Debian y Canonical han publicado actualizaciones de seguridad para corregir un fallo del gestor de paquetes APT que puede permitir instalar software sin verificar y ejecutar código con privilegios de administrador. La vulnerabilidad, identificada como CVE-2026-109518, figura en los avisos oficiales que ambos proyectos difundieron el 4 de noviembre.
El investigador Max Justicz detectó el problema. Según Debian, APT puede combinar dos descargas diferentes cuando una redirección HTTP les asigna la misma dirección. Una gestión incorrecta de archivos al reanudar la descarga abre la posibilidad de sustituir un paquete después de que haya superado la verificación.
Un atacante necesita intervenir en la comunicación
Canonical describe un ataque desde una posición intermedia en la conexión, combinado con redirecciones y reintentos de descarga. El aviso no dice que cualquier persona pueda entrar directamente en cualquier equipo con Linux. La situación depende del programa afectado y de las condiciones que permiten alterar ese tráfico.
El riesgo importa porque el gestor de paquetes participa en la instalación y actualización del sistema. Si termina utilizando un archivo diferente al comprobado, el código de ese paquete puede ejecutarse con permisos elevados. Es la posibilidad técnica descrita por los mantenedores, sin que esos avisos aporten un recuento de equipos atacados.
Versiones corregidas para cada distribución
Debian identifica APT 3.0.4 como versión corregida para su distribución estable Trixie. La actualización incluye además correcciones de otros problemas de acceso fuera de límites. Ese número no debe trasladarse como versión universal para todos los sistemas derivados.
En Ubuntu, el aviso USN-8996-1 indica las versiones 2.4.15ubuntu0.1 para 22.04 LTS, 2.8.4ubuntu0.1 para 24.04 LTS y 3.2.1ubuntu0.1 para 26.04 LTS. Para Ubuntu 26.10 recoge 3.3.3ubuntu0.1. Las ediciones anteriores tienen condiciones de soporte específicas que el documento detalla.
Los dos proveedores remiten a sus actualizaciones oficiales. Al revisar un equipo conviene identificar primero su edición y consultar la versión correspondiente en su aviso, en lugar de aplicar una cifra tomada de otra distribución.
