Il retry di APT può consegnare privilegi root a un pacchetto falso
Il 4 novembre Debian, Ubuntu e gli sviluppatori di APT hanno segnalato CVE-2026-109518: chi altera il download può sostituire un pacchetto e avviarne il codice con privilegi root durante l’installazione.
APT verifica normalmente i pacchetti scaricati, ma un download fallito può essere ripetuto. Se un attaccante manipola il traffico HTTP, può far reindirizzare il nuovo tentativo verso un pacchetto sostitutivo. La macchina lo installa con i privilegi più alti. Il rischio riguarda anche Debian 11 e Ubuntu 20.04, considerati non vulnerabili per impostazione predefinita, se uno script ha attivato i tentativi automatici.
Debian ha pubblicato una correzione per la versione 11 (APT 2.2.5). Ubuntu ha rilasciato aggiornamenti per 22.04, 24.04, 26.04 e 26.10; al momento della segnalazione, Debian testing risultava ancora vulnerabile. L’esposizione dipende quindi anche dalle impostazioni introdotte localmente, non soltanto dai valori predefiniti della distribuzione.
Debian, Ubuntu patch APT flaw that could hand attackers root
A vulnerability in Debian and Ubuntu’s package manager could let network attackers replace verified software with malicious packages and execute code as root.