Segui Una vulnerabilità ad alta gravità in APT, il sistema di gestione dei pacchetti utilizzato da Debian, Ubuntu e dalle distribuzioni Linux derivate, potrebbe consentire a un attaccante on-path di sostituire un pacchetto software verificato con uno malevolo ed eseguire codice arbitrario con privilegi root. Tracciata come CVE-2026-109518, la falla ha un punteggio CVSS 4.0 di 7,7 e influenzerà il download HTTP di APT e la gestione dei tentativi.
La vulnerabilità è causata dalla gestione impropria dei collegamenti rigidi quando APT segue i reindirizzamenti HTTP e ritenta i download dei pacchetti falliti. In determinate condizioni, due download diversi possono essere uniti dopo che un reindirizzamento li porta a risolversi nello stesso URI. Un attaccante in grado di manipolare il traffico tra un client APT e un repository può abusare di questo comportamento per sostituire un pacchetto .deb controllato dall’attaccante dopo che la verifica è già avvenuta.
Poiché i pacchetti Debian possono eseguire script di installazione con privilegi root, un exploit riuscito può comportare il completo compromesso del sistema. Tuttavia, l’exploit richiede diverse condizioni: la vittima deve avviare un’installazione di pacchetti, APT deve comunicare su HTTP manipolabile e l’opzione Acquire::Retries deve essere impostata su un valore diverso da zero.
Ubuntu 22.04 LTS e versioni più recenti sono esposti per impostazione predefinita perché i tentativi sono abilitati. Allo stesso modo, Debian ha abilitato i tentativi per impostazione predefinita a partire da APT 2.3.2, inclusa Debian 12. Le versioni più vecchie possono ancora essere vulnerabili quando gli amministratori o gli script di automazione abilitano manualmente i tentativi.
La vulnerabilità è stata scoperta dal ricercatore di sicurezza Max Justicz ed è stata divulgata pubblicamente il 4 novembre 2026. Debian e Ubuntu hanno rilasciato aggiornamenti di sicurezza nello stesso giorno. Attualmente, nessun avviso del fornitore riporta lo sfruttamento del difetto in attacchi nel mondo reale.
I team di sicurezza possono utilizzare l’AI-Native Detection Intelligence Platform di SOC Prime per operazionalizzare l’intelligence sulle minacce e rafforzare le difese contro attacchi alla catena di fornitura del software, abusi del gestore di pacchetti, esecuzione di payload malevoli e attività post-compromesso negli ambienti SIEM, EDR, XDR e Data Lake.
Rileva CVE-2026-109518 monitorando cambiamenti sospetti nel traffico del repository di pacchetti, reindirizzamenti inaspettati o ripetuti fallimenti nel download dei pacchetti, installazioni di pacchetti anomale e nuovi processi privilegiati che si verificano immediatamente dopo un’attività APT.
Il contenuto di rilevamento potrebbe non essere disponibile per ogni CVE. Controlla la piattaforma SOC Prime per la copertura attuale. Se i rilevamenti pertinenti non sono ancora disponibili, controlla di nuovo poiché nuove informazioni sulle minacce e contenuti di rilevamento vengono continuamente aggiunti.
Analisi di CVE-2026-109518
CVE-2026-109518 influisce sulle implementazioni APT su Debian, Ubuntu e distribuzioni Linux derivate quando i file di pacchetto vengono scaricati su un percorso HTTP manipolabile da un attaccante e la funzionalità di ritentare è abilitata. Ubuntu classifica la vulnerabilità come Alta con un punteggio CVSS 4.0 di 7,7 e il vettore CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA.
APT è responsabile del download, della verifica e dell’installazione dei pacchetti sui sistemi Linux basati su Debian. L’autenticità dei pacchetti si basa normalmente sui meccanismi di firma dei repository Debian e Ubuntu progettati per garantire che i pacchetti forniti dai mirror non possano essere modificati silenziosamente da un intermediario non attendibile.
CVE-2026-109518 interrompe una parte importante di questo modello di fiducia in determinate condizioni di download.
La vulnerabilità si verifica quando APT gestisce i reindirizzamenti HTTP e riprova. Secondo l’avviso di Debian, APT può unire due download di pacchetti separati quando un reindirizzamento li porta a condividere lo stesso URI. Quando un download ha successivamente bisogno di essere ripreso, la gestione errata dei collegamenti rigidi riutilizzati può permettere al contenuto associato a un pacchetto già verificato di essere sovrascritto.
Un attaccante deve prima avere la capacità di manipolare il traffico HTTP tra la vittima e l’archivio dei pacchetti. Le posizioni potenziali includono un intermediario di rete malevolo o compromesso, un proxy, una rete Wi-Fi o un mirror del pacchetto. Ubuntu include esplicitamente mirror e proxy malevoli nel suo modello di minaccia.
