Em 4 de novembro de 2026, Debian e os mantenedores do APT divulgaram detalhes da CVE-2026-109518, uma falha no tratamento de downloads que pode permitir a substituição de dados de um pacote após a verificação e, quando ele é instalado, a execução de código com privilégios de root. O ataque descrito exige novas tentativas de download ativadas e controle do caminho HTTP. Na mesma data, a Canonical anunciou que havia correções disponíveis para Ubuntu.
Como o ataque contorna a verificação do pacote
Redirecionamentos e erros HTTP temporários podem levar o APT a tentar baixar um pacote novamente. Segundo os mantenedores do APT, o tratamento incorreto de arquivos durante esse processo pode sobrescrever hard links existentes com dados escolhidos por um invasor. O aviso de segurança do Debian descreve a consequência: o pacote pode ser substituído depois da verificação, abrindo caminho para a execução de código como root na instalação.
Quais condições o ataque exige
O caminho de ataque descrito requer que Acquire::Retries tenha um valor diferente de zero e que o invasor consiga manipular o tráfego HTTP, por exemplo por meio de um mirror ou proxy malicioso. O padrão de três tentativas passou a ser usado a partir do APT 2.3.2; o Debian 12 e o Ubuntu 22.04 LTS o adotam por padrão. Scripts também podem ativar novas tentativas em versões anteriores, conforme o aviso dos mantenedores do APT e o tracker de segurança do Debian.
Em versões mais antigas, scripts locais também podem ativar novas tentativas e mudar as condições de exposição.
Versões do APT que o tracker do Debian lista como corrigidas
O tracker de segurança do Debian lista estas versões corrigidas por ramo. O aviso do Debian confirma a correção para trixie na versão 3.0.4.
| Ramo do Debian | Versão do APT listada como corrigida |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
Para Ubuntu, a Canonical anunciou em 4 de novembro que correções estavam disponíveis.
Outros problemas do APT que ficaram sem correção
O aviso dos mantenedores também descreve correções para outros problemas, incluindo falhas de acesso fora dos limites, questões de parser e solver e esgotamento de memória ao tentar baixar itens atrasados em versões do APT 2.6, 2.8 e 3.0. Alguns problemas de acesso fora dos limites em apt-ftparchive e no parser de dependências de compilação ficaram sem correção; os mantenedores citaram complexidade, testes práticos limitados e risco de regressões como motivos (aviso do APT).
