CVE-2026-109518: APTの脆弱性でMitMのルートコード実行が可能に

Debian、Ubuntu、その他の派生Linuxディストリビューションで使用されるパッケージ管理システムAPTに存在する高深刻度の脆弱性により、中間者攻撃に成功した攻撃者が検証済みのソフトウェアパッケージを悪意のあるものに置き換え、ルート権限で任意のコードを実行できる可能性があります。CVE-2026-109518として追跡され、この欠陥はCVSS 4.0スコアで7.7を持ち、APTのHTTPダウンロードとリトライの処理に影響します。

この脆弱性は、APTがHTTPリダイレクトを追跡して失敗したパッケージのダウンロードをリトライする際のハードリンクの不適切な処理が原因です。適切な条件の下で、リダイレクトが同じURIに解決されると、異なる2つのダウンロードがマージされる可能性があります。APTクライアントとリポジトリの間のトラフィックを操作できる攻撃者は、この動作を悪用して、既に検証が終了した後に攻撃者が制御する.debパッケージに置き換えることができます。

Debianパッケージはルート権限でインストールスクリプトを実行できるため、成功すると完全なシステムの妥協に繋がる可能性があります。ただし、脆弱性を悪用するにはいくつかの条件が必要です: ユーザーがパッケージインストールを開始し、APTが操作可能なHTTPを介して通信し、Acquire::Retriesオプションがゼロ以外の値に設定されていることが必要です。

Ubuntu 22.04 LTSおよびそれ以降のリリースは、デフォルトでリトライが有効になっているため、影響を受けます。DebianもAPT 2.3.2以降、Debian 12を含み、デフォルトでリトライを有効にしています。古いリリースも管理者や自動化スクリプトが手動でリトライを有効にすると依然として脆弱です。

営業に連絡

この脆弱性はセキュリティ研究者Max Justiczによって発見され、2026年11月4日に公開されました。DebianとUbuntuは同じ日にセキュリティアップデートをリリースしました。どちらのベンダーのアドバイザリも、実際の攻撃で脆弱性の悪用を報告していません。

セキュリティチームは、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを使用して、ソフトウェアサプライチェーン攻撃、パッケージマネージャーの悪用、悪意のあるペイロードの実行、およびSIEM、EDR、XDR、データレイク環境におけるポストコンプロミス活動に対する防御を強化できます。

APT活動直後に発生するパッケージリポジトリトラフィックの不審な変化、予期しないリダイレクトや繰り返されるパッケージダウンロードの失敗、異常なパッケージインストール、新しい特権プロセスを監視することでCVE-2026-109518を検出できます。

すべてのCVEに対して検出コンテンツがあるわけではありません。SOC Prime Platformで最新のカバレッジを確認してください。関連する検出がまだ利用できない場合は、新しい脅威インテリジェンスと検出コンテンツが継続的に追加されているため、再確認してください。

CVE-2026-109518の分析

CVE-2026-109518は、APTがデプロイされているDebian、Ubuntu、および派生Linuxディストリビューションにおいて、パッケージファイルが攻撃者が操作可能なHTTPパスを介してダウンロードされ、リトライ機能が有効にされている場合に影響します。Ubuntuでは、この脆弱性をCVSS 4.0スコア7.7で高と分類し、ベクトルCVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SAを使用しています。

APTは、DebianベースのLinuxシステムでパッケージのダウンロード、検証、およびインストールを担当しています。パッケージの真正性は通常、ミラーによって配信されるパッケージが信頼されていない仲介者によって密かに変更されないように設計されたDebianおよびUbuntuのリポジトリ署名メカニズムに依存しています。

CVE-2026-109518は、特定のダウンロード条件の下でこの信頼モデルの重要な部分を破壊します。

脆弱性は、APTがHTTPリダイレクトとリトライを処理する際に発生します。Debianのアドバイザリによれば、APTはリダイレクトが同じURIを共有させると、別々のパッケージダウンロードをマージすることができます。ダウンロードを再開する必要がある場合、不適切なハードリンクの処理により、既に検証済みのパッケージと関連付けられたコンテンツを上書きできる可能性があります。

攻撃者はまず、被害者とパッケージアーカイブ間のHTTPトラフィックを操作できる能力が必要です。潜在的な位置には、悪意のあるまたは侵害されたネットワーク中間体、プロキシ、Wi-Fiネットワーク、またはパッケージミラーが含まれます。Ubuntuは、その脅威モデルに悪意のあるミラーとプロキシを明示的に含めています。

