Un fallo de APT de gravedad alta podría permitir que un atacante que controle el tráfico HTTP de descarga de paquetes sustituya un paquete después de su verificación. Debian y Ubuntu publicaron actualizaciones de seguridad el 4 de noviembre de 2026.
Qué ha ocurrido
Debian y Ubuntu divulgaron CVE-2026-109518, una vulnerabilidad en el gestor de paquetes APT, que se usa para instalar y actualizar software. Ubuntu la clasifica como High (alta), con una puntuación CVSS v4.0 de 7.7.
Un atacante situado en la ruta de red (on-path) que pueda manipular el tráfico HTTP entre un sistema afectado y su mirror de paquetes, o que controle un mirror o un proxy malicioso, podría conseguir que APT instale un paquete .deb no verificado y controlado por el atacante. Como los scripts del mantenedor del paquete pueden ejecutarse como root durante la instalación, una explotación exitosa puede derivar en la ejecución de código con privilegios de root.
El fallo lo notificó el investigador Max Justicz, a quien acreditan tanto el blog de Canonical como el aviso de Debian. Debian y Ubuntu proporcionaron paquetes de APT corregidos el 4 de noviembre de 2026. Fuentes: explicación de seguridad de Ubuntu, aviso de seguridad de Debian DSA-6607-1 y rastreador de seguridad de Debian.
Las dos distribuciones la califican de forma distinta. Ubuntu la clasifica como High (alta), mientras que el anuncio de APT de Debian la describe como una omisión crítica de la verificación de archivos. Los avisos de los proveedores revisados no informan de explotación activa (in the wild).
Cómo se puede omitir la verificación de paquetes
APT usa normalmente información de repositorio firmada y hashes de los paquetes para comprobar el software descargado, también cuando los paquetes proceden de mirrors que no son de confianza por sí mismos. Esta vulnerabilidad se produce en la forma en que APT gestiona las descargas por HTTP.
En determinadas condiciones de redirección y reintento, el cliente puede reutilizar enlaces duros (hard links) de forma incorrecta y permitir que un contenido descargado y controlado por el atacante sustituya un archivo de paquete después de su verificación. El aviso de Debian describe la causa así: APT combina dos descargas de paquetes distintas a las que una redirección HTTP asigna el mismo URI, de modo que un atacante intermediario (man-in-the-middle) puede sustituir un paquete después de su verificación cuando se reanuda una descarga (DSA-6607-1). El rastreador de Debian y la página del CVE de Ubuntu lo atribuyen a la reutilización de enlaces duros. El atacante necesita una ruta HTTP o un mirror que pueda manipular, y el cliente debe encontrarse con la secuencia necesaria de redirección y reintento. Para la explotación es imprescindible un valor distinto de cero en Acquire::Retries.
La vulnerabilidad afecta a las herramientas basadas en APT, no solo a una interfaz de línea de comandos. Canonical señala apt, apt-get, aptitude y las aplicaciones gráficas de APT. No afecta a la instalación de paquetes Snap, que usa un mecanismo diferente.
Versiones afectadas y versiones corregidas
Acquire::Retries tiene un valor distinto de cero de forma predeterminada a partir de Debian 12 y Ubuntu 22.04 LTS. Las versiones anteriores pueden estar afectadas cuando los reintentos se habilitaron de forma explícita, y las versiones antiguas de Ubuntu con soporte también recibieron paquetes corregidos.
Debian
| Versión | Versión de APT corregida |
|---|---|
| Debian 12 Bookworm | 2.6.2 |
| Debian 13 Trixie | 3.0.4 |
| Forky (rama de desarrollo) | 3.3.6 |
| Sid (inestable) | 3.3.7 |
Fuente: rastreador de CVE de Debian. El rastreador también indica como corregidas las ramas de desarrollo Forky y Sid. Los canales de versiones antiguas de Debian deben comprobarse con sus propios avisos.
