Vulnerabilità · 21 ore fa
Il 4 novembre Debian, Ubuntu e gli sviluppatori di APT hanno segnalato CVE-2026-109518: chi altera il download può sostituire un pacchetto e avviarne il codice con privilegi root durante l’installazione.
APT verifica normalmente i pacchetti scaricati, ma un download fallito può essere ripetuto. Se un attaccante manipola il traffico HTTP, può far reindirizzare il nuovo tentativo verso un pacchetto sostitutivo. La macchina lo installa con i privilegi più alti. Il rischio riguarda anche Debian 11 e Ubuntu 20.04, considerati non vulnerabili per impostazione predefinita, se uno script ha attivato i tentativi automatici.
Debian ha pubblicato una correzione per la versione 11 (APT 2.2.5). Ubuntu ha rilasciato aggiornamenti per 22.04, 24.04, 26.04 e 26.10; al momento della segnalazione, Debian testing risultava ancora vulnerabile. L’esposizione dipende quindi anche dalle impostazioni introdotte localmente, non soltanto dai valori predefiniti della distribuzione.
2 fonti che coprono questa storia
Debian, Ubuntu patch APT flaw that could hand attackers root
A vulnerability in Debian and Ubuntu’s package manager could let network attackers replace verified software with malicious packages and execute code as root.
Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root
APT flaw CVE-2026-109518 lets attackers with HTTP traffic control replace verified packages and execute code as root when downloads retry.
Part of the PlainSec briefing for 2026-11-05