Atualizar o APT de uma máquina em execução não corrige uma imagem de contêiner Debian ou Ubuntu usada separadamente. Em 5 de novembro de 2026, a AWS orientou clientes com instâncias autogerenciadas afetadas a atualizar os sistemas e reconstruir e implantar novamente as imagens com a versão corrigida do APT. Uma imagem-base antiga continua sendo um alvo de atualização separado. (Boletim de segurança da AWS)
Uma máquina corrigida e uma imagem corrigida são alvos distintos de atualização.
Por que a imagem precisa ser reconstruída
A atualização de um host altera os pacotes instalados nele, mas não modifica uma imagem-base separada. Por isso, equipes que usam imagens Debian ou Ubuntu afetadas precisam reconstruí-las com o APT corrigido e implantar as novas imagens. A AWS também orientou a atualização das instâncias autogerenciadas afetadas. (Boletim de segurança da AWS)
Como a falha no APT pode levar à execução de código como root
A CVE-2026-109518 afeta a verificação de pacotes em determinadas condições de download. Segundo o aviso dos desenvolvedores do APT, um atacante precisa conseguir manipular o caminho de uma transferência HTTP. Redirecionamentos e erros HTTP transitórios podem acionar uma nova tentativa; durante a retomada do download, o uso incorreto de hard links pode permitir que o conteúdo de um pacote seja substituído depois da verificação. Se esse pacote for instalado, o código nele contido pode ser executado com privilégios de root. (Aviso dos desenvolvedores do APT; aviso de segurança do Debian)
O APT precisa estar configurado com Acquire::Retries para que essa condição de repetição se aplique. Os desenvolvedores dizem que a configuração passou a ser padrão a partir do APT 2.3.2; scripts podem tê-la ativado em versões anteriores. O rastreador do Debian informa que o valor padrão de três tentativas vale a partir do Debian 12 (bookworm) e do Ubuntu 22.04 LTS (Jammy). Esses requisitos delimitam o cenário descrito: uma transferência HTTP, por si só, não aciona automaticamente a falha. (Aviso dos desenvolvedores do APT; rastreador de segurança do Debian)
Versões corrigidas do APT em Debian e Ubuntu
O rastreador do Debian lista as versões corrigidas por ramo. O aviso DSA-6607-1 especifica a versão 3.0.4 para a versão estável trixie. A Ubuntu também lista versões corrigidas específicas para cada lançamento em seu aviso USN-8996-1.
| Distribuição e lançamento | Versão corrigida do APT |
| Debian bookworm | 2.6.2 |
| Debian trixie | 3.0.4 |
| Debian forky | 3.3.6 |
| Debian sid | 3.3.7 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 20.04 LTS | 2.0.12+esm1 |
| Ubuntu 18.04 LTS | 1.6.19+esm1 |
| Ubuntu 16.04 LTS | 1.2.36+esm1 |
| Ubuntu 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
(Rastreador de segurança do Debian; aviso USN-8996-1 da Ubuntu)
Para Ubuntu 20.04 e versões anteriores, a correção requer Ubuntu Pro; para 16.04 e 14.04, a Ubuntu especifica o adicional Legacy Support. Se sua distribuição deriva do Debian ou do Ubuntu, consulte o aviso de segurança do próprio projeto para identificar a versão corrigida aplicável.
