Debian и Ubuntu 4 ноября раскрыли ошибку APT — системы, через которую устанавливаются и обновляются программы. Атакующий, способный менять HTTP-трафик между компьютером и сервером пакетов, мог подменить файл после проверки и добиться запуска своего кода с правами root. Уязвимость CVE-2026-109518 нашёл Макс Джастиц; разработчики выпустили исправления.

Debian объясняет механизм: после HTTP-перенаправления две разные загрузки могли получить один адрес, и APT объединял их. При возобновлении загрузки программа неправильно обращалась с жёсткими ссылками — разными именами одного файла. Это позволяло заменить содержимое уже проверенного пакета. Защитную проверку обходили через работу с файлом после неё, а не взламывали криптографическую подпись.

Для атаки требовались перенаправления и ошибки HTTP, вызывающие повторное скачивание. По сообщению Ubuntu, такие повторы включены по умолчанию начиная с Ubuntu 22.04 LTS; старые выпуски затронуты лишь при ненулевой настройке Acquire::Retries. Атакующим мог быть и оператор вредоносного зеркала или прокси. Сам по себе доступ к машине через интернет этих условий не заменяет: система должна начать установку пакета, а его установочные сценарии выполняются с административными правами.

Исправления для Debian 12 и 13 доступны в APT 2.6.2 и 3.0.4. Ubuntu перечисляет исправленные сборки для своих выпусков в бюллетене USN-8996-1. HTTPS защищает от подмены трафика по пути, а временное отключение повторных загрузок закрывает условие эксплуатации и при вредоносном зеркале; эти меры не заменяют исправление APT. В опубликованных уведомлениях нет подтверждения массовых атак или числа пострадавших: установлен механизм обхода защиты, а не масштаб состоявшегося заражения.