La vulnerabilidad crítica CVE-2026-109518 en el gestor de paquetes APT permite a un atacante que sea capaz de interceptar el tráfico HTTP entre el cliente y el repositorio sustituir un paquete ya verificado por uno malicioso y lograr la ejecución de código arbitrario con privilegios de root. Se ven afectados Debian, Ubuntu y las distribuciones derivadas. Los parches ya están disponibles: los administradores de sistemas basados en Debian 12 y posteriores, así como Ubuntu 22.04 LTS y posteriores, deben actualizar APT de inmediato, ya que estas versiones son vulnerables en la configuración predeterminada. Las medidas temporales incluyen pasar a fuentes de paquetes HTTPS o desactivar los reintentos de descarga.
Mecanismo de ataque y condiciones técnicas
Según el aviso de seguridad de Ubuntu, la vulnerabilidad está relacionada con la reutilización de enlaces duros (hard links) en el backend HTTP de APT. Un atacante situado en el camino entre el cliente y el servidor de paquetes —ya sea un espejo malicioso, un proxy comprometido u otro método de manipulación del tráfico HTTP— utiliza redirecciones HTTP y errores temporales del servidor para forzar a APT a repetir la descarga. Al reintentar la descarga, APT puede fusionar dos descargas distintas después de que una redirección HTTP les asigne el mismo URI. El manejo incorrecto de archivos al reanudar la descarga permite sustituir el paquete después de su verificación, tal como describe Debian en DSA-6607-1.
La condición clave para la explotación es que el parámetro Acquire::Retries tenga un valor distinto de cero. A partir de Debian 12 (bookworm) y Ubuntu 22.04 LTS, el valor predeterminado se establece en 3, lo que hace que estas y las versiones más recientes sean vulnerables «de fábrica». Las versiones más antiguas (Debian 11, Ubuntu 20.04 y anteriores) no son vulnerables en la configuración predeterminada; sin embargo, como señalan los desarrolladores de APT, muchos scripts de usuario y guías recomiendan habilitar los reintentos, lo que amplía la superficie de ataque.
La vulnerabilidad afecta al backend HTTP de la biblioteca APT y a todos los frontends basados en ella: apt, apt-get, aptitude, así como las aplicaciones gráficas de Ubuntu para la gestión de paquetes. Según el blog de Ubuntu, la instalación de paquetes mediante snap no se ve afectada, ya que snap utiliza un sistema de gestión de paquetes independiente.
Evaluación de la gravedad
Ubuntu asigna a la vulnerabilidad una puntuación CVSS v4.0 7.7 (High). Los desarrolladores de APT, en su propio aviso, la califican como un bypass crítico de la verificación de archivos. La diferencia en las puntuaciones refleja metodologías distintas: CVSS tiene en cuenta la necesidad de intervención del usuario (ejecutar la instalación de un paquete) y la presencia de un atacante en el camino del tráfico, mientras que los desarrolladores de APT ponen el foco en que se elude el mecanismo fundamental de confianza en los paquetes.
En el momento de la publicación de los avisos no se habían recibido datos sobre explotación activa de la vulnerabilidad. La entrada CVE-2026-109518 en NVD está registrada.
Versiones afectadas y parches disponibles
Según el rastreador de seguridad de Debian, las versiones vulnerables y corregidas de APT para Debian se distribuyen del siguiente modo:
- bookworm: vulnerable 2.6.1, corregida en 2.6.2
- trixie: vulnerable 3.0.3, corregida en 3.0.4
- forky: corregida en 3.3.6
- sid: corregida en 3.3.7
Ubuntu ha publicado parches para ocho versiones. Para las versiones actualmente soportadas:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Para versiones antiguas, los parches están disponibles a través de Ubuntu Pro y del programa de soporte ampliado (ESM):
- Ubuntu 20.04: 2.0.12+esm1
- Ubuntu 18.04: 1.6.19+esm1
- Ubuntu 16.04: 1.2.36+esm1
- Ubuntu 14.04: 1.0.1ubuntu2.24+esm4
Priorización y recomendaciones prácticas
Están expuestos al mayor riesgo los sistemas que utilizan simultáneamente fuentes de paquetes HTTP y tienen un valor distinto de cero en Acquire::Retries. Para Debian 12 y posteriores, y Ubuntu 22.04 LTS y posteriores, esta es la configuración predeterminada. Los administradores de versiones antiguas deberían comprobar si el valor de Acquire::Retries se ha modificado manualmente, ya sea en los archivos /etc/apt/apt.conf.d/ o mediante scripts de automatización.
Acciones recomendadas:
- Instalar la actualización de APT. Antes de actualizar, desactive temporalmente los reintentos de descarga:
apt -o Acquire::Retries=0 update && apt -o Acquire::Retries=0 upgrade apt. - Migrar las fuentes de paquetes a HTTPS. El uso de TLS protege frente a este vector de ataque, ya que su explotación requiere la manipulación de tráfico HTTP sin cifrar. Esta es una medida temporal que no sustituye la instalación del parche.
- Comprobar las distribuciones derivadas. Ubuntu indica que las distribuciones basadas en Debian y Ubuntu también se ven afectadas. Si utiliza una de estas distribuciones, consulte con sus desarrolladores el estado del parche.
Anteriormente ya hemos tratado vulnerabilidades que afectan al ecosistema de Ubuntu, en particular una RCE crítica en el kernel de Linux IPv4 TCP. La vulnerabilidad actual en APT se diferencia en que compromete el propio mecanismo de entrega de actualizaciones: si el gestor de paquetes está comprometido, toda la cadena de confianza del software del sistema queda bajo amenaza.
La vulnerabilidad CVE-2026-109518 socava uno de los mecanismos de seguridad básicos de los sistemas Linux: la verificación de paquetes durante la instalación. Dada la magnitud del despliegue de Debian y Ubuntu en infraestructuras de servidor, entornos de contenedores y plataformas en la nube, la acción prioritaria es actualizar APT en todos los sistemas afectados utilizando el parámetro Acquire::Retries=0 durante la propia actualización y, en los sistemas donde la actualización inmediata no sea posible, cambiar las fuentes de paquetes a HTTPS.