その後、攻撃者は一時的なHTTPエラーとリダイレクトを使用してAPTをリトライパスに強制することができます。APTがパッケージのダウンロードをリトライすると、ハードリンク処理の欠陥により、攻撃者が制御するデータが検証済みのパッケージに関連付けられたコンテンツを置き換える可能性があります。

これにより、通常はリポジトリ署名によって提供される保護を悪用して悪意のあるパッケージがバイパスすることができます。

影響が特に深刻になるのは、.debパッケージが、インストール中にメンテナスクリプトを含むことができるためです。これらのスクリプトは、パッケージがインストールされる際にルート権限で実行されるため、成功した攻撃によりパッケージが置き換えられると、攻撃者は完全なシステム権限でコマンドを実行できます。

この脆弱性があるからといって、DebianまたはUbuntuホストがいつでもリモートから妥協されるわけではありません。この攻撃は、被害者のシステムがパッケージのインストールまたはアップグレードを実行する必要があり、同時に攻撃者がネットワークパスを操作できることが必要です。

もう一つの重要な条件はAcquire::Retriesです。

APTは、このオプションを使用して失敗したダウンロードを自動的にリトライするかどうかを決定します。脆弱性のある動作にはゼロより大きい値が必要です。DebianのAPT開発者は、APT 2.3.2以来リトライがデフォルトで有効になっていると述べていますが、Ubuntuは、Ubuntu 22.04 LTSおよびそれ以降のリリースで非ゼロのデフォルト値を使用していることを確認しています。

したがって、古いシステムが必ずしも安全であるわけではありません。Ubuntu 20.04 LTSおよびそれ以前のリリースでは、デフォルトでリトライは有効になっていませんが、カスタム構成、展開自動化、または管理者スクリプトがAcquire::Retriesを手動で設定し、これらのシステムを悪用可能にすることがあります。

脆弱性はAPTのHTTPバックエンドに存在するため、apt、apt-get、aptitude、グラフィカルUbuntuアプリケーションを含むAPTベースのフロントエンド全体に適用されます。スナップパッケージは異なる配布メカニズムを使用するため影響を受けません。

HTTPSはまた、攻撃面を著しく変えます。Ubuntuは、攻撃者がトランジット中のHTTPトラフィックを操作できる必要があるため、TLSがこの脆弱性を保護していると述べています。適切に検証されたHTTPSでのみアクセスされるパッケージソースは、記録された中間者攻撃方法から保護されています。FTPや無関係なトランスポートメカニズムは、この特定の問題の影響を受けません。

CVE-2026-109518 PoC状況は慎重に解釈されるべきです。DebianおよびUbuntuの公式アドバイザリは、完全なルート妥協を実証する公開エクスプロイトへのリンクを提供しておらず、実世界での悪意ある悪用を報告していません。それにもかかわらず、APT開発者によって公開された技術情報はディフェンダーが攻撃要件を理解するのに十分なリダイレクト、リトライ、およびハードリンクの振る舞いを説明しています。

この弱点は不適切なハードリンクの処理と、チェックタイム/利用タイムコンディションと関連付けられています。CVEレコードはこれをCWE-62、UNIXハードリンク、およびCWE-367、チェックタイム-利用タイム・レース コンディションにマッピングします。

APT開発者は、複数のメンテナンスされたブランチで修正バージョンをリリースしました:

APTブランチ	修正版
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

Debian 13 “Trixie” はAPT 3.0.4を受け取り、Debian 12 “Bookworm” はバージョン2.6.2を受け取りました。

Ubuntuは次の修正済みパッケージをリリースしました:

Ubuntuリリース	修正されたAPTバージョン
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

古いUbuntuリリースの更新には、該当するUbuntu Proまたは拡張セキュリティメンテナンスのカバレッジが必要です。

CVE-2026-109518の検出には、セキュリティチームがパッケージ管理活動をネットワークおよびエンドポイントのテレメトリと関連付ける必要があります。繰り返されるHTTPリダイレクト、急激なダウンロード失敗の直後の成功したパッケージ取得、予期しないリポジトリ宛先、または非通常のネットワークパスからのパッケージインストールが有用な調査の軸を提供できます。

エンドポイント監視も、APTまたはdpkgの実行中または直後に生成された異常な子プロセスを特定する必要があります。成功した悪用は攻撃者が管理するパッケージがルートとしてインストールされる結果をもたらすため、疑わしいシェル実行、新しいサービス、変更されたシステムファイル、持続メカニズム、ユーザー作成、認証情報へのアクセス、またはパッケージインストール後の非期待なアウトバウンド接続は優先すべきインジケータとみなされるべきです。

