CVE-2026-109518: Falha APT Permite Execução de Código Root em MitM

Uma vulnerabilidade de alta gravidade no APT, o sistema de gerenciamento de pacotes usado por Debian, Ubuntu, e distribuições Linux derivadas, pode permitir que um invasor no caminho substitua um pacote de software verificado por um malicioso e execute código arbitrário com privilégios de root. Rastreada como CVE-2026-109518, a falha possui uma pontuação CVSS 4.0 de 7,7 e afeta o manuseio de downloads e tentativas de repetição HTTP do APT.

A vulnerabilidade é causada pelo manuseio inadequado de hard links quando o APT segue redirecionamentos HTTP e tenta novamente downloads de pacotes falhados. Sob as condições certas, dois downloads diferentes podem ser mesclados após um redirecionamento fazê-los resolver para o mesmo URI. Um atacante capaz de manipular o tráfego entre um cliente APT e um repositório pode abusar desse comportamento para substituir um pacote .deb controlado pelo atacante após a verificação já ter ocorrido.

Como pacotes Debian podem executar scripts de instalação com privilégios de root, a exploração bem-sucedida pode resultar em comprometimento completo do sistema. No entanto, a exploração exige várias condições: a vítima deve iniciar uma instalação de pacote, o APT deve se comunicar por HTTP manipulável, e a opção Acquire::Retries deve estar definida para um valor diferente de zero.

O Ubuntu 22.04 LTS e versões mais recentes estão expostas por padrão porque as tentativas são habilitadas. O Debian tem habilitado tentativas por padrão desde o APT 2.3.2, incluindo o Debian 12. Versões mais antigas ainda podem ser vulneráveis quando administradores ou scripts de automação habilitam manualmente as tentativas.

Contate o Vendas

A vulnerabilidade foi descoberta pelo pesquisador de segurança Max Justicz e divulgada publicamente em 4 de novembro de 2026. Debian e Ubuntu lançaram atualizações de segurança no mesmo dia. Nenhuma das advisórias dos fornecedores atualmente relata exploração da falha em ataques no mundo real.

As equipes de segurança podem usar a Plataforma de Inteligência de Detecção Nativa em IA da SOC Prime para operacionalizar a inteligência de ameaças e fortalecer defesas contra ataques à cadeia de suprimentos de software, abuso de gerenciadores de pacotes, execução de cargas maliciosas e atividades pós-comprometimento em ambientes SIEM, EDR, XDR e Data Lake.

Detecte o CVE-2026-109518 monitorando mudanças suspeitas no tráfego de repositório de pacotes, redirecionamentos inesperados ou falhas repetidas de download de pacotes, instalações anômalas de pacotes e novos processos privilegiados ocorrendo imediatamente após a atividade do APT.

O conteúdo de detecção pode não estar disponível para todos os CVEs. Verifique a Plataforma SOC Prime para cobertura atual. Se as detecções relevantes ainda não estiverem disponíveis, verifique novamente, pois novas inteligência de ameaças e conteúdo de detecção são continuamente adicionados.

Análise do CVE-2026-109518

O CVE-2026-109518 afeta implantações do APT no Debian, Ubuntu e distribuições Linux derivadas quando arquivos de pacotes são baixados por um caminho HTTP manipulável pelo atacante e a funcionalidade de repetição está habilitada. O Ubuntu classifica a vulnerabilidade como Alta com uma pontuação CVSS 4.0 de 7,7 e o vetor CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA.

O APT é responsável por baixar, verificar e instalar pacotes em sistemas Linux baseados em Debian. A autenticidade dos pacotes normalmente depende de mecanismos de assinatura de repositórios Debian e Ubuntu projetados para garantir que pacotes entregues por espelhos não possam ser modificados silenciosamente por um intermediário não confiável.

O CVE-2026-109518 quebra uma parte importante desse modelo de confiança sob condições específicas de download.

A vulnerabilidade ocorre quando o APT lida com redirecionamentos HTTP e tentativas de repetição. De acordo com o aviso do Debian, o APT pode mesclar dois downloads de pacotes separados quando um redirecionamento os faz compartilhar o mesmo URI. Quando um download subsequente precisa ser retomado, o manuseio incorreto de hard links reutilizados pode permitir que o conteúdo associado a um pacote já verificado seja sobrescrito.

Um invasor primeiro precisa da capacidade de manipular o tráfego HTTP entre a vítima e o arquivo de pacotes. Posições potenciais incluem um intermediário de rede malicioso ou comprometido, proxy, rede Wi-Fi ou espelho de pacotes. O Ubuntu inclui explicitamente espelhos maliciosos e proxies em seu modelo de ameaça.

