Un atacante que consiga modificar el tráfico entre APT y el servidor de paquetes puede sustituir una descarga comprobada por un paquete propio y ejecutar su código como root. El fallo, identificado como CVE-2026-109518, afecta a Debian y Ubuntu y necesita que APT vuelva a intentar una descarga fallida: ese reintento está habilitado por defecto desde Debian 12 y Ubuntu 22.04.
Los avisos de Debian, Ubuntu y los desarrolladores de APT se publicaron el 4 de noviembre, según The Hacker News. Debian ya había difundido versiones corregidas, mientras que Ubuntu calificó el problema de prioridad alta y publicó nuevas compilaciones para varias de sus versiones. La diferencia entre la disponibilidad de esos paquetes y el estado que aún reflejaban los avisos de Ubuntu forma parte de una respuesta que seguía en curso.
Una descarga que se puede reemplazar durante el reintento
El ataque no consiste simplemente en entregar un paquete falso y esperar que APT lo acepte. Según los desarrolladores de APT, el atacante utiliza redirecciones HTTP y errores temporales ordinarios del servidor para forzar que el gestor repita la descarga. Si puede alterar el tráfico entre APT y el servidor de paquetes, puede aprovechar ese proceso para cambiar el paquete comprobado por uno controlado por él.
Ubuntu señala que el atacante podría ser cualquiera con capacidad para modificar ese tráfico, incluidos un espejo malicioso o un proxy. El código del atacante se ejecuta cuando el equipo instala un paquete. Como APT lleva a cabo esa operación con privilegios de root, el resultado puede ser la ejecución de código con el nivel más alto de permisos del sistema.
La vulnerabilidad afecta a una herramienta central en Debian y Ubuntu: APT gestiona la instalación y actualización de paquetes en ambas distribuciones. RedesZone advierte de que el alcance potencial también incluye sistemas derivados y equipos que utilizan APT, desde servidores hasta ordenadores de escritorio y dispositivos embebidos. Ubuntu también indica que las distribuciones construidas sobre Debian y Ubuntu están afectadas, aunque no las identifica por nombre.
El ajuste de reintentos marca la exposición
El comportamiento necesario para el ataque está activado por defecto en Debian 12 y versiones posteriores, y en Ubuntu 22.04 y posteriores, informa The Hacker News. Las versiones anteriores, entre ellas Debian 11 y Ubuntu 20.04, no están expuestas de forma predeterminada, según Ubuntu. Sin embargo, los desarrolladores de APT advierten de que scripts de usuarios pueden haber habilitado también en esas versiones la opción de configuración Acquire::Retries.
Por eso, la referencia a las versiones antiguas no equivale a que todas estén a salvo en cualquier configuración. La condición descrita por los desarrolladores es que APT reintente una descarga fallida; si un script ha activado esa opción, el comportamiento puede darse también en sistemas anteriores. Las fuentes no detallan qué configuraciones concretas han adoptado los usuarios ni cuántos equipos están expuestos.
Ubuntu asignó al fallo una puntuación CVSS 4.0 de 7,7 y lo clasificó como de prioridad alta. The Hacker News indica que los desarrolladores de APT lo calificaron de crítico. La vulnerabilidad no se limita, por tanto, a una aplicación que procese datos con permisos ordinarios: su riesgo deriva de que el código malicioso puede ejecutarse durante la instalación de paquetes, bajo los privilegios del gestor.
Versiones corregidas de Debian y compilaciones de Ubuntu
Debian publicó versiones corregidas de APT para CVE-2026-109518. The Hacker News también informa de que los desarrolladores de APT difundieron una versión corregida, 2.2.5, para Debian 11, cuyo periodo de soporte a largo plazo terminó el 31 de agosto. La rama de pruebas de Debian seguía usando la versión vulnerable 3.3.5 a las 14:58 UTC del 4 de noviembre.
Ubuntu publicó compilaciones nuevas en su archivo de seguridad a las 14:25 UTC del 4 de noviembre. Las versiones indicadas por The Hacker News son 3.3.3ubuntu0.1 para Ubuntu 26.10, 3.2.1ubuntu0.1 para Ubuntu 26.04 LTS, 2.8.4ubuntu0.1 para Ubuntu 24.04 LTS y 2.4.15ubuntu0.1 para Ubuntu 22.04 LTS.
La disponibilidad de compilaciones no significó que el estado de todas las versiones quedara actualizado de inmediato. A las 15:46 UTC, Ubuntu todavía marcaba como vulnerables las ocho versiones que seguía para el fallo, desde Ubuntu 14.04 LTS hasta 26.10. La publicación de paquetes y la actualización de los avisos son momentos distintos; los datos comunicados por Ubuntu reflejaban esa diferencia durante el 4 de noviembre.
Para Ubuntu 14.04, los usuarios con una suscripción Ubuntu Pro ya podían obtener una actualización, según The Hacker News. Los desarrolladores de APT añadieron que se estaban publicando actualizaciones para Ubuntu y para el servicio Ubuntu Pro. No se detallan en esa información todas las versiones de paquete corregidas para el resto de las versiones de Ubuntu.
Los avisos no coinciden sobre el estado de la corrección
RedesZone, en una información publicada el 5 de noviembre, señalaba que todavía no se había publicado un boletín oficial de Debian o Canonical con el identificador de la vulnerabilidad ni con la versión de APT corregida. The Hacker News, por su parte, informó de los avisos del 4 de noviembre, del identificador CVE-2026-109518, de las versiones ya corregidas de Debian y de las compilaciones de Ubuntu. También recogió que Ubuntu seguía mostrando como vulnerables sus ocho versiones rastreadas a las 15:46 UTC.
Ante esa diferencia, los datos concretos sobre el estado de los paquetes son los que The Hacker News atribuye a Debian, Ubuntu y los desarrolladores de APT: Debian publicó correcciones y Ubuntu puso nuevas compilaciones en su archivo de seguridad, aunque sus avisos aún señalaban versiones vulnerables en el momento indicado. RedesZone recomendaba consultar los boletines DSA de Debian y USN de Ubuntu y aplicar la actualización cuando apareciera allí.
RedesZone también aconsejaba evitar, hasta disponer de una corrección confirmada, las actualizaciones de Debian o Ubuntu a través de redes públicas o no confiables, mantener las comprobaciones de integridad habituales de los repositorios y no instalar paquetes sueltos de otra distribución para adelantarse al parche. Esa última práctica puede romper dependencias y dejar el sistema en peor estado, advierte el medio.
Las publicaciones consultadas no describen ataques que ya hayan explotado el fallo ni ofrecen una solución alternativa para los sistemas que aún no puedan actualizarse. También describen el ataque sobre HTTP, pero no aclaran si las fuentes de paquetes a las que se accede por HTTPS están expuestas. La recomendación de RedesZone es seguir los avisos oficiales y comprobar qué versión corregida corresponde a cada distribución.
Fuentes: RedesZone, The Hacker News
