CVE-2026-109518: APT-Schwachstelle ermöglicht MitM Root-Code-Ausführung

Eine Sicherheitslücke mit hoher Schweregrad in APT, dem von Debian, Ubuntu und abgeleiteten Linux-Distributionen verwendeten Paketverwaltungssystem, könnte einem Angreifer in der Lage auf dem Pfad erlauben, ein verifiziertes Softwarepaket durch ein bösartiges zu ersetzen und beliebigen Code mit Root-Rechten auszuführen. Die Schwachstelle, die als CVE-2026-109518 verfolgt wird, hat einen CVSS-4.0-Score von 7,7 und betrifft das HTTP-Download- und Wiederholungsverhalten von APT.

Die Schwachstelle wird durch unsachgemäße Handhabung von Hardlinks verursacht, wenn APT HTTP-Redirects folgt und fehlgeschlagene Paketdownloads wiederholt. Unter den richtigen Bedingungen können zwei verschiedene Downloads zusammengeführt werden, nachdem ein Redirect sie zur gleichen URI aufgelöst hat. Ein Angreifer, der den Verkehr zwischen einem APT-Client und einem Repository manipulieren kann, kann dieses Verhalten ausnutzen, um ein vom Angreifer kontrolliertes .deb-Paket zu ersetzen, nachdem die Verifizierung bereits stattgefunden hat.

Da Debian-Pakete Installationsskripte mit Root-Rechten ausführen können, kann eine erfolgreiche Ausnutzung zum vollständigen Systemkompromittieren führen. Die Ausnutzung erfordert jedoch mehrere Bedingungen: Das Opfer muss eine Paketinstallation initiieren, APT muss über manipulierbares HTTP kommunizieren und die Acquire::Retries-Option muss auf einen Wert ungleich null gesetzt sein.

Ubuntu 22.04 LTS und neuere Versionen sind standardmäßig ausgesetzt, da Wiederholungen aktiviert sind. Debian hat seit APT 2.3.2 ebenfalls standardmäßig Wiederholungen aktiviert, einschließlich Debian 12. Ältere Versionen können weiterhin anfällig sein, wenn Administratoren oder Automatisierungsskripte manuell Wiederholungen aktivieren.

Vertrieb kontaktieren

Die Schwachstelle wurde vom Sicherheitsforscher Max Justicz entdeckt und am 4. November 2026 öffentlich bekannt gegeben. Debian und Ubuntu haben am selben Tag Sicherheitsupdates veröffentlicht. Weder die Sicherheitsmeldungen der Anbieter berichten derzeit über eine Ausnutzung der Schwachstelle in realen Angriffen.

Sicherheitsteams können die AI-Native Detection Intelligence Platform von SOC Prime nutzen, um Bedrohungsinformationen zu operationalisieren und Abwehrmaßnahmen gegen Angriffe auf die Software-Lieferkette, Missbrauch des Paketmanagers, Ausführung bösartiger Nutzdaten und Aktivitäten nach dem Kompromittieren über SIEM-, EDR-, XDR- und Data-Lake-Umgebungen zu stärken.

Erkennen Sie CVE-2026-109518, indem Sie verdächtige Änderungen im Paket-Repository-Verkehr, unerwartete Redirects oder wiederholte Paket-Download-Fehler, anomale Paketinstallationen und neue privilegierte Prozesse überwachen, die unmittelbar nach APT-Aktivitäten auftreten.

Erkennungsinhalte sind möglicherweise nicht für jede CVE verfügbar. Überprüfen Sie die SOC Prime Platform auf aktuelle Abdeckung. Wenn relevante Erkennungen noch nicht verfügbar sind, überprüfen Sie erneut, da kontinuierlich neue Bedrohungsinformationen und Erkennungsinhalte hinzugefügt werden.

Analyse von CVE-2026-109518

CVE-2026-109518 betrifft APT-Abweichungen auf Debian-, Ubuntu- und abgeleiteten Linux-Distributionen, wenn Paketdateien über einen vom Angreifer manipulierbaren HTTP-Pfad heruntergeladen werden und die Wiederholungsfunktionalität aktiviert ist. Ubuntu klassifiziert die Schwachstelle als Hoch mit einem CVSS-4.0-Score von 7,7 und dem Vektor CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA.