L’attaccante può quindi utilizzare i reindirizzamenti insieme a errori HTTP temporanei per forzare APT nel suo percorso di ritentativo. Quando APT riprova il download del pacchetto, la falla nella gestione dei collegamenti rigidi può causare la sostituzione dei dati controllati dall’attaccante con il contenuto associato a un pacchetto che ha già superato la verifica.
Ciò consente al pacchetto malevolo di aggirare la protezione normalmente fornita dalle firme del repository.
L’impatto diventa particolarmente grave perché i pacchetti .deb possono contenere script di mantenimento eseguiti durante l’installazione. Questi script vengono eseguiti con privilegi root quando i pacchetti vengono installati, il che significa che un attaccante che sostituisce con successo un pacchetto può eseguire comandi con privilegi di sistema completi.
La vulnerabilità non significa che ogni host Debian o Ubuntu possa essere compromesso da remoto in qualsiasi momento. L’attacco richiede che il sistema vittima esegua un’installazione o un aggiornamento di pacchetti mentre l’attaccante può interferire con il percorso di rete.
Un altro prerequisito importante è Acquire::Retries.
APT utilizza questa opzione per determinare se i download falliti debbano essere riprovati automaticamente. Il comportamento vulnerabile richiede un valore superiore a zero. Gli sviluppatori APT di Debian affermano che i tentativi di riprova sono abilitati per impostazione predefinita da APT 2.3.2, mentre Ubuntu conferma che Ubuntu 22.04 LTS e versioni più recenti utilizzano un valore predefinito diverso da zero.
I sistemi più vecchi, quindi, non sono necessariamente sicuri. Sebbene Ubuntu 20.04 LTS e versioni precedenti non abilitino i tentativi per impostazione predefinita, la configurazione personalizzata, l’automazione del deployment o gli script dell’amministratore possono impostare manualmente Acquire::Retries rendendo tali sistemi sfruttabili.
La vulnerabilità esiste nel backend HTTP di APT e quindi si applica a tutti i frontend basati su APT, inclusi apt, apt-get, aptitude e le applicazioni grafiche di Ubuntu che utilizzano alla fine la stessa infrastruttura di gestione dei pacchetti. I pacchetti Snap non sono interessati poiché utilizzano un meccanismo di distribuzione diverso.
HTTPS modifica anche significativamente la superficie di attacco. Ubuntu afferma che TLS protegge contro questa vulnerabilità poiché l’attaccante deve essere in grado di modificare il traffico HTTP in transito. Le fonti di pacchetti accessibili esclusivamente tramite HTTPS correttamente convalidato sono quindi protette dal metodo di attacco documentato on-path. I meccanismi di trasporto FTP e non correlati non sono influenzati da questo problema specifico.
La situazione del PoC di CVE-2026-109518 dovrebbe essere interpretata con cautela. Gli avvisi ufficiali di Debian e Ubuntu non contengono collegamenti a un exploit pubblico dimostrante il compromesso completo con privilegi root, e non riportano sfruttamenti malevoli in natura. Tuttavia, le informazioni tecniche rilasciate dagli sviluppatori di APT spiegano abbastanza del comportamento di reindirizzamento, riprova e gestione dei collegamenti rigidi per consentire ai difensori di comprendere i requisiti dell’attacco.
La debolezza è associata alla gestione impropria dei collegamenti rigidi e a una condizione di time-of-check/time-of-use. La registrazione CVE la associa a CWE-62, Collegamento Rigido UNIX, e CWE-367, Condizione di Corsa Time-of-check Time-of-use.
Gli sviluppatori di APT hanno rilasciato versioni corrette attraverso più rami mantenuti:
| Ramo APT | Versione corretta |
| 1.2.x | 1.2.36 |
| 1.4.x | 1.4.12 |
| 1.6.x | 1.6.19 |
| 1.8.2.x | 1.8.2.4 |
| 2.0.x | 2.0.12 |
| 2.2.x | 2.2.5 |
| 2.4.x | 2.4.15 |
| 2.6.x | 2.6.2 |
| 2.8.x | 2.8.4 |
| 3.0.x | 3.0.4 |
| 3.2.x | 3.2.1 |
Debian 13 “Trixie” ha ricevuto APT 3.0.4, mentre Debian 12 “Bookworm” ha ricevuto la versione 2.6.2.