APTおよびdpkgのログは追加のコンテキストを提供できます。防御者は/var/log/apt/、/var/log/dpkg.log、システムジャーナルの記録、プロキシのテレメトリ、DNSログ、および疑わしいパッケージ操作周辺のネットワークセキュリティデータを見直すべきです。インストールされたパッケージのバージョンおよびチェックサムを信頼できる配布リポジトリと比較することで、予期しない変更を特定するのに役立ちます。

現時点では、ベンダーのアドバイザリは、DebianやUbuntuが悪意ある悪用を報告していないため、攻撃者のインフラストラクチャ、マルウェアのハッシュ、またはキャンペーン固有のCVE-2026-109518のIOCを提供していません。したがって、静的なIOCリストを検索するよりも行動監視がより価値があります。

CVE-2026-109518の緩和

主要な対策は、Debian、Ubuntu、または関連する派生ディストリビューションが提供する更新されたAPTパッケージをインストールすることです。管理者は、修正されたAPT実装がそのソースでのパッケージ検証バイパスを防止するため、ネットワーク制御のみに頼るべきではありません。

Ubuntuは、更新プロセス中にリトライを明示的に無効にしつつ、すべてのインストール済みパッケージを更新することを推奨しています:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

完全なシステムアップグレードを実行できない組織はAPT自体を対象にできます:

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’

この操作中にリトライをゼロに設定することは、セキュリティ更新そのものをダウンロードしてインストールする際、脆弱なリトライパスが使用されるのを防ぎます。

セキュリティチームは次の手順を講じるべきです:

1. APTを使用したDebian、Ubuntu、および派生Linuxシステムをインベントリ化する。
2. インストールされたAPTバージョンを特定し、ベンダーが修正したリリースと比較する。
3. インターネットに接続されたシステムおよび信頼できないサードパーティまたはコミュニティパッケージミラーを使用する環境を優先する。
4. Acquire::Retries=0を使用してベンダーのセキュリティアップデートを適用する。
5. 修正版のAPTパッケージがインストールされていることを確認する。
6. /etc/apt/sources.listおよび/etc/apt/sources.list.d/下のファイルを見直し、予期しないHTTPリポジトリを特定する。
7. サポートされる場合は、パッケージソースをHTTPからHTTPSに移動する。
8. 侵害や不正な変更の兆候について、プロキシおよびパッケージミラーのインフラストラクチャを見直す。
9. 修正が適用される前に発生した予期しないパッケージインストールを調査する。

Ubuntuは、パッケージリポジトリをHTTPSに変更することで、この攻撃からの保護を提供すると確認しています。なぜなら、この攻撃にはHTTPトラフィックの変更が必要だからです。管理者はまず選択したリポジトリミラーがTLSをサポートしていることを確認し、その後sudo apt updateを実行して、構成がエラーがなく動作することを確認するべきです。

HTTPSの使用は、APTの更新の代替ではなく、深さのある防御として扱われるべきです。システムは後で他のリポジトリ、プロキシ、自動化ワークフロー、またはHTTPエンドポイントを使用する可能性があるため、修正済みパッケージのインストールが依然として必要です。

一時的にAcquire::Retriesをゼロに設定することは、文書化された悪用条件に対するもう一つの有効な回避策を提供します。欠陥はAPTが失敗したダウンロードをリトライすることに依存しているため、リトライを無効にすることで、脆弱なコードパスへの到達を防ぎます。しかし、この設定はパッケージのダウンロード信頼性を低下させる可能性があるため、主に実際のセキュリティ更新を適用する間に使用するべきです。

自動更新を使用している組織は、すでにすべての機械が修正されていると仮定するのではなく、パッチの展開を確認するべきです。Ubuntuは、unattended-upgradesはUbuntu 16.04 LTS以降デフォルトで有効にされており、通常24時間以内にセキュリティアップデートを適用するが、フリート管理、ネットワーク制限、カスタムリポジトリ構成、または無効なサービスが成功したインストールを妨げる可能性があると指摘しています。

妥協が疑われる場合、管理者は緩和前にAPT、dpkg、プロキシ、ネットワーク、およびシステムログを保存する必要があります。疑わしい露出期間中にインストールされたパッケージを見直し、パッケージの出所を検証し、メンテナンスクリプトを検査し、その直後に確立されたルートレベルのプロセスまたは持続性を調査するべきです。

悪意のあるパッケージがルートとして任意のコマンドを実行できるため、確認された悪用は完全なシステム妥協として扱われるべきです。特に攻撃者がシステムバイナリ、サービス、認証構成、またはカーネルレベルのコンポーネントを変更した可能性がある場合、信 trusted mediaから影響を受けたホストを再構築する方が、個々のアーティファクトを削除しようとするよりも信頼できるかもしれません。