APT ist für das Herunterladen, Verifizieren und Installieren von Paketen auf Debian-basierten Linux-Systemen verantwortlich. Die Paketauthentizität stützt sich normalerweise auf die Signaturmechanismen der Debian- und Ubuntu-Repositories, die sicherstellen sollen, dass Pakete, die von Spiegelservern geliefert werden, nicht stillschweigend von einem nicht vertrauenswürdigen Vermittler geändert werden können.

CVE-2026-109518 unterbricht einen wichtigen Teil dieses Vertrauensmodells unter bestimmten Download-Bedingungen.

Die Schwachstelle tritt auf, wenn APT HTTP-Redirects und Wiederholungen handhabt. Laut der Beratung von Debian kann APT zwei separate Paketdownloads zusammenführen, wenn ein Redirect dazu führt, dass sie dieselbe URI teilen. Wenn ein Download anschließend fortgesetzt werden muss, kann die unsachgemäße Handhabung wiederverwendeter Hardlinks dazu führen, dass der Inhalt eines bereits verifizierten Pakets überschrieben wird.

Ein Angreifer benötigt zuerst die Fähigkeit, den HTTP-Verkehr zwischen dem Opfer und dem Paketarchiv zu manipulieren. Potenzielle Positionen umfassen einen bösartigen oder kompromittierten Netzwerkvermittler, Proxy, Wi-Fi-Netzwerk oder Paketspiegel. Ubuntu schließt ausdrücklich bösartige Spiegel und Proxys in sein Bedrohungsmodell ein.

Der Angreifer kann dann Redirects zusammen mit vorübergehenden HTTP-Fehlern verwenden, um APT in seinen Wiederholungspfad zu zwingen. Wenn APT den Paketdownload wiederholt, kann der Fehler in der Hardlink-Händelung dazu führen, dass vom Angreifer kontrollierte Daten den Inhalt ersetzen, der einem bereits verifizierten Paket zugeordnet ist.

Dies ermöglicht es dem bösartigen Paket, den Schutz zu umgehen, der normalerweise durch Repository-Signaturen bereitgestellt wird.

Die Auswirkung wird besonders schwerwiegend, da .deb-Pakete Maintainerskripte enthalten können, die während der Installation ausgeführt werden. Diese Skripte laufen mit Root-Rechten, wenn Pakete installiert werden, was bedeutet, dass ein Angreifer, der erfolgreich ein Paket ersetzt, Befehle mit vollen Systemprivilegien ausführen kann.

Die Schwachstelle bedeutet nicht, dass jeder Debian- oder Ubuntu-Host jederzeit aus der Ferne kompromittiert werden kann. Der Angriff erfordert, dass das Opfersystem eine Paketinstallation oder ein Upgrade durchführt, während der Angreifer den Netzwerkpfad beeinträchtigen kann.

Ein weiteres wichtiges Kriterium ist Acquire::Retries.

APT verwendet diese Option, um zu bestimmen, ob fehlgeschlagene Downloads automatisch wiederholt werden sollen. Das anfällige Verhalten erfordert einen Wert größer null. Die APT-Entwickler von Debian geben an, dass Wiederholungen seit APT 2.3.2 standardmäßig aktiviert sind, während Ubuntu bestätigt, dass Ubuntu 22.04 LTS und neuere Versionen einen Standardwert ungleich null verwenden.

Ältere Systeme sind daher nicht notwendigerweise sicher. Obwohl Ubuntu 20.04 LTS und frühere Versionen standardmäßig keine Wiederholungen aktivieren, können benutzerdefinierte Konfigurationen, Bereitstellungsautomatisierungen oder Administratorenskripte Acquire::Retries manuell einstellen und diese Systeme anfällig machen.

Die Schwachstelle existiert im HTTP-Backend von APT und gilt daher für APT-basierte Frontends, einschließlich apt, apt-get, aptitude und grafische Ubuntu-Anwendungen, die letztendlich dieselbe zugrunde liegende Paketverwaltungsinfrastruktur verwenden. Snap-Pakete sind nicht betroffen, da sie einen anderen Distributionsmechanismus verwenden.

HTTPS verändert die Angriffsfläche ebenfalls erheblich. Ubuntu gibt an, dass TLS gegen diese Schwachstelle schützt, da der Angreifer in der Lage sein muss, HTTP-Verkehr während des Transports zu ändern. Paketquellen, die ausschließlich über ordnungsgemäß geprüfte HTTPS-Verbindungen erreicht werden, sind daher vor der dokumentierten Angriffsmethode geschützt. FTP und nicht verwandte Transportmechanismen sind von diesem spezifischen Problem nicht betroffen.

