O APT é o gerenciador de pacotes usado pelo Debian, pelo Ubuntu e por distribuições derivadas. Ele é a ferramenta que baixa e instala programas, como uma loja que entrega os itens do sistema. O pesquisador Max Justicz encontrou uma falha nele e a comunicou de forma responsável, e ela recebeu o identificador CVE-2026-109518, com severidade alta (nota 7,7 na escala CVSS 4.0).

Na prática, um atacante que consiga interceptar o tráfego HTTP entre o computador e o servidor de pacotes pode trocar um arquivo .deb legítimo por outro, malicioso. Normalmente a assinatura digital do repositório impediria isso, mas a falha faz o APT instalar o pacote mesmo quando a verificação de assinatura falha. Como os scripts de instalação de um .deb rodam como root, o atacante pode obter controle total da máquina. Espelhos de pacotes maliciosos também podem explorar a falha.

Quem está exposto? Ubuntu 22.04 LTS e versões mais novas são afetados por padrão. Versões mais antigas só são afetadas se a configuração Acquire::Retries tiver valor diferente de zero. Instalações feitas por snap não são afetadas, e o protocolo FTP também não, já que a falha depende de HTTP. Todos os programas que usam o APT, como apt, apt-get, aptitude e as ferramentas gráficas do Ubuntu, são atingidos.

O que fazer? A recomendação principal é instalar as atualizações de segurança. Para verificar a versão instalada, compare o resultado do comando apt list --installed com a tabela de correções publicada pela Canonical, que traz versões corrigidas para do Trusty 14.04 ao Stonking 26.10. Atualize todos os pacotes com o APT zerando temporariamente a configuração de novas tentativas de download, o que também mitiga a falha. Quem não puder atualizar tudo pode atualizar apenas o componente apt.

Como medida complementar, é possível trocar os endereços http:// por https:// nas fontes do APT, o que protege contra o atacante no meio do caminho. Essa troca não substitui a atualização, e alguns espelhos mantidos pela comunidade não suportam HTTPS. Para versões antigas, o Ubuntu Pro oferece manutenção de segurança estendida, gratuita para até 5 máquinas.