O atacante pode então usar redirecionamentos junto com erros HTTP transitórios para forçar o APT em seu caminho de repetição. Quando o APT tenta novamente o download do pacote, a falha no manuseio de hard-links pode fazer com que dados controlados pelo atacante substituam o conteúdo associado a um pacote que já passou pela verificação.

Isso permite que o pacote malicioso contorne a proteção normalmente fornecida pelas assinaturas de repositório.

O impacto torna-se particularmente grave porque pacotes .deb podem conter scripts de mantenedor executados durante a instalação. Esses scripts são executados com privilégios de root quando os pacotes são instalados, significando que um atacante que substitui com sucesso um pacote pode executar comandos com privilégios totais do sistema.

A vulnerabilidade não significa que todo host Debian ou Ubuntu pode ser comprometido remotamente a qualquer momento. O ataque requer que o sistema da vítima execute uma instalação ou atualização de pacote enquanto o atacante pode interferir no caminho da rede.

Outro pré-requisito importante é Acquire::Retries.

O APT usa esta opção para determinar se downloads falhos devem ser tentados novamente automaticamente. O comportamento vulnerável requer um valor maior que zero. Os desenvolvedores do APT do Debian afirmam que as tentativas são habilitadas por padrão desde o APT 2.3.2, enquanto o Ubuntu confirma que o Ubuntu 22.04 LTS e versões mais recentes usam um valor padrão diferente de zero.

Sistemas mais antigos, portanto, não são necessariamente seguros. Embora o Ubuntu 20.04 LTS e versões anteriores não habilitem tentativas por padrão, configurações personalizadas, automação de implantação ou scripts de administrador podem definir Acquire::Retries manualmente e tornar esses sistemas exploráveis.

A vulnerabilidade existe no backend HTTP do APT e, portanto, aplica-se em interfaces baseadas em APT, incluindo apt, apt-get, aptitude e aplicações gráficas do Ubuntu que, em última análise, usam a mesma infraestrutura de gerenciamento de pacotes subjacente. Pacotes Snap não são afetados porque usam um mecanismo de distribuição diferente.

O HTTPS também altera significativamente a superfície de ataque. O Ubuntu afirma que o TLS protege contra essa vulnerabilidade porque o atacante deve ser capaz de modificar o tráfego HTTP em trânsito. Fontes de pacotes acessadas exclusivamente por HTTPS devidamente validado estão, portanto, protegidas contra o método de ataque em caminho documentado. FTP e mecanismos de transporte não relacionados não são afetados por este problema específico.

A situação de PoC do CVE-2026-109518 deve ser interpretada com cuidado. As orientações oficiais do Debian e do Ubuntu não vinculam a um exploit público demonstrando comprometimento total do root, e não há relatos de exploração maliciosa no campo. As informações técnicas divulgadas pelos desenvolvedores do APT, no entanto, explicam o suficiente sobre o comportamento de redirecionamento, repetição e hard-link para que os defensores compreendam os requisitos do ataque.

A fraqueza está associada ao manuseio inadequado de hard links e uma condição de verificação de tempo/uso de tempo. O registro do CVE o mapeia para CWE-62, Hard Link UNIX, e CWE-367, Condição de Corrida de Verificação de Tempo/Uso de Tempo.

Os desenvolvedores do APT lançaram versões corrigidas em vários ramos mantidos:

Ramificação do APT	Versão corrigida
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

O Debian 13 “Trixie” recebeu o APT 3.0.4, enquanto o Debian 12 “Bookworm” recebeu a versão 2.6.2.

O Ubuntu lançou os seguintes pacotes corrigidos:

Versão do Ubuntu	Versão corrigida do APT
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

Atualizações para lançamentos mais antigos do Ubuntu exigem a cobertura Ubuntu Pro ou Manutenção Estendida de Segurança aplicável.

Para detecção do CVE-2026-109518, as equipes de segurança devem correlacionar atividades de gerenciamento de pacotes com telemetria de rede e endpoint. Redirecionamentos HTTP repetidos, falhas de download transitórias imediatamente seguidas por recuperação bem-sucedida de pacotes, destinos de repositório inesperados ou instalação de pacotes de caminhos de rede incomuns podem fornecer pivôs de investigação úteis.

O monitoramento de endpoint também deve identificar processos filho incomuns gerados durante ou imediatamente após a execução do APT ou dpkg. Como a exploração bem-sucedida resulta na instalação de um pacote controlado pelo atacante como root, execução suspeita de shell, novos serviços, arquivos de sistema alterados, mecanismos de persistência, criação de usuários, acesso a credenciais ou conexões de saída inesperadas após a instalação do pacote devem ser tratadas como indicadores de alta prioridade.

