Уязвимость APT позволяет подменять пакеты и запускать код от root
В менеджере пакетов APT для Debian и Ubuntu обнаружена уязвимость CVE-2026-109518, позволяющая атакующему в позиции «человек посередине» подменить проверенный пакет своим и добиться запуска кода с правами root. Разработчики APT считают проблему критической, а Ubuntu присвоила ей высокий приоритет и оценку CVSS 4.0 в 7,7 балла.
Как работает атака
Для эксплуатации злоумышленник должен иметь возможность изменять HTTP-трафик между APT и сервером пакетов. В качестве такой точки может выступить вредоносное зеркало или прокси-сервер. Атака срабатывает в момент установки пакета.
По описанию разработчиков APT, атакующий сочетает HTTP-перенаправления с обычными временными ошибками сервера. Это заставляет APT повторно загрузить пакет, после чего вместо ранее проверенного содержимого может быть получена подмена.
Ключевое условие — включённые повторные попытки скачивания, параметр Acquire::Retries. Начиная с Debian 12 и Ubuntu 22.04 эта логика работает по умолчанию. В Debian 11 и Ubuntu 20.04 она по умолчанию не включена, однако разработчики APT отмечают, что этот параметр нередко активируют пользовательские скрипты.
Какие обновления доступны
Debian выпустил исправленные версии APT, в том числе версию 2.2.5 для Debian 11, поддержка которого в Debian LTS завершилась 31 августа. На момент публикации бюллетеней ветка Debian testing всё ещё содержала уязвимую версию 3.3.5.
Ubuntu 4 ноября разместила в security archive обновлённые сборки APT: 3.3.3ubuntu0.1 для Ubuntu 26.10, 3.2.1ubuntu0.1 для Ubuntu 26.04 LTS, 2.8.4ubuntu0.1 для Ubuntu 24.04 LTS и 2.4.15ubuntu0.1 для Ubuntu 22.04 LTS. Для Ubuntu 14.04 исправление уже доступно пользователям Ubuntu Pro; обновления для Ubuntu и сервиса Ubuntu Pro продолжают выпускаться.
Проблему обнаружил Max Justicz. Ubuntu также предупреждает, что затронуты дистрибутивы, построенные на Debian и Ubuntu, хотя конкретные проекты не перечислены. Бюллетени не сообщают о подтверждённых атаках и не предлагают обходного решения для систем, которые пока нельзя обновить.
Что проверить администраторам
Организациям следует инвентаризировать версии APT на серверах и рабочих станциях, установить опубликованные обновления и отдельно проверить настройку Acquire::Retries на старых релизах. Особое внимание стоит уделить HTTP-репозиториям, корпоративным прокси и зеркалам, через которые проходят загрузки пакетов.
Риск особенно нагляден в контексте Эксплойт CVE-2026-80521 выводит контейнеры Ubuntu к root хоста при компрометации Linux-инфраструктуры: уязвимость APT затрагивает сам процесс доставки программного обеспечения. Практический вывод для бизнеса — обновить APT в приоритетном порядке и проверить доверенную цепочку получения пакетов, прежде чем следующая установка даст атакующему привилегии root.