Uma falha no APT (Advanced Package Tool, gerenciador de pacotes usado no Debian e no Ubuntu) permite que um invasor capaz de modificar os downloads de pacotes troque um pacote verificado por outro de sua autoria.
Segundo alertas de segurança publicados em 4 de novembro pelo Debian, pelo Ubuntu e pelos desenvolvedores do APT, o código do invasor é executado como root (usuário com privilégios administrativos totais). O ataque depende de o APT repetir downloads que falharam, comportamento que ele adota por padrão a partir do Debian 12 e do Ubuntu 22.04.
O Debian já lançou versões corrigidas do APT para a falha, identificada como CVE-2026-109518 (sigla para Common Vulnerabilities and Exposures, padrão de identificação de vulnerabilidades). Os desenvolvedores do APT, que classificam a falha como crítica, afirmam que atualizações para o Ubuntu e para o serviço de assinatura Ubuntu Pro estão sendo lançadas. Usuários do Ubuntu 14.04 com Ubuntu Pro já podem obter uma delas.
Versões mais antigas, como o Debian 11 e o Ubuntu 20.04, não estão expostas por padrão, segundo o Ubuntu. Muitos scripts de usuários, no entanto, podem ter ativado nessas versões a configuração de novas tentativas, Acquire::Retries, afirmam os desenvolvedores do APT.
O ramo de testes do Debian (testing) ainda estava na versão vulnerável 3.3.5 às 14:58 UTC (Tempo Universal Coordenado) de 4 de novembro. Para o Debian 11, cujo suporte de longo prazo (LTS, do inglês long-term support) terminou em 31 de agosto, os desenvolvedores do APT publicaram a versão corrigida 2.2.5.
O Ubuntu classifica a falha como de alta prioridade, com pontuação 7,7 no CVSS 4.0 (Common Vulnerability Scoring System, sistema de pontuação de gravidade de vulnerabilidades). A empresa afirma que distribuições baseadas em Debian e Ubuntu também são afetadas, sem citar nenhuma delas.
O Ubuntu publicou novas versões do APT para quatro de suas edições no seu arquivo de segurança às 14:25 UTC de 4 de novembro:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Às 15:46 UTC, o Ubuntu ainda marcava como vulneráveis todas as oito versões que acompanha, do 14.04 LTS ao 26.10.
O atacante pode ser qualquer pessoa capaz de alterar o tráfego HTTP (Protocolo de Transferência de Hipertexto) entre o APT e o servidor de pacotes, incluindo um espelho ou proxy malicioso, segundo o Ubuntu. O ataque ocorre quando o computador instala um pacote. O invasor usa redirecionamentos HTTP e erros temporários comuns de servidor para fazer o APT repetir o download, afirmam os desenvolvedores do APT.
A falha foi reportada por Max Justicz. Nenhum dos três alertas descreve ataques que explorem a falha, nem oferece solução alternativa para sistemas que ainda não podem ser atualizados. Os documentos descrevem o ataque via HTTP e não informam se fontes de pacotes acessadas por HTTPS estão expostas.