Logs do APT e dpkg podem fornecer contexto adicional. Os defensores devem revisar /var/log/apt/, /var/log/dpkg.log, registros do diário do sistema, telemetria de proxy, logs de DNS e dados de segurança de rede em torno de operações de pacotes suspeitas. Comparar versões de pacotes instalados e checksums com repositórios de distribuição confiáveis pode ajudar a identificar modificações inesperadas.

No momento, as orientações dos fornecedores não fornecem infraestrutura do atacante, hashes de malware ou IOCs específicos de campanhas para o CVE-2026-109518 porque o Debian e o Ubuntu não relataram exploração maliciosa ativa. O monitoramento comportamental é, portanto, mais valioso do que procurar uma lista de IOCs estática.

Mitigação do CVE-2026-109518

A principal remediação é instalar o pacote APT atualizado fornecido pelo Debian, Ubuntu ou a distribuição derivada relevante. Os administradores não devem confiar apenas em controles de rede porque a implementação do APT corrigida impede o bypass de verificação de pacotes em sua origem.

O Ubuntu recomenda atualizar todos os pacotes instalados enquanto desativa explicitamente as tentativas durante o processo de atualização:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Organizações que não podem realizar uma atualização completa do sistema podem direcionar o próprio APT:

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’

Definir tentativas para zero durante esta operação impede que o caminho de repetição vulnerável seja usado enquanto a própria atualização de segurança é baixada e instalada.

As equipes de segurança devem tomar as seguintes etapas:

1. Inventariar sistemas Linux Debian, Ubuntu e derivados que usam APT.
2. Identificar a versão do APT instalada e compará-la com a versão corrigida do fornecedor.
3. Priorizar sistemas conectados à internet e ambientes que usam espelhos de pacotes não confiáveis, de terceiros ou da comunidade.
4. Aplicar a atualização de segurança do fornecedor com Acquire::Retries=0.
5. Confirmar que o pacote APT corrigido está instalado.
6. Revisar /etc/apt/sources.list e arquivos em /etc/apt/sources.list.d/ em busca de repositórios HTTP inesperados.
7. Mover fontes de pacotes de HTTP para HTTPS, onde suportado.
8. Revisar a infraestrutura de proxy e espelho de pacotes em busca de sinais de comprometimento ou modificação não autorizada.
9. Investigar instalações de pacotes inesperadas que ocorreram antes da correção ser implantada.

O Ubuntu confirma que mudar repositórios de pacotes para HTTPS oferece proteção contra o ataque documentado porque a exploração requer modificação do tráfego HTTP. Os administradores devem primeiro verificar se os espelhos de repositório selecionados suportam TLS e então executar sudo apt update para garantir que a configuração opere sem erros.

Usar HTTPS deve ser tratado como uma defesa em profundidade, em vez de um substituto para atualizar o APT. Os sistemas podem posteriormente usar outro repositório, proxy, fluxo de trabalho de automação ou endpoint HTTP, então a instalação do pacote corrigido continua necessária.

Definir temporariamente Acquire::Retries para zero fornece uma solução alternativa eficaz contra a condição de exploração documentada. Como a falha depende do APT tentar novamente um download falhado, desabilitar as tentativas impede que o caminho do código vulnerável seja alcançado. No entanto, essa configuração pode reduzir a confiabilidade do download de pacotes e deve ser usada principalmente ao aplicar a atualização de segurança real.

Organizações que usam atualizações automáticas devem verificar a implantação do patch em vez de assumir que todas as máquinas já foram corrigidas. O Ubuntu observa que unattended-upgrades está habilitado por padrão a partir do Ubuntu 16.04 LTS e normalmente aplica atualizações de segurança em 24 horas, mas gestão de frotas, restrições de rede, configurações de repositório personalizado ou serviços desabilitados podem impedir a instalação bem-sucedida.

Se for suspeita uma violação, os administradores devem preservar logs do APT, dpkg, proxy, rede e sistema antes da remediação. Revise pacotes instalados durante a janela suspeita de exposição, valide a proveniência do pacote, inspecione scripts de mantenedor e investigue quaisquer processos de nível root ou persistência estabelecidos imediatamente depois.

Como um pacote malicioso pode executar comandos arbitrários como root, a exploração confirmada deve ser tratada como comprometimento completo do sistema. Reconstruir o host afetado a partir de mídia confiável pode ser mais confiável do que tentar remover artefatos individuais, especialmente quando o atacante poderia ter modificado binários de sistema, serviços, configuração de autenticação ou componentes em nível de kernel.