CVE-2026-109518: el fallo crítico en APT que permite ejecutar código como root en Debian y Ubuntu

El 4 de noviembre de 2026, Debian, Ubuntu y los propios desarrolladores de APT publicaron avisos de seguridad coordinados sobre un fallo crítico en APT, el gestor de paquetes que utilizan Debian, Ubuntu y sus derivadas. Identificada como CVE-2026-109518 y reportada por Max Justicz, la vulnerabilidad permite a un atacante capaz de manipular el tráfico HTTP entre el equipo y el servidor de paquetes sustituir un paquete ya verificado por uno malicioso y conseguir la ejecución de código arbitrario con privilegios de root durante la instalación. Los desarrolladores de APT la califican de crítica.

¿A quién afecta?

El fallo solo es explotable si APT reintenta las descargas fallidas, es decir, si la opción Acquire::Retries tiene un valor distinto de cero. El problema es que ese reintento viene activado por defecto (con valor 3) desde Debian 12 (bookworm) y Ubuntu 22.04 LTS (Jammy) en adelante. En la práctica, esto deja expuestas a prácticamente todas las instalaciones recientes de Debian y Ubuntu, además de las distribuciones construidas sobre ellas, como advierte Ubuntu.

Las versiones anteriores, como Debian 11 o Ubuntu 20.04, no están expuestas con su configuración por defecto. Pero ojo: los desarrolladores de APT advierten de que muchos scripts de usuario han activado la opción de reintento en esas versiones antiguas, así que no se puede dar por sentado que una versión vieja está a salvo.

¿Cómo funciona el ataque?

Los detalles técnicos, según los avisos originales:

• Atacante en el camino (on-path): cualquiera que pueda modificar el tráfico HTTP entre el cliente APT y el servidor de archivos, incluyendo un espejo malicioso o un proxy comprometido, según Ubuntu.
• La confusión de descargas: APT puede fusionar dos descargas de paquetes diferentes cuando una redirección HTTP les asigna la misma URI. El manejo inadecuado de ficheros al reanudar una descarga HTTP permite a un atacante man-in-the-middle reemplazar el paquete después de su verificación (aviso DSA-6607-1 de Debian). Ubuntu añade que la causa raíz está en la reutilización de enlaces duros (hard links).
• Cómo se fuerza el reintento: el atacante usa redirecciones HTTP y errores temporales de servidor ordinarios para obligar a APT a reintentar la descarga. El código malicioso se ejecuta como root en el momento de instalar el paquete.
• Lo que no se sabe: los avisos describen el ataque sobre HTTP y no especifican si las fuentes servidas por HTTPS están expuestas. Tampoco se han descrito ataques explotando la vulnerabilidad en estado salvaje ni se ha publicado ninguna solución temporal (workaround) para sistemas que no puedan actualizar aún.

Versiones parcheadas

Los parches se publicaron el mismo 4 de noviembre:

• Debian stable (trixie): apt 3.0.4 (aviso DSA-6607-1, publicado a las 12:07 UTC). La actualización corrige además varios problemas de acceso fuera de límites.
• Debian 11: apt 2.2.5 (su soporte a largo plazo terminó el 31 de agosto, pero los desarrolladores han publicado la corrección).
• Ubuntu (publicadas en el archivo de seguridad a las 14:25 UTC del 4 de noviembre): 26.10 → 3.3.3ubuntu0.1; 26.04 LTS → 3.2.1ubuntu0.1; 24.04 LTS → 2.8.4ubuntu0.1; 22.04 LTS → 2.4.15ubuntu0.1.
• Cuidado con testing: la rama testing de Debian seguía con la versión vulnerable 3.3.5 a las 14:58 UTC del 4 de noviembre.

En cuanto a severidad: los desarrolladores de APT la califican de crítica; Ubuntu la marca como prioridad alta, con una puntuación CVSS 4.0 de 7.7 (vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N).

Qué hacer ahora

1. Actualizar APT cuanto antes. El parche ya está en los repositorios de seguridad: sudo apt update && sudo apt install --only-upgrade apt, o el flujo habitual de actualización del sistema.
2. Comprobar la versión instalada con apt --version y compararla con las versiones corregidas de la lista anterior.
3. Revisar scripts y configuraciones que activen Acquire::Retries en sistemas antiguos (Debian 11, Ubuntu 20.04 o anteriores) que sigan en servicio.
4. Auditar las fuentes de paquetes (/etc/apt/sources.list y el directorio sources.list.d): usar espejos oficiales y de confianza; en redes corporativas, revisar también los proxies intermedios.
5. Priorizar los servidores: cualquier máquina Debian/Ubuntu con exposición de red o que instale paquetes de forma automática debería parchearse primero.

Mirada Blue Team: qué vigilaría un SOC

• Inventario de flota: la detección hoy es preventiva, no reactiva. Identificar qué máquinas ejecutan versiones de APT anteriores a las corregidas (vía CMDB, EDR o el propio inventario de paquetes) es la primera acción.
• Red: el ataque requiere manipular el tráfico HTTP hacia los espejos de paquetes. En el proxy corporativo o el IDS, vigilar redirecciones HTTP 3xx inusuales o errores 5xx reiterados procedentes de los repositorios, y cualquier cambio no autorizado en /etc/apt/sources.list (regla de integridad de ficheros, FIM).
• Logs del sistema: /var/log/apt/history.log y term.log registran qué se instaló y cuándo. Una instalación de paquetes inesperada tras una ventana de reintentos de descarga merece un triage. Correlacionar esos eventos con la telemetría de red.
• Sin IOCs (de momento): no se han publicado indicadores de compromiso ni se ha descrito explotación activa, así que no hay firmas que buscar: la defensa es el parcheo y la monitorización del comportamiento.
• La lección estructural: el gestor de paquetes es infraestructura crítica. Un fallo aquí equivale a comprometer la cadena de suministro del propio sistema operativo: millones de máquinas confían ciegamente en apt install. El parcheo de APT debería tratarse con la misma prioridad que el del kernel.

Fuentes

• The Hacker News, «Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root» (4 de noviembre de 2026): https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html
• Debian Security Advisory DSA-6607-1, «apt security update» (4 de noviembre de 2026, 12:07 UTC): https://lists.debian.org/debian-security-announce/2026/msg00526.html
• Ubuntu, CVE-2026-109518 (publicado el 4 de noviembre de 2026): https://ubuntu.com/security/CVE-2026-109518