Ubuntu ha rilasciato i seguenti pacchetti corretti:
| Rilascio Ubuntu | Versione APT corretta |
| 26.10 | 3.3.3ubuntu0.1 |
| 26.04 LTS | 3.2.1ubuntu0.1 |
| 24.04 LTS | 2.8.4ubuntu0.1 |
| 22.04 LTS | 2.4.15ubuntu0.1 |
| 20.04 LTS | 2.0.12+esm1 |
| 18.04 LTS | 1.6.19+esm1 |
| 16.04 LTS | 1.2.36+esm1 |
| 14.04 LTS | 1.0.1ubuntu2.24+esm4 |
Gli aggiornamenti per le vecchie versioni di Ubuntu richiedono la copertura applicabile di Ubuntu Pro o Extended Security Maintenance.
Per il rilevamento di CVE-2026-109518, i team di sicurezza dovrebbero correlare l’attività di gestione dei pacchetti con la telemetria di rete e degli endpoint. Reindirizzamenti HTTP ripetuti, fallimenti temporanei nel download seguiti immediatamente da recuperi di pacchetti riusciti, destinazioni di repository inaspettate, o installazioni di pacchetti da percorsi di rete insoliti possono fornire punti d’indagine utili.
Il monitoraggio degli endpoint dovrebbe anche identificare processi figli insoliti generati durante o immediatamente dopo l’esecuzione di APT o dpkg. Poiché uno sfruttamento riuscito risulta in un pacchetto controllato dall’attaccante installato come root, l’esecuzione di shell sospette, nuovi servizi, file di sistema alterati, meccanismi di persistenza, creazione di utenti, accesso alle credenziali o connessioni in uscita inattese dopo l’installazione del pacchetto dovrebbero essere trattati come indicatori ad alta priorità.
I log di APT e dpkg possono fornire un contesto aggiuntivo. I difensori dovrebbero esaminare /var/log/apt/, /var/log/dpkg.log, i registri di sistema del journal, la telemetria dei proxy, i log DNS e i dati di sicurezza della rete intorno alle operazioni di pacchetto sospette. Confrontare le versioni dei pacchetti installati e i checksum con i repository delle distribuzioni fidate può aiutare a identificare modifiche inaspettate.
Al momento, gli avvisi dei fornitori non forniscono infrastruttura per gli attaccanti, hash di malware o IOC specifici per campagne CVE-2026-109518 perché Debian e Ubuntu non hanno segnalato sfruttamenti malevoli attivi. Il monitoraggio comportamentale è quindi più prezioso rispetto alla ricerca di una lista statica di IOC.
Mitigazione di CVE-2026-109518
La principale soluzione è installare il pacchetto APT aggiornato fornito da Debian, Ubuntu o dalla distribuzione derivata pertinente. Gli amministratori non dovrebbero fare affidamento esclusivamente sui controlli di rete poiché l’implementazione corretta di APT impedisce al bypass di verifica del pacchetto alla sua fonte.
Ubuntu raccomanda di aggiornare tutti i pacchetti installati disabilitando esplicitamente i tentativi durante il processo di aggiornamento:
sudo apt update && sudo apt upgrade -o Acquire::Retries=0
Le organizzazioni che non possono eseguire un aggiornamento completo del sistema possono mirare solo ad APT:
sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’
Impostare i tentativi a zero durante questa operazione impedisce che il percorso vulnerabile di ritentativo venga utilizzato mentre l’aggiornamento di sicurezza stesso viene scaricato e installato.
I team di sicurezza dovrebbero seguire i seguenti passaggi:
- Inventario dei sistemi Linux Debian, Ubuntu e derivati che utilizzano APT.
- Identificare la versione di APT installata e confrontarla con la versione corretta fornita dal fornitore.
- Dare priorità ai sistemi connessi a Internet e agli ambienti che utilizzano mirror dei pacchetti di terze parti, non attendibili o della comunità.
- Applica l’aggiornamento di sicurezza del fornitore con Acquire::Retries=0.
- Conferma che il pacchetto APT corretto sia installato.
- Revisionare /etc/apt/sources.list e i file sotto /etc/apt/sources.list.d/ per i repository HTTP inattesi.
- Spostare le fonti dei pacchetti da HTTP a HTTPS dove supportato.
- Revisionare l’infrastruttura dei proxy e dei mirror dei pacchetti per segni di compromissione o modifica non autorizzata.
- Indagare su installazioni di pacchetti inaspettate avvenute prima che il fix fosse distribuito.
Ubuntu conferma che cambiare i repository dei pacchetti in HTTPS fornisce protezione contro l’attacco documentato poiché lo sfruttamento richiede la modifica del traffico HTTP. Gli amministratori dovrebbero prima verificare che i mirror del repository selezionato supportino TLS e poi eseguire sudo apt update per assicurarsi che la configurazione operi senza errori.
L’utilizzo di HTTPS dovrebbe essere trattato come una difesa in profondità piuttosto che un sostituto per l’aggiornamento di APT. I sistemi potrebbero successivamente utilizzare un altro repository, proxy, flusso di lavoro di automazione o endpoint HTTP, quindi l’installazione del pacchetto corretto rimane necessaria.
