Уязвимость CVE-2026-109518 затрагивает APT — менеджер пакетов Debian и Ubuntu. Если злоумышленник может изменять трафик между компьютером и сервером пакетов, он способен подменить загружаемый пакет после проверки. При установке такого пакета его код может выполниться с правами root.
Для атаки нужно контролировать или перехватывать HTTP-трафик: например, через вредоносное зеркало пакетов, прокси либо иной узел, способный менять передаваемые данные. Разработчики APT описывают механизм с HTTP-перенаправлениями и обычными временными ошибками сервера: они заставляют APT повторить загрузку и создают условия для подмены.
Атака зависит от повторных попыток загрузки. По умолчанию они включены начиная с Debian 12 и Ubuntu 22.04. В более старых версиях повторные попытки обычно отключены, но пользовательские скрипты могли включить их параметром
В бюллетенях описана атака через HTTP. В них не уточняется, применим ли тот же сценарий к источникам пакетов, доступным по HTTPS. Делать вывод о защищённости HTTPS на основании опубликованных материалов нельзя.
Уязвимость обнаружил Max Justicz. Разработчики APT назвали её критической; Ubuntu присвоила ей высокий приоритет и оценила в 7,7 балла по CVSS 4.0. Ubuntu также сообщила, что проблема затрагивает дистрибутивы, созданные на основе Debian и Ubuntu, но не перечислила их.
Debian, Ubuntu и разработчики APT опубликовали предупреждения 4 ноября. Debian выпустил исправленные версии. Разработчики APT сообщили о выпуске обновлений для Ubuntu и подписки Ubuntu Pro; обновление уже было доступно пользователям Ubuntu 14.04 с Ubuntu Pro. Для Debian 11, поддержка которого в рамках долгосрочной программы завершилась 31 августа, опубликована исправленная версия APT 2.2.5.
В архиве безопасности Ubuntu 4 ноября в 14:25 UTC появились сборки APT для четырёх выпусков: Ubuntu 26.10 —
Обновления распространялись не мгновенно во всех ветках. На 14:58 UTC 4 ноября тестовая ветка Debian всё ещё использовала уязвимую версию 3.3.5. В 15:46 UTC Ubuntu продолжала помечать как уязвимые все восемь отслеживаемых выпусков — от Ubuntu 14.04 LTS до Ubuntu 26.10.
Ни в одном из трёх предупреждений — Debian, Ubuntu и разработчиков APT — не описаны случаи эксплуатации CVE-2026-109518. Там также нет обходного решения для систем, на которые пока нельзя установить обновление.
Изображение носит иллюстративный характер
Для атаки нужно контролировать или перехватывать HTTP-трафик: например, через вредоносное зеркало пакетов, прокси либо иной узел, способный менять передаваемые данные. Разработчики APT описывают механизм с HTTP-перенаправлениями и обычными временными ошибками сервера: они заставляют APT повторить загрузку и создают условия для подмены.
Атака зависит от повторных попыток загрузки. По умолчанию они включены начиная с Debian 12 и Ubuntu 22.04. В более старых версиях повторные попытки обычно отключены, но пользовательские скрипты могли включить их параметром
Acquire::Retries. Поэтому Debian 11 и Ubuntu 20.04, по данным Ubuntu, не уязвимы по умолчанию, но могут быть подвержены атаке при включённых повторах. В бюллетенях описана атака через HTTP. В них не уточняется, применим ли тот же сценарий к источникам пакетов, доступным по HTTPS. Делать вывод о защищённости HTTPS на основании опубликованных материалов нельзя.
Уязвимость обнаружил Max Justicz. Разработчики APT назвали её критической; Ubuntu присвоила ей высокий приоритет и оценила в 7,7 балла по CVSS 4.0. Ubuntu также сообщила, что проблема затрагивает дистрибутивы, созданные на основе Debian и Ubuntu, но не перечислила их.
Debian, Ubuntu и разработчики APT опубликовали предупреждения 4 ноября. Debian выпустил исправленные версии. Разработчики APT сообщили о выпуске обновлений для Ubuntu и подписки Ubuntu Pro; обновление уже было доступно пользователям Ubuntu 14.04 с Ubuntu Pro. Для Debian 11, поддержка которого в рамках долгосрочной программы завершилась 31 августа, опубликована исправленная версия APT 2.2.5.
В архиве безопасности Ubuntu 4 ноября в 14:25 UTC появились сборки APT для четырёх выпусков: Ubuntu 26.10 —
3.3.3ubuntu0.1, Ubuntu 26.04 LTS — 3.2.1ubuntu0.1, Ubuntu 24.04 LTS — 2.8.4ubuntu0.1, Ubuntu 22.04 LTS — 2.4.15ubuntu0.1. Обновления распространялись не мгновенно во всех ветках. На 14:58 UTC 4 ноября тестовая ветка Debian всё ещё использовала уязвимую версию 3.3.5. В 15:46 UTC Ubuntu продолжала помечать как уязвимые все восемь отслеживаемых выпусков — от Ubuntu 14.04 LTS до Ubuntu 26.10.
Ни в одном из трёх предупреждений — Debian, Ubuntu и разработчиков APT — не описаны случаи эксплуатации CVE-2026-109518. Там также нет обходного решения для систем, на которые пока нельзя установить обновление.
