Una vulnerabilidad APT en Debian y Ubuntu permite a los hackers secuestrar actualizaciones de software y ejecutar código como root.

Un nuevo fallo de seguridad descubierto en APT, el gestor de paquetes de Debian y Ubuntu, permite que un atacante de red sustituya un paquete de software de confianza por uno malicioso.

Esta vulnerabilidad, identificada como CVE-2026-109518, puede permitir la ejecución de código con privilegios de administrador, el máximo nivel de control en un sistema Linux. Debian anunció el problema el 4 de noviembre de 2026 y reconoció el descubrimiento del investigador Max Justicz.

APT verifica cada paquete con datos firmados antes de instalarlo. Este fallo permite a un atacante eludir dicha verificación. Según Debian, APT puede fusionar dos descargas de paquetes diferentes tras una redirección HTTP que le proporciona la misma dirección.

Cuando APT reanuda una descarga interrumpida, gestiona el archivo incorrectamente, abriendo un breve lapso para reemplazar el paquete tras su verificación. El paquete que se instala es entonces la versión del atacante, no la verificada.

El atacante debe estar entre el ordenador y el servidor de archivos. Podría tratarse de alguien en la misma red, un proxy malicioso o un servidor espejo malicioso. La vulnerabilidad también depende de la reutilización de enlaces físicos y requiere que el cliente siga las redirecciones y vuelva a intentar la descarga.

Estas condiciones dificultan el ataque en comparación con un simple ataque remoto, pero las redes Wi-Fi públicas, los routers comprometidos y los servidores espejo comprometidos lo hacen factible.

Vulnerabilidad de APT en Debian permite a los hackers secuestrar actualizaciones

El error solo funciona cuando la configuración de reintentos de APT, Acquire::Retries, es superior a cero. Este valor es 3 por defecto en Debian 12 (bookworm) y Ubuntu 22.04 LTS, por lo que las versiones anteriores no se ven afectadas con su configuración predeterminada. El Rastreador de Seguridad de Debian indica los siguientes estados:

Bookworm: la versión 2.6.1 es vulnerable y la 2.6.2 está corregida.

Trixie: la versión 3.0.3 es vulnerable y la 3.0.4 está corregida.

Probando e inestable (forky, sid): la versión 3.3.5 es vulnerable.

El sistema de seguimiento de errores apunta a las recomendaciones DSA-6607-1 para trixie y DLA-4880-1 para bookworm. Ubuntu y sus derivados requieren sus propios parches, por lo que los usuarios deben estar atentos a los avisos de sus proveedores.