener un valor distinto de cero.
El posible resultado es la instalación de un paquete controlado por el atacante, sin verificar, y la ejecución remota de código con privilegios de root. El parámetro de reintentos es una de varias condiciones necesarias, no una explicación aislada del ataque.
Versiones de APT que lista Debian
El rastreador indica estos estados por rama:
| Rama de Debian | Versión de APT | Estado que lista el rastreador |
| bookworm | 2.6.1 | Vulnerable |
| bookworm (seguridad) | 2.6.2 | Corregida |
| trixie | 3.0.3 | Vulnerable |
| trixie (seguridad) | 3.0.4 | Corregida |
| forky y sid | 3.3.6 | Corregida |
El estado corregido de APT 3.3.6 figura para forky y sid. El rastreador también señala que Acquire::Retries tiene el valor predeterminado 3 desde Debian 12 (bookworm) y que las versiones anteriores quedan fuera del riesgo en su configuración predeterminada.
El ajuste de reintentos en Ubuntu
La descripción general del rastreador incluye Ubuntu y especifica que Acquire::Retries tiene el valor predeterminado 3 desde Ubuntu 22.04 LTS (Jammy).
