The Hacker News informa (4 de noviembre de 2026) de una falla en APT, el gestor de paquetes de Debian y Ubuntu, identificada como CVE-2026-109518. Quien pueda alterar el tráfico de descarga entre APT y el servidor de paquetes (por ejemplo, un espejo o proxy malicioso) puede sustituir un paquete ya verificado por el suyo, y el código se ejecuta como root. Los desarrolladores de APT la consideran crítica; la reportó Max Justicz.
Cuándo se puede explotar
El ataque requiere que APT reintente descargas fallidas, algo que es el comportamiento predeterminado desde Debian 12 y Ubuntu 22.04. El atacante provoca los reintentos con redirecciones HTTP y errores temporales del servidor. Las versiones anteriores, como Debian 11 y Ubuntu 20.04, no están expuestas por defecto, aunque scripts de usuario podrían haber activado Acquire::Retries. Los avisos no describen explotación activa ni ofrecen solución alternativa, y no aclaran si las fuentes HTTPS están expuestas.
Versiones corregidas
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
- Debian 11: APT 2.2.5 publicado por los desarrolladores; Debian testing seguía en la versión vulnerable 3.3.5 la tarde del 4 de noviembre.
Ubuntu calificó la falla como de prioridad alta (CVSS 4.0: 7.7).
Acciones recomendadas para TI
- Ejecutar la actualización de APT en servidores, estaciones y contenedores basados en Debian/Ubuntu.
- Evitar espejos y proxies no confiables y revisar quién controla la ruta de red de los servidores.
- Registrar la actualización como cambio con fecha y responsable.
Para los equipos de soporte esto es un caso típico de parche urgente que compite con el trabajo diario. Con Servigo365 puede abrir un ticket por cada servidor o grupo de equipos, asignar responsables y seguir el SLA hasta el cierre, dejando un historial claro de qué se actualizó y cuándo. Ese orden de procesos y datos es lo que permite responder rápido ante la siguiente alerta.
Fuente: The Hacker News.