Диспетчер пакетов APT может установить подменённый пакет, который уже прошёл проверку подписи. Атакующий в канале связи перехватывает загрузку и подставляет свой архив. После установки код выполняется с правами root. В результате проблема затрагивает Debian, Ubuntu и производные от них дистрибутивы.
CVE-2026-109518 в диспетчере пакетов APT
Уязвимость обнаружил исследователь Max Justicz. При этом Debian раскрыла её 4 ноября 2026 года в уведомлении о безопасности DSA-6607-1. В тот же день Canonical выпустила уведомление USN-8996-1 с исправлениями для Ubuntu. Раньше в Ubuntu находили другие способы повысить привилегии. Однако там атака шла с локальной учётной записи.
APT умеет объединять две разные загрузки, если HTTP-редирект приводит их к одному адресу. HTTP-редирект - это ответ сервера, который перенаправляет клиент на другой адрес. При повторной попытке загрузки APT переиспользует ранее скачанные файлы через жёсткие ссылки. Жёсткая ссылка даёт файлу второе имя.
Из-за такого переиспользования проверенные данные пакета смешиваются с файлами, которые можно менять. Получается состояние гонки между проверкой и установкой. Пакет проверяют в один момент, а устанавливают уже другой. Проверка целостности при этом не помогает.
Успешная атака обходит проверку подписи. Поэтому злоумышленнику не нужно подписывать подменённый пакет. CVSS - единая шкала оценки уязвимостей. Запись CVE присвоила уязвимости 7.7 по шкале CVSS 4.0, это высокий уровень.
Условия атаки
Атака идёт по сети и не требует учётных данных. Однако нужен контроль над трафиком между клиентом и зеркалом пакетов. Подойдёт вредоносное зеркало, прокси или другой посредник в сети. Участие пользователя не требуется. Клиент при этом должен следовать редиректам и повторять загрузку.
Значит, число повторов должно быть больше нуля. По умолчанию три повтора действуют начиная с Debian 12 Bookworm и Ubuntu 22.04 LTS Jammy Jellyfish. Более старые выпуски в такой настройке не подвержены проблеме. Однако изменённые настройки повторов возвращают риск и там. Поэтому настройки важны не меньше версии.
Проверять нужно и конфигурацию. В крупной инфраструктуре такие условия встречаются часто. Внутренние зеркала экономят трафик. Однако они же становятся удобной точкой для перехвата. Поэтому доступ к зеркалам и прокси нужно ограничивать.
Для организации подмена пакета означает чужой код на серверах с высокими правами. Злоумышленник может закрепиться в системе и изменить её настройки. При этом вход выглядит как обычное обновление. В итоге одна неудачная загрузка даёт полный контроль над узлом. Именно поэтому обновлять нужно и средства управления пакетами.
Исправленные версии
Debian исправила проблему в APT 3.0.4 для стабильного выпуска Trixie. Кроме того, тот же пакет закрывает несколько ошибок выхода за границы буфера. Canonical перечислила исправленные версии. Для Ubuntu 22.04 LTS исправление вышло в версии 2.4.15ubuntu0.1, для 24.04 LTS в версии 2.8.4ubuntu0.1. Выпуски 26.04 LTS и 26.10 получили версии 3.2.1ubuntu0.1 и 3.3.3ubuntu0.1.
При этом для более старых выпусков Ubuntu исправления доступны по подписке Ubuntu Pro. Canonical отмечает, что обычное обновление системы ставит нужные исправления. Отдельных шагов не требуется. Также в записи CVE перечислены затронутые ветки APT для Debian и Ubuntu. Каждая из них получила отдельный выпуск с исправлением.
После обновления APT не переиспользует жёсткие ссылки небезопасным способом. Проверенный пакет и установленный пакет остаются одним и тем же объектом. В этом и состоит суть исправления. Обходных мер в записи CVE нет, поэтому обновление остаётся основным способом защиты.
Сведений об эксплуатации в реальных атаках уведомления не приводят. При этом обновить APT всё равно нужно. Поэтому администраторам стоит сверить установленные версии с рекомендациями вендора. Компоненты управления пакетами нужно включить в плановое обслуживание Debian и Ubuntu.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-109518
- https://lists.debian.org/debian-security-announce/2026/msg00526.html
