O Debian Security Tracker descreve a CVE-2026-109518 como uma falha no APT que, sob várias condições, pode levar à instalação de um pacote controlado por um invasor e à execução remota de código com privilégios de root. O ataque exige que alguém consiga manipular o tráfego HTTP entre o cliente APT e o servidor do repositório. (Debian Security Tracker)
As condições necessárias para o ataque
Um invasor nesse caminho pode usar um espelho malicioso ou um proxy para alterar o tráfego. Segundo o tracker, a exploração também depende da reutilização de hard links, de redirecionamentos, de uma nova tentativa de baixar o pacote e de Acquire::Retries estar definido com um valor diferente de zero. Essas condições precisam coincidir para que o pacote adulterado possa ser instalado.
O valor padrão de Acquire::Retries é 3 a partir do Debian 12 (bookworm) e do Ubuntu 22.04 LTS (Jammy). O Cybersecurity News descreveu definir esse parâmetro como 0 como uma medida provisória; a publicação alertou que isso pode tornar as atualizações menos confiáveis em conexões instáveis.
Versões do APT listadas para o Debian
O Debian Security Tracker registra os seguintes estados por ramificação:
| Ramificação Debian | Versão do APT | Estado listado |
| bookworm | 2.6.1 | Vulnerável |
| bookworm (security) | 2.6.2 | Corrigida |
| trixie | 3.0.3 | Vulnerável |
| trixie (security) | 3.0.4 | Corrigida |
| forky e sid | 3.3.6 | Corrigida |
O que o tracker informa sobre Ubuntu
A descrição geral da CVE também inclui Ubuntu. Para o Ubuntu 22.04 LTS (Jammy), o tracker informa que Acquire::Retries vem definido como 3 por padrão.
