Уязвимост в APT, пакетния мениджър за Debian и Ubuntu, позволява на атакуващ, който може да модифицира изтеглянията на пакети, да подмени вече проверен пакет със свой собствен.
След това кодът на атакуващия се изпълнява с права на root, според бюлетините за сигурност, публикувани на 4 ноември от Debian, Ubuntu и разработчиците на APT. Атаката изисква APT да опита отново неуспешните изтегляния — поведение, което е активирано по подразбиране от Debian 12 и Ubuntu 22.04 насам.
Debian вече пусна коригирани версии на APT за уязвимостта, обозначена като CVE-2026-109518. Разработчиците на APT, които определят уязвимостта като критична, посочват, че се пускат обновявания за Ubuntu и абонаментната услуга Ubuntu Pro. Потребителите на Ubuntu 14.04 с Ubuntu Pro вече могат да получат корекция за сигурност.
По-старите издания, като Debian 11 и Ubuntu 20.04, не са изложени на риск по подразбиране според Ubuntu. Въпреки това много потребителски скриптове може да са включили настройката за повторен опит, Acquire::Retries, и в тези издания, отбелязват разработчиците на APT.
Тестовият клон (testing) на Debian все още използваше уязвимата версия 3.3.5 към 14:58 UTC на 4 ноември. За Debian 11, чиято дългосрочна поддръжка от Debian приключи на 31 август, разработчиците на APT публикуваха коригирана версия — 2.2.5.
Ubuntu оценява уязвимостта с висок приоритет и резултат от 7.7 по CVSS 4.0, като посочва, че дистрибуциите, базирани на Debian и Ubuntu, също са засегнати, без да назовава конкретни имена.
Ubuntu публикува нови компилации на APT за четири от своите издания в архива си за сигурност в 14:25 UTC на 4 ноември:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Към 15:46 UTC Ubuntu все още отбелязваше като уязвими всичките осем издания, които следи за този проблем — от 14.04 LTS до 26.10.
Атакуващият може да бъде всеки, който е в състояние да променя HTTP трафика между APT и сървъра с пакети, включително злонамерен огледален сървър (mirror) или прокси, според Ubuntu. Атаката се задейства, когато компютърът инсталира пакет. Атакуващият използва HTTP пренасочвания и обикновени временни сървърни грешки, за да принуди APT да опита повторно изтеглянето, обясняват разработчиците на APT.
Макс Джъстич (Max Justicz) е докладвал за уязвимостта. Нито един от трите бюлетина за сигурност не описва реални атаки, експлоатиращи проблема, нито предлага заобиколно решение за системи, които все още не могат да бъдат обновени. Те описват атаката през HTTP и не уточняват дали източниците на пакети, достъпвани през HTTPS, са изложени на риск.