Die PoC-Situation von CVE-2026-109518 sollte sorgfältig interpretiert werden. Die offiziellen Sicherheitsmeldungen von Debian und Ubuntu verlinken nicht auf einen öffentlichen Exploit, der einen vollständigen Root-Kompromiss demonstriert, und sie berichten nicht von bösartiger Ausnutzung in freier Wildbahn. Die von APT-Entwicklern veröffentlichte technische Information erklärt dennoch genug über das Verhalten von Redirects, Wiederholungen und Hardlinks, damit Verteidiger die Angriffsanforderungen verstehen können.

Die Schwäche ist mit unsachgemäßer Hardlink-Händelung und einem Zeit-der-Prüfung/Zeit-der-Nutzung-Bedingung verbunden. Der CVE-Datensatz ordnet sie CWE-62, UNIX-Hardlink, und CWE-367, Race Condition bei der Zeit-der-Prüfung/Zeit-der-Nutzung, zu.

APT-Entwickler haben Korrekturversionen über mehrere gewartete Zweige veröffentlicht:

Debian 13 „Trixie“ erhielt APT 3.0.4, während Debian 12 „Bookworm“ Version 2.6.2 erhielt.

Ubuntu veröffentlichte die folgenden korrigierten Pakete:

Updates für ältere Ubuntu-Versionen erfordern die anwendbare Ubuntu Pro oder Extended Security Maintenance Unterstützung.

Für die Erkennung von CVE-2026-109518 sollten Sicherheitsteams Paketverwaltungsaktivitäten mit Netzwerk- und Endpunkt-Telemetrie korrelieren. Wiederholte HTTP-Redirects, vorübergehende Download-Fehler, die unmittelbar von einem erfolgreichen Paketabruf gefolgt werden, unerwartete Repository-Ziele oder Paketinstallationen aus ungewöhnlichen Netzwerkpfaden können nützliche Untersuchungsansätze bieten.

Die Überwachung von Endpunkten sollte auch ungewöhnliche Kindprozesse identifizieren, die während oder unmittelbar nach der Ausführung von APT oder dpkg gestartet werden. Da eine erfolgreiche Ausnutzung dazu führt, dass ein vom Angreifer kontrolliertes Paket als Root installiert wird, sollten verdächtige Shell-Ausführungen, neue Dienste, geänderte Systemdateien, Persistenzmechanismen, Benutzererstellung, Anmeldezugangsversuche oder unerwartete ausgehende Verbindungen nach der Paketinstallation als hochpriorisierte Indikatoren behandelt werden.

APT- und dpkg-Logs können zusätzlichen Kontext bieten. Verteidiger sollten /var/log/apt/, /var/log/dpkg.log, Systemjournalaufzeichnungen, Proxy-Telemetrie, DNS-Logs und Netzwerksicherheitsdaten rund um verdächtige Paketoperationen überprüfen. Der Vergleich installierter Paketversionen und Prüfsummen mit vertrauenswürdigen Distributions-Repositories kann helfen, unerwartete Modifikationen aufzudecken.

Derzeit bieten Sicherheitsmeldungen der Anbieter keine Angreiferinfrastruktur, Malware-Hashes oder kampagnenspezifische IOCs für CVE-2026-109518, da Debian und Ubuntu keine aktiven bösartigen Ausnutzungen gemeldet haben. Verhaltensüberwachung ist daher wertvoller als die Suche nach einer statischen IOC-Liste.

Minderung von CVE-2026-109518

Die primäre Gegenmaßnahme besteht darin, das von Debian, Ubuntu oder der entsprechenden abgeleiteten Distribution bereitgestellte aktualisierte APT-Paket zu installieren. Administratoren sollten sich nicht ausschließlich auf Netzwerkkontrollen verlassen, da die korrigierte APT-Implementierung das Umgehen der Paketverifizierung an ihrer Quelle verhindert.

Ubuntu empfiehlt, alle installierten Pakete zu aktualisieren und dabei Wiederholungen während des Updates explizit zu deaktivieren:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Organisationen, die kein vollständiges Systemupgrade durchführen können, können sich gezielt auf APT selbst konzentrieren:

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‚?source-package(^apt$)‘

Die Einstellung von Wiederholungen auf null während dieser Operation verhindert, dass der anfällige Wiederholungspfad genutzt wird, während das Sicherheitsupdate heruntergeladen und installiert wird.

