CVE-2026-109518：APT漏洞使中间人攻击实现根代码执行

在APT中发现的一个高危漏洞，这是一种用于Debian、Ubuntu和衍生Linux发行版的包管理系统，可能允许攻击者通过路径替代一个经过验证的软件包，从而用恶意包替换并以root权限执行任意代码。该漏洞被追踪为CVE-2026-109518，CVSS 4.0评分为7.7，影响APT的HTTP下载和重试处理。

这个漏洞是由于APT在处理HTTP重定向和重试失败的包下载时对硬链接的不当处理造成的。在适当的条件下，两个不同的下载可以在重定向导致它们解析到相同URI后合并。能够操纵APT客户端与仓库之间流量的攻击者可以滥用此行为，在验证已经进行之后替换攻击者控制的.deb包。

由于Debian包可以以root权限执行安装脚本，成功利用该漏洞可能导致整个系统的妥协。然而，利用该漏洞需要满足若干条件：受害者必须启动包安装，APT必须通过可操控的HTTP进行通信，Acquire::Retries选项必须设置为非零值。

因为重试默认启用，Ubuntu 22.04 LTS及更新版本默认情况下暴露于此漏洞中。自APT 2.3.2以来，Debian也默认启用了重试功能，包括Debian 12。当管理员或自动化脚本手动启用重试时，旧版本仍可能存在漏洞。

联系销售

该漏洞由安全研究人员Max Justicz发现并于2026年11月4日公开披露。Debian和Ubuntu同日发布了安全更新。目前，任何供应商的公告均未报告该漏洞在实际攻击中的利用。

安全团队可以使用SOC Prime的AI原生检测智能平台，以运作威胁情报并增强对软件供应链攻击、包管理器滥用、恶意负载执行以及在SIEM、EDR、XDR和数据湖环境中的后妥协活动的防御。

通过监控包仓库流量中的可疑更改、意外的重定向或重复的包下载失败、异常的包安装以及APT活动后立即发生的新特权进程来检测CVE-2026-109518。

并非每个CVE都可以提供检测内容。在SOC Prime平台上检查当前覆盖情况。如果尚未提供相关检测，请定期检查，因为新的威胁情报和检测内容正在持续添加。

CVE-2026-109518分析

当包文件通过攻击者可操控的HTTP路径下载且重试功能启用时，CVE-2026-109518会影响Debian、Ubuntu及其衍生Linux发行版上的APT部署。Ubuntu将该漏洞分类为高危，CVSS 4.0评分为7.7，向量为CVSS:4.0/AV/AC/AT/PR/UI/VC/VI/VA/SC/SI/SA。

APT负责在基于Debian的Linux系统上下载、验证和安装包。包的真实性通常依赖于Debian和Ubuntu的仓库签名机制，旨在确保镜像传输的包不会被不可信的中间方偷偷修改。

CVE-2026-109518在特定下载条件下破坏了这种信任模型的重要部分。

当APT处理HTTP重定向和重试时会产生漏洞。根据Debian的建议，APT在重定向导致两个包下载共享相同URI时可以合并这两个包下载。后续当一个下载需要恢复时，对重用硬链接的不当处理可能会允许被验证包的关联内容被覆盖。

攻击者首先需要能够操控受害者与包存档之间的HTTP通信。潜在的职位包括恶意或被攻陷的网络中介、代理、Wi-Fi网络或包镜像。Ubuntu明确将恶意镜像和代理纳入其威胁模型。

攻击者可以使用重定向以及短暂的HTTP错误来迫使APT进入其重试路径。当APT重试下载包时，硬链接处理中的缺陷可能会导致攻击者控制的数据替换已通过验证的包的内容。

这允许恶意包绕过仓库签名通常提供的保护。

影响变得特别严重，因为.deb包可以包含在安装期间执行的维护者脚本。这些脚本在安装包时以root权限运行，这意味着成功替换包的攻击者可以以完全的系统权限执行命令。

该漏洞并不意味着每个Debian或Ubuntu主机可以在任何时间远程被攻陷。攻击需要在受害者系统执行包安装或升级时，且攻击者能够干扰网络路径的情况下进行。

另一个重要的先决条件是Acquire::Retries。

APT使用此选项确定是否应自动重试失败的下载。易受攻击的行为需要一个大于零的值。Debian的APT开发人员表示，自APT 2.3.2以来默认启用了重试，而Ubuntu确认Ubuntu 22.04 LTS及更新版本使用非零默认值。

因此，旧系统不一定是安全的。虽然Ubuntu 20.04 LTS及更早版本默认不启用重试，但自定义配置、部署自动化或管理员脚本可以手动设置Acquire::Retries并使这些系统易受攻击。

漏洞存在于APT的HTTP后端，因此适用于所有基于APT的前端，包括apt、apt-get、aptitude以及最终使用相同基础包管理基础设施的Ubuntu图形应用程序。Snap包不受影响，因为它们使用不同的分发机制。

HTTPS也显著改变了攻击面。Ubuntu指出，TLS可防止此漏洞利用，因为攻击者必须能够修改传输中的HTTP流量。因此，专门通过适当验证的HTTPS访问的包源受到文档化的路径攻击方法保护。此特定问题不影响FTP和不相关的传输机制。