Impostare temporaneamente Acquire::Retries a zero fornisce un’altra soluzione efficace contro la condizione di sfruttamento documentata. Poiché la falla dipende dal fatto che APT riprovi un download fallito, disabilitare i tentativi impedisce che il percorso del codice vulnerabile venga raggiunto. Tuttavia, questa impostazione può ridurre l’affidabilità del download dei pacchetti e dovrebbe essere utilizzata principalmente durante l’applicazione dell’effettivo aggiornamento di sicurezza.
Le organizzazioni che utilizzano aggiornamenti automatici dovrebbero verificare la distribuzione delle patch piuttosto che presumere che ogni macchina sia già stata corretta. Ubuntu nota che unattended-upgrades è abilitato per impostazione predefinita da Ubuntu 16.04 LTS in poi e normalmente applica gli aggiornamenti di sicurezza entro 24 ore, ma la gestione delle flotte, le restrizioni di rete, le configurazioni personalizzate dei repository o i servizi disabilitati possono impedire l’installazione riuscita.
Se si sospetta un compromesso, gli amministratori dovrebbero conservare i log di APT, dpkg, proxy, rete e sistema prima della rimedio. Esaminare i pacchetti installati durante la finestra di esposizione sospetta, validare la provenienza dei pacchetti, ispezionare gli script dei responsabili e indagare su eventuali processi a livello root o meccanismi di persistenza stabiliti immediatamente dopo.
Poiché un pacchetto malevolo può eseguire comandi arbitrari come root, uno sfruttamento confermato dovrebbe essere trattato come un completo compromesso del sistema. Ricostruire l’host compromesso da un supporto di fiducia potrebbe essere più affidabile del tentativo di rimuovere artefatti individuali, specialmente quando l’attaccante potrebbe aver modificato binari di sistema, servizi, configurazioni di autenticazione o componenti a livello del kernel.
FAQ
Cos’è CVE-2026-109518 e come funziona?
CVE-2026-109518 è un bypass di verifica dei pacchetti di alta gravità in APT. Un attaccante on-path che può manipolare il traffico HTTP può utilizzare reindirizzamenti ed errori di download temporanei per far sì che APT riprova il download di un pacchetto. La gestione impropria dei collegamenti rigidi può quindi permettere che il contenuto controllato dall’attaccante sostituisca un pacchetto dopo la verifica. Quando il .deb malevolo viene installato, i suoi script possono essere eseguiti con privilegi root.
Quando è stato scoperto per la prima volta CVE-2026-109518?
Il ricercatore di sicurezza Max Justicz ha scoperto e segnalato responsabilmente la vulnerabilità. Gli avvisi disponibili di Debian e Ubuntu non forniscono la data esatta del rapporto privato originale. Il CVE è stato riservato il 12 ottobre 2026 e divulgato pubblicamente con gli aggiornamenti di sicurezza del fornitore il 4 novembre 2026.
Qual è l’impatto di CVE-2026-109518 sui sistemi?
Uno sfruttamento riuscito consente a un attaccante che controlla il percorso di rete o uno specchio dei pacchetti malevolo di installare un pacchetto .deb non verificato. Poiché gli script di installazione dei pacchetti vengono eseguiti con privilegi root, l’attaccante può potenzialmente ottenere il compromesso completo del sistema, inclusi il furto di dati, la persistenza, l’accesso alle credenziali, la modifica dei controlli di sicurezza e l’esecuzione di comandi arbitrari.
CVE-2026-109518 può ancora colpirmi nel 2026?
Sì. Qualsiasi sistema vulnerabile che non abbia ricevuto il pacchetto APT corretto può rimanere esposto quando i tentativi sono abilitati e il traffico dei pacchetti può essere manipolato su HTTP. Ubuntu 22.04 LTS e versioni più recenti sono vulnerabili nella loro configurazione di riprova predefinita, mentre i sistemi più vecchi possono diventare esposti se gli amministratori abilitano Acquire::Retries. Al 5 novembre 2026, gli avvisi dei fornitori esaminati non riportano sfruttamenti confermati nel mondo reale.
Come posso proteggermi da CVE-2026-109518?
Installa immediatamente il pacchetto APT corretto fornito da Debian, Ubuntu o dalla tua distribuzione Linux. Disabilita i tentativi con Acquire::Retries=0 mentre applichi l’aggiornamento e utilizza i repository dei pacchetti HTTPS dove possibile supportato. Esamina le installazioni dei pacchetti effettuate prima della rimedio per attività sospette e monitora gli avvisi dei fornitori per i dettagli aggiornati su CVE-2026-109518 man mano che ulteriori ricerche diventano disponibili.
