Los equipos de Debian, Ubuntu y los desarrolladores de APT han publicado avisos el 4 de noviembre sobre una vulnerabilidad en APT que permite a un atacante que pueda modificar las descargas de paquetes sustituir un paquete ya verificado por uno controlado por el atacante. Si la explotación tiene éxito, el código del atacante se ejecuta con privilegios de root en la máquina afectada.
En qué consiste la vulnerabilidad y cuándo se activa
El fallo afecta al comportamiento de reintento de descargas de APT. Para que el ataque funcione, APT debe volver a intentar automáticamente una descarga fallida; esa opción está activada por defecto en Debian 12 y en Ubuntu 22.04