对CVE-2026-109518 PoC情况的解释需谨慎。Debian和Ubuntu的官方通报未链接到展示完整root妥协的公开漏洞利用，它们未报告野外恶意利用。尽管如此，APT开发人员发布的技术信息仍解释了足够的重定向、重试和硬链接行为，以便防御者了解攻击要求。

该弱点与不当的硬链接处理和检查-使用时机条件相关。CVE记录将其映射到CWE-62，即UNIX硬链接，以及CWE-367，即检查时机Race Condition。

APT开发人员在多个维护的分支中发布了修订版本：

APT分支	修订版本
1.2.x	1.2.36
1.4.x	1.4.12
1.6.x	1.6.19
1.8.2.x	1.8.2.4
2.0.x	2.0.12
2.2.x	2.2.5
2.4.x	2.4.15
2.6.x	2.6.2
2.8.x	2.8.4
3.0.x	3.0.4
3.2.x	3.2.1

Debian 13 “Trixie” 收到了APT 3.0.4，而Debian 12 “Bookworm” 收到了2.6.2版本。

Ubuntu发布了以下修正包：

Ubuntu版本	修正APT版本
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1
18.04 LTS	1.6.19+esm1
16.04 LTS	1.2.36+esm1
14.04 LTS	1.0.1ubuntu2.24+esm4

旧版Ubuntu版本的更新需要适用的Ubuntu Pro或扩展安全维护覆盖。

对于CVE-2026-109518检测，安全团队应将包管理活动与网络和终端遥测相关联。重复的HTTP重定向、紧接着成功下载的短暂下载失败、意外的仓库目的地或来自不寻常网络路径的包安装可以提供有用的调查支点。

终端监控也应识别APT或dpkg执行期间或之后立即生成的异常子进程。由于成功利用会导致以root身份安装由攻击者控制的包，怀疑的shell执行、新服务、系统文件更改、持久性机制、用户创建、凭证获取或包安装后的意外出站连接应被视为高优先级指示器。

APT和dpkg日志可以提供额外的上下文。防御者应审查/var/log/apt/，/var/log/dpkg.log，系统日志记录、代理遥测、DNS日志和围绕可疑包操作的网络安全数据。将已安装包版本和校验码与可信分发仓库进行比较可以帮助识别意外修改。

目前，由于Debian和Ubuntu未报告主动的恶意利用，供应商通知未提供攻击者基础设施、恶意软件散列或特定于活动的CVE-2026-109518IOC。因此，行为监控比静态IOC列表搜索更有价值。

CVE-2026-109518缓解

主要的修复措施是安装Debian、Ubuntu或相关衍生发行版提供的更新APT包。管理员不应仅依赖网络控制，因为修正后的APT实现从源头上防止了包验证绕过。

Ubuntu建议在更新过程中明确禁用重试同时更新所有已安装的包：

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

不能执行完整系统升级的组织可以针对特定的APT进行操作：

sudo apt update && sudo apt install -o Acquire::Retries=0 –only-upgrade ‘?source-package(^apt$)’

在此操作期间将重试设置为零可防止易受攻击的重试路径在下载和安装安全更新本身时被使用。

安全团队应采取以下措施：

1. 使用APT盘点Debian、Ubuntu和衍生Linux系统。
2. 识别已安装的APT版本并与供应商的修复版本进行比较。
3. 优先考虑互联网连接的系统和使用不受信任的第三方或社区包镜像的环境。
4. 应用供应商安全更新并设置Acquire::Retries=0。
5. 确认已安装修正APT包。
6. 审查/etc/apt/sources.list和/etc/apt/sources.list.d/中的文件，以检测意外的HTTP仓库。
7. 将包源从HTTP移动到受支持的HTTPS。
8. 检查代理和包镜像基础设施是否有妥协或未经授权的修改迹象。
9. 调查在修复部署前发生的意外包安装。

Ubuntu确认更改包仓库至HTTPS可以防范已记录的攻击，因为漏洞利用需要修改HTTP流量。在设置选择的仓库镜像支持TLS后，管理员应首先运行sudo apt update以确保配置在不产生错误的情况下运行。

使用HTTPS应被视为一种深度防御，而不是APT更新的替代品。系统可能在以后使用其他仓库、代理、自动化工作流或HTTP终端，因此安装修正包仍是必要的。

临时设置Acquire::Retries为零是针对文档中的漏洞利用条件的另一个有效变通方法。由于该漏洞依赖于APT重试失败的下载，禁用重试可防止易受攻击的代码路径被访问。然而，此设置可能会降低包下载的可靠性，应主要在应用实际的安全更新时使用。

使用无人值守升级的组织应验证补丁部署，而不是假设每台机器都已纠正。Ubuntu指出，无人值守升级默认在Ubuntu 16.04 LTS以后的版本中启用，通常会在24小时内应用安全更新，但队列管理、网络限制、自定义仓库配置或禁用服务可能会阻止成功安装。

如果怀疑系统被妥协，管理员应在修复前保留APT、dpkg、代理、网络和系统日志。检查在怀疑暴露期间安装的包，验证包来源，检查维护者脚本，并调查随即建立的任何root级进程或持久性。

因为恶意包可以以root身份运行任意命令，确认的利用应被视为完全系统妥协。从受信媒体重新构建受影响主机可能比尝试移除个别工件更可靠，尤其是在攻击者可能修改系统二进制文件、服务、身份验证配置或内核级组件时。