Il 5 novembre 2026 AWS ha indicato che aggiornare un’istanza Debian o Ubuntu in esecuzione non corregge un’immagine container separata: l’immagine interessata va ricostruita con una versione corretta di APT e poi ridistribuita. Per le istanze EC2 gestite autonomamente, AWS indica invece di aggiornare il sistema in esecuzione. Il bollettino di sicurezza AWS distingue i due interventi.
Aggiornare la macchina che esegue i container non aggiorna l’immagine da cui verranno creati i container successivi.
Come si svolge l’attacco ad APT
CVE-2026-109518 riguarda un difetto nella gestione dei download HTTP di APT. Gli avvisi pubblicati il 4 novembre 2026 da Debian e dagli sviluppatori di APT descrivono un possibile aggiramento della verifica dei pacchetti, con esecuzione di codice con privilegi di root durante l’installazione.
Perché l’attacco riesca, un aggressore deve poter manipolare il percorso del download HTTP. I reindirizzamenti possono far convergere download diversi sullo stesso URI; un errore HTTP temporaneo può provocare un nuovo tentativo e, con una gestione difettosa dei collegamenti fisici (hard link) durante la ripresa del download, il contenuto di un pacchetto può essere sostituito dopo la verifica. Il pacchetto deve poi essere installato perché il codice venga eseguito.
Gli sviluppatori di APT indicano che Acquire::Retries deve essere impostato. L’impostazione è predefinita da APT 2.3.2, ma script personalizzati possono averla attivata anche su versioni precedenti. Il solo uso di HTTP non comporta quindi automaticamente un attacco riuscito: devono verificarsi anche le altre condizioni descritte.
Versioni corrette di APT per Debian e Ubuntu
Il tracker di sicurezza Debian riporta le versioni corrette per i branch Debian elencati; il bollettino Ubuntu USN-8996-1 specifica quelle per le release Ubuntu.
| Distribuzione e release | Versione corretta di APT |
| Debian bookworm | 2.6.2 |
| Debian trixie | 3.0.4 |
| Debian forky | 3.3.6 |
| Debian sid | 3.3.7 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 20.04 LTS | 2.0.12+esm1 |
| Ubuntu 18.04 LTS | 1.6.19+esm1 |
| Ubuntu 16.04 LTS | 1.2.36+esm1 |
| Ubuntu 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
L’avviso Debian nomina nello specifico la versione 3.0.4 per trixie; le altre versioni Debian elencate sono riportate dal tracker. Per Ubuntu 20.04 e le release precedenti serve Ubuntu Pro; per Ubuntu 16.04 e 14.04 è indicato anche Legacy Support.
