Op 5 november 2026 meldde Amazon Web Services (AWS) dat een bijgewerkte Debian- of Ubuntu-host een afzonderlijke containerimage niet repareert. Getroffen images moeten met een gecorrigeerde versie van APT opnieuw worden gebouwd en uitgerold. Dat is een aparte herstelstap naast het bijwerken van draaiende instances, aldus AWS.
Een bijgewerkte host repareert de containerimage niet
Een update van APT op een draaiende machine verandert de image niet waaruit later containers worden gestart. AWS adviseert klanten met zelfbeheerde Ubuntu- of Debian-instances die bij te werken én getroffen containerimages opnieuw te bouwen met de gecorrigeerde APT-versie en vervolgens opnieuw uit te rollen. Zo worden zowel draaiende systemen als herbruikbare images aangepakt.
Behandel het bijwerken van draaiende machines en het vernieuwen van containerimages als twee aparte herstelstappen.
Hoe de APT-kwetsbaarheid onder voorwaarden werkt
CVE-2026-109518 zit in de manier waarop APT bepaalde HTTP-downloads afhandelt. Omleiding kan ertoe leiden dat APT downloads samenvoegt; bij het hervatten van een download kan onjuiste omgang met hergebruikte hardlinks een pakketbestand na de verificatie vervangen. Daarvoor moet een aanvaller het HTTP-downloadpad kunnen beïnvloeden, moeten omleidingen en een mislukte download met een nieuwe poging optreden, en moet Acquire::Retries zijn ingesteld. Dat beschrijven de APT-ontwikkelaars en het Debian-beveiligingsbericht.
Als APT vervolgens een aangepast pakket installeert, kan dat code met rootrechten uitvoeren. HTTP gebruiken betekent dus op zichzelf niet dat een systeem is gecompromitteerd; de aanval vereist de beschreven omstandigheden.
De APT-ontwikkelaars melden dat Acquire::Retries sinds APT 2.3.2 standaard is ingeschakeld. Op oudere installaties kan een beheerder of script de instelling ook zelf hebben aangezet. Kijk daarom niet alleen naar de standaardinstelling van een oude release.
Gecorrigeerde APT-versies voor Debian en Ubuntu
De benodigde pakketversie verschilt per release. De Debian Security Tracker vermeldt de opgeloste Debian-versies; Debian noemt in zijn eigen beveiligingsbericht specifiek APT 3.0.4 voor stable trixie. Ubuntu USN-8996-1 geeft de versies per Ubuntu-release.
| Distributie en release | Gecorrigeerde APT-versie |
| Debian bookworm | 2.6.2 |
| Debian trixie | 3.0.4 |
| Debian forky | 3.3.6 |
| Debian sid | 3.3.7 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 20.04 LTS | 2.0.12+esm1 |
| Ubuntu 18.04 LTS | 1.6.19+esm1 |
| Ubuntu 16.04 LTS | 1.2.36+esm1 |
| Ubuntu 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
Ubuntu vermeldt dat Ubuntu Pro nodig is voor versie 20.04 en ouder. Voor 16.04 en 14.04 is ook Legacy Support vereist.
