Критическая уязвимость CVE-2026-109518 в пакетном менеджере APT позволяет атакующему, способному перехватывать HTTP-трафик между клиентом и репозиторием, подменить уже проверенный пакет на вредоносный и добиться выполнения произвольного кода с привилегиями root. Затронуты Debian, Ubuntu и производные дистрибутивы. Исправления уже доступны: администраторам систем на базе Debian 12 и новее, а также Ubuntu 22.04 LTS и новее следует обновить APT немедленно, поскольку эти версии уязвимы в конфигурации по умолчанию. Временные меры — переход на HTTPS-источники пакетов или отключение повторных попыток загрузки.
Механизм атаки и технические условия
Согласно бюллетеню безопасности Ubuntu, уязвимость связана с повторным использованием жёстких ссылок (hard links) в HTTP-бэкенде APT. Атакующий, находящийся на пути между клиентом и сервером пакетов — будь то вредоносное зеркало, скомпрометированный прокси или иной способ манипуляции HTTP-трафиком — использует HTTP-перенаправления и временные серверные ошибки, чтобы заставить APT повторить загрузку. При повторной загрузке APT может объединить два разных скачивания после того, как HTTP-перенаправление присвоит им одинаковый URI. Некорректная обработка файлов при возобновлении загрузки позволяет подменить пакет после его верификации, как описывает Debian в DSA-6607-1.
Ключевое условие эксплуатации — ненулевое значение параметра Acquire::Retries. Начиная с Debian 12 (bookworm) и Ubuntu 22.04 LTS значение по умолчанию установлено в 3, что делает эти и более новые релизы уязвимыми «из коробки». Более старые версии (Debian 11, Ubuntu 20.04 и ранее) не подвержены в конфигурации по умолчанию, однако, как отмечают разработчики APT, многие пользовательские скрипты и руководства рекомендуют включать повторные попытки, что расширяет поверхность атаки.
Уязвимость затрагивает HTTP-бэкенд библиотеки APT и все фронтенды на её основе: apt, apt-get, aptitude, а также графические приложения Ubuntu для управления пакетами. Согласно блогу Ubuntu, установка пакетов через snap не затронута, поскольку snap использует отдельную систему управления пакетами.
Оценка серьёзности
Ubuntu присваивает уязвимости оценку CVSS v4.0 7.7 (High). Разработчики APT в собственном бюллетене характеризуют её как критический обход верификации файлов. Различие в оценках отражает разные методологии: CVSS учитывает необходимость участия пользователя (запуск установки пакета) и наличие атакующего на пути трафика, тогда как разработчики APT акцентируют внимание на том, что обходится фундаментальный механизм доверия к пакетам.
На момент публикации бюллетеней данных об активной эксплуатации уязвимости не поступало. Запись CVE-2026-109518 в NVD зарегистрирована.
Затронутые версии и доступные исправления
Согласно трекеру безопасности Debian, уязвимые и исправленные версии APT для Debian распределяются следующим образом:
- bookworm: уязвима 2.6.1, исправлена в 2.6.2
- trixie: уязвима 3.0.3, исправлена в 3.0.4
- forky: исправлена в 3.3.6
- sid: исправлена в 3.3.7
Ubuntu опубликовала исправления для восьми релизов. Для текущих поддерживаемых версий:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Для старых релизов исправления доступны через Ubuntu Pro и программу расширенной поддержки (ESM):
- Ubuntu 20.04: 2.0.12+esm1
- Ubuntu 18.04: 1.6.19+esm1
- Ubuntu 16.04: 1.2.36+esm1
- Ubuntu 14.04: 1.0.1ubuntu2.24+esm4
Приоритизация и практические рекомендации
Наибольшему риску подвержены системы, одновременно использующие HTTP-источники пакетов и имеющие ненулевое значение Acquire::Retries. Для Debian 12 и новее, Ubuntu 22.04 LTS и новее это конфигурация по умолчанию. Администраторам старых релизов стоит проверить, не было ли значение Acquire::Retries изменено вручную — в файлах /etc/apt/apt.conf.d/ или через скрипты автоматизации.
Рекомендуемые действия:
- Установить обновление APT. Перед обновлением временно отключите повторные попытки загрузки:
apt -o Acquire::Retries=0 update && apt -o Acquire::Retries=0 upgrade apt. - Перевести источники пакетов на HTTPS. Использование TLS защищает от данного вектора атаки, поскольку эксплуатация требует манипуляции незашифрованным HTTP-трафиком. Это временная мера, не заменяющая установку патча.
- Проверить производные дистрибутивы. Ubuntu указывает, что дистрибутивы, основанные на Debian и Ubuntu, также затронуты. Если вы используете такой дистрибутив, уточните у его разработчиков статус исправления.
Ранее мы уже освещали уязвимости, затрагивающие экосистему Ubuntu, — в частности, критическую RCE в ядре Linux IPv4 TCP. Текущая уязвимость в APT отличается тем, что компрометирует сам механизм доставки обновлений: если пакетный менеджер скомпрометирован, под угрозой оказывается вся цепочка доверия к программному обеспечению системы.
Уязвимость CVE-2026-109518 подрывает один из базовых механизмов безопасности Linux-систем — верификацию пакетов при установке. Учитывая масштаб развёртывания Debian и Ubuntu в серверной инфраструктуре, контейнерных средах и облачных платформах, приоритетное действие — обновить APT на всех затронутых системах с использованием параметра Acquire::Retries=0 при самом обновлении, а на системах, где немедленное обновление невозможно, — переключить источники пакетов на HTTPS.