Ubuntu
| Versión | Versión de APT corregida |
|---|---|
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 20.04 LTS (Ubuntu Pro) | 2.0.12+esm1 |
| Ubuntu 18.04 LTS (Ubuntu Pro) | 1.6.19+esm1 |
| Ubuntu 16.04 LTS (Ubuntu Pro, complemento Legacy Support) | 1.2.36+esm1 |
| Ubuntu 14.04 LTS (Ubuntu Pro, complemento Legacy Support) | 1.0.1ubuntu2.24+esm4 |
Las versiones antiguas de Ubuntu de la tabla se corrigen mediante Ubuntu Pro y la cobertura de Expanded Security Maintenance. Fuente: Ubuntu CVE-2026-109518.
Qué deben hacer los administradores
1. Instala los paquetes de APT corregidos. Sigue el proceso de actualizaciones de seguridad de tu distribución. El comando de corrección que publica Ubuntu es:
sudo apt update && sudo apt upgrade -o Acquire::Retries=0Canonical ofrece también una actualización más acotada, limitada al paquete fuente de APT, para los casos en que no es posible una actualización completa:
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'Canonical indica que unattended-upgrades, habilitado de forma predeterminada desde Ubuntu 16.04 LTS, aplica las correcciones en un plazo de 24 horas. En estos comandos documentados, la anulación de los reintentos se aplica a la operación de actualización de paquetes. Los administradores de entornos especialmente expuestos deberían consultar las indicaciones de mitigación de su proveedor antes de actualizar desde mirrors HTTP que no son de confianza. En Debian, instala el paquete apt corregido mediante el proceso normal de actualizaciones de seguridad descrito en DSA-6607-1.
2. Verifica las versiones instaladas. Ubuntu documenta el siguiente comando para listar los paquetes que proceden del paquete fuente de APT:
apt list --installed '?source-package(^apt$)'Compara los resultados con la versión corregida que corresponda y con el canal de la distribución instalada.
3. Valora el uso de mirrors HTTPS. Usado correctamente, HTTPS impide la manipulación del tráfico HTTP que exige esta vulnerabilidad. Verifica que el mirror elegido admita HTTPS y mantén las comprobaciones habituales de repositorios firmados. HTTPS no sustituye la instalación del paquete de APT corregido.
4. Usa la mitigación de reintentos solo como protección temporal. Configurar Acquire::Retries=0 impide la condición de reintento que exige esta vulnerabilidad, pero los administradores deben instalar los paquetes corregidos en lugar de depender indefinidamente de un cambio de configuración.
5. Investiga si sospechas una vulneración. Revisa los registros (logs) de gestión de paquetes y cualquier indicio de paquetes no autorizados. Aplicar el parche impide explotar el fallo en el futuro, pero no elimina por sí solo un paquete que un atacante ya haya instalado. El artículo de TechiesJournal sobre qué hacer después de aplicar el parche a un dispositivo explotado explica por qué un sistema con parche no es necesariamente un sistema limpio.
6. Reconstruye las imágenes de contenedor y revisa las imágenes en la nube. APT está presente en muchas imágenes de contenedor y de máquina creadas a partir de bases Debian o Ubuntu. El boletín 2026-172 de AWS indica que aplicar el parche a las instancias de Ubuntu y Debian autogestionadas en EC2 es responsabilidad del cliente, que las imágenes de contenedor deben reconstruirse y volver a desplegarse, y que Amazon Inspector puede ayudar a identificar las instancias afectadas.
Lo que deben retener los administradores
El riesgo no es que todos los repositorios HTTP carezcan de firma por naturaleza. APT verifica normalmente la integridad de los paquetes con metadatos firmados de confianza. CVE-2026-109518 permite omitir ese límite de verificación en determinadas condiciones de redirección y reintento HTTP. Actualizar APT es la corrección principal, y el transporte HTTPS y el control de los reintentos aportan una protección adicional.
Fuentes oficiales
- Aviso de seguridad de Ubuntu sobre CVE-2026-109518
- Explicación técnica y corrección de Ubuntu
- Rastreador de CVE de Debian
- Aviso de seguridad de Debian DSA-6607-1
- Anuncio de la actualización de seguridad de APT de Debian
- Boletín de seguridad de AWS 2026-172
Las fuentes se consultaron el 12 de noviembre de 2026. Antes de basarte en los números de versión anteriores, consulta el aviso vigente de tu distribución para tu versión.