Amazon Web Services zalecił 5 listopada 2026 r. osobne działania dla działających maszyn i obrazów Debiana lub Ubuntu: zaktualizować APT na samodzielnie zarządzanych instancjach EC2, a obrazy kontenerów przebudować z poprawionym pakietem i ponownie wdrożyć. Aktualizacja hosta nie zmienia obrazu bazowego, z którego można później uruchomić kolejne kontenery (biuletyn bezpieczeństwa AWS).
Każdy obraz Debiana lub Ubuntu używany do nowych wdrożeń wymaga własnej przebudowy z poprawionym APT i ponownego wdrożenia.
Jakie warunki umożliwiają atak na APT
CVE-2026-109518 dotyczy obsługi przekierowań i ponawianych pobrań HTTP przez APT. Gdy przekierowania prowadzą do tego samego adresu URI, APT może połączyć pobrania pakietów. Przy ponawianiu pobierania błędna obsługa ponownie użytych twardych dowiązań może pozwolić napastnikowi podmienić pakiet już po jego weryfikacji. Instalacja tak zmienionego pakietu może uruchomić kod z uprawnieniami roota (komunikat deweloperów APT; biuletyn bezpieczeństwa Debiana).
Deweloperzy APT wskazują, że atak wymaga ustawionego Acquire::Retries, przekierowań i błędów HTTP, które uruchomią ponowienie pobierania. Napastnik musi też móc manipulować ruchem na odpowiedniej ścieżce pobierania. Samo pobieranie przez HTTP nie wystarcza więc do spełnienia opisanych warunków. Deweloperzy podają, że Acquire::Retries jest ustawiane domyślnie od APT 2.3.2; starsze systemy mogły mieć tę opcję włączoną we własnej konfiguracji. Debian Security Tracker wskazuje wartość domyślną 3 od Debiana 12 (bookworm) i Ubuntu 22.04 LTS (Jammy) (komunikat deweloperów APT; Debian Security Tracker).
Poprawione wersje APT w Debianie i Ubuntu
Wersje poniżej pochodzą z Debian Security Tracker i komunikatu bezpieczeństwa Ubuntu USN-8996-1. Komunikat Debiana DSA-6607-1 wskazuje konkretnie stabilne wydanie trixie i APT 3.0.4; tracker podaje też status pozostałych wymienionych gałęzi Debiana.
| Dystrybucja i wydanie | Poprawiona wersja pakietu APT |
| Debian bookworm | 2.6.2 |
| Debian trixie | 3.0.4 |
| Debian forky | 3.3.6 |
| Debian sid | 3.3.7 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 20.04 LTS | 2.0.12+esm1 |
| Ubuntu 18.04 LTS | 1.6.19+esm1 |
| Ubuntu 16.04 LTS | 1.2.36+esm1 |
| Ubuntu 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
W Ubuntu dostęp do poprawek dla wersji 20.04 LTS i starszych wymaga Ubuntu Pro. Dla Ubuntu 16.04 i 14.04 wskazano również Legacy Support.
