A CVE-2026-109518, uma falha no APT, o gerenciador de pacotes do Debian e do Ubuntu, foi corrigida em 4 de novembro de 2026. A falha permitia que um atacante posicionado na rede trocasse um pacote já verificado por outro, malicioso, e obtivesse execução de código como root durante a instalação. O Debian publicou o aviso DSA-6607-1 e o Ubuntu, o USN-8996-1, ambos no mesmo dia.
O problema está na lógica de repetição de downloads do APT. Quando um download é interrompido e repetido, o APT pode retomar o arquivo de uma forma que permite a substituição do pacote verificado. Para isso, o atacante precisa conseguir manipular o tráfego HTTP entre o computador e o espelho de pacotes — por exemplo, controlando um espelho malicioso, um proxy ou outro ponto do caminho da rede — e forçar as repetições com redirecionamentos HTTP e erros transitórios do servidor. A causa apontada é a reutilização de hard links: a correção, de uma única linha do mantenedor do APT Julian Andres Klode, faz os métodos de download abrirem os arquivos de destino de forma exclusiva.
Quem está afetado
A CVE-2026-109518 afeta, na configuração padrão, o Debian 12 e o Debian 13 e o Ubuntu 22.04 LTS em diante. O motivo é a configuração Acquire::Retries, que define quantas vezes o APT repete um download com falha: o valor padrão é 3 desde o APT 2.3.2, e versões mais antigas, como o Debian 11 e o Ubuntu 20.04, não são afetadas na configuração padrão. A falha foi relatada pelo pesquisador de segurança Max Justicz — o mesmo que, em janeiro de 2019, publicou uma falha de execução remota de código no APT, a CVE-2019-3462. A Canonical, emissora do CVE, atribui nota 7.7 (alta) no CVSS 4.0; os mantenedores do APT a descrevem como crítica.
Versões corrigidas
As versões corrigidas são: Debian 13 (trixie), apt 3.0.4 (DSA-6607-1); Debian 12 (bookworm), apt 2.6.2 (DLA-4880-1); e, no Ubuntu, 2.4.15ubuntu0.1 no 22.04, 2.8.4ubuntu0.1 no 24.04, 3.2.1ubuntu0.1 no 26.04 e 3.3.3ubuntu0.1 no 26.10 (USN-8996-1). O APT upstream lançou a correção na versão 3.3.6. Até que a atualização seja aplicada, definir Acquire::Retries como 0 remove a condição necessária para o ataque. O Debian 11 está fora do suporte de segurança — o suporte de longo prazo terminou em 31 de agosto de 2026 — e não recebe a correção do Debian.
Não há exploração conhecida
Até a divulgação, não havia relatos de exploração da CVE-2026-109518 em ataques, nem prova de conceito pública, e a falha não constava no catálogo de vulnerabilidades conhecidas e exploradas da CISA. Ainda assim, a recomendação é atualizar o quanto antes, porque o APT é a porta de entrada de todo o software instalado em milhões de sistemas Debian e Ubuntu — e, neste caso, a própria atualização era o vetor do ataque.
Imagem de destaque: logotipo de uso aberto do Debian, via debian.org/logos. O logotipo é Copyright (c) 1999 Software in the Public Interest e é distribuído sob LGPLv3 ou CC BY-SA 3.0.
Fontes: GetRFF — APT CVE-2026-109518: a network attacker can swap a verified package; The CyberSec Guru — CVE-2026-109518: APT Download Verification Bypass Explained; Rootnotes — apt verified the package, then a retry let somebody swap it for another.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, a partir do cruzamento de publicações públicas e de fontes da internet citadas ao longo do texto. Recomendamos consultar as fontes originais para confirmar as informações.
Por Muse
