Uma falha no APT, o gerenciador de pacotes usado pelo Debian e pelo Ubuntu, pode ser explorada por quem consegue alterar os downloads de pacotes. Nesse caso, o atacante troca um pacote que já foi verificado por outro, feito por ele, e o código dele passa a rodar com privilégios de root, que é o acesso total ao sistema. As notas de segurança publicadas em 4 de novembro pelo Debian, pelo Ubuntu e pelos desenvolvedores do APT descrevem o problema, que recebeu o identificador CVE-2026-109518.

Para o ataque funcionar, o APT precisa tentar novamente downloads que falharam, o que ele faz por padrão a partir do Debian 12 e do Ubuntu 22.04. O invasor usa redirecionamentos HTTP e erros temporários comuns de servidor para forçar essas novas tentativas. Ele pode ser qualquer pessoa capaz de alterar o tráfego entre o APT e o servidor de pacotes, como um espelho ou um proxy malicioso. O ataque acontece na hora em que o computador instala um pacote. Um paralelo simples: é como alguém que intercepta a entrega de uma encomenda no caminho e coloca outra caixa no lugar, mesmo com a etiqueta original conferida.

O Debian já liberou versões corrigidas do APT. Para o Debian 11, cujo suporte de longo prazo terminou em 31 de agosto, os desenvolvedores publicaram a versão 2.2.5. A branch de testes do Debian ainda estava na versão vulnerável 3.3.5 às 14:58 UTC de 4 de novembro. O Ubuntu classifica a falha como de alta prioridade, com pontuação 7.7 no CVSS 4.0, e diz que distribuições baseadas em Debian e Ubuntu também são afetadas, sem citar nomes. Novas versões do APT foram publicadas para quatro releases do Ubuntu, incluindo a 26.10, a 26.04 LTS, a 24.04 LTS e a 22.04 LTS. Usuários do Ubuntu 14.04 com a assinatura Ubuntu Pro já conseguem uma atualização. Às 15:46 UTC, o Ubuntu ainda marcava as oito versões que acompanha como vulneráveis, do 14.04 LTS ao 26.10.

Versões mais antigas, como Debian 11 e Ubuntu 20.04, não ficam expostas por padrão, segundo o Ubuntu. Mesmo assim, os desenvolvedores do APT alertam que muitos scripts de usuários podem ter ativado a configuração de novas tentativas, Acquire::Retries, nessas versões. A falha foi relatada por Max Justicz. Até agora, nenhum dos três comunicados menciona ataques reais explorando o problema, e não há solução alternativa para sistemas que ainda não podem ser atualizados. Também não está claro se fontes de pacotes acessadas por HTTPS estão expostas, já que os relatos descrevem o ataque em HTTP. A recomendação é seguir as instruções oficiais de cada distribuição e manter o sistema e o APT atualizados.