Sicherheitsteams sollten die folgenden Schritte unternehmen:

1. Inventarisieren Sie Debian-, Ubuntu- und abgeleitete Linux-Systeme, die APT verwenden.
2. Identifizieren Sie die installierte APT-Version und vergleichen Sie sie mit der vom Anbieter korrigierten Version.
3. Priorisieren Sie systeme, die mit dem Internet verbunden sind, und Umgebungen, die unzuverlässige, Drittanbieter- oder Community-Paketspiegel verwenden.
4. Wenden Sie das Sicherheitsupdate des Anbieters mit Acquire::Retries=0 an.
5. Bestätigen Sie, dass das korrigierte APT-Paket installiert ist.
6. Überprüfen Sie /etc/apt/sources.list und Dateien unter /etc/apt/sources.list.d/ auf unerwartete HTTP-Repositories.
7. Verschieben Sie Paketquellen von HTTP zu HTTPS, wo unterstützt.
8. Überprüfen Sie die Proxy- und Paketspiegelinfrastruktur auf Anzeichen von Kompromittierung oder unbefugten Änderungen.
9. Untersuchen Sie unerwartete Paketinstallationen, die vor dem Bereitstellen der Korrektur erfolgt sind.

Ubuntu bestätigt, dass das Ändern von Paket-Repositories zu HTTPS Schutz vor dem dokumentierten Angriff bietet, da die Ausnutzung eine Änderung des HTTP-Verkehrs erfordert. Administratoren sollten zuerst überprüfen, ob ihre ausgewählten Spiegel TLS unterstützen und dann sudo apt update ausführen, um sicherzustellen, dass die Konfiguration fehlerfrei funktioniert.

Die Verwendung von HTTPS sollte als Verteidigung in die Tiefe betrachtet werden, anstatt als Ersatz für die Aktualisierung von APT. Systeme können später ein anderes Repository, Proxy, Automatisierungsworkflow oder HTTP-Endpunkt verwenden, daher bleibt die Installation des korrigierten Paketes notwendig.

Das vorübergehende Setzen von Acquire::Retries auf null bietet einen weiteren wirksamen Workaround gegen die dokumentierte Ausnutzungsbedingung. Da der Fehler davon abhängt, dass APT einen fehlgeschlagenen Download wiederholt, verhindert das Deaktivieren von Wiederholungen das Erreichen des anfälligen Codepfads. Diese Einstellung kann jedoch die Zuverlässigkeit von Paketdownloads verringern und sollte in erster Linie während der Anwendung des eigentlichen Sicherheitsupdates verwendet werden.

Organisationen, die automatische Upgrades verwenden, sollten die Patch-Bereitstellung überprüfen, anstatt anzunehmen, dass bereits alle Maschinen korrigiert wurden. Ubuntu weist darauf hin, dass unattended-upgrades ab Ubuntu 16.04 LTS standardmäßig aktiviert ist und normalerweise Sicherheitsupdates innerhalb von 24 Stunden anwendet, aber Flottenmanagement, Netzwerkeinschränkungen, benutzerdefinierte Repository-Konfigurationen oder deaktivierte Dienste können eine erfolgreiche Installation verhindern.

Wenn ein Kompromittieren vermutet wird, sollten Administratoren APT-, dpkg-, Proxy-, Netzwerk- und Systemprotokolle vor der Behebung aufbewahren. Überprüfen Sie Pakete, die während des vermuteten Gefährdungszeitraums installiert wurden, validieren Sie die Herkunft der Pakete, inspizieren Sie die Maintainerskripte und untersuchen Sie alle unmittelbar danach ausgeführten Root-Prozesse oder bestandene Persistenzmechanismen.

Da ein bösartiges Paket beliebige Befehle als Root ausführen kann, sollte eine bestätigte Ausnutzung als vollständiger Systemkompromiss behandelt werden. Das Wiederherstellen des betroffenen Hosts von vertrauenswürdigen Medien könnte zuverlässiger sein als der Versuch, einzelne Artefakte zu entfernen, insbesondere wenn der Angreifer möglicherweise System-Binaries, Dienste, Authentifizierungskonfiguration oder Kernel-Komponenten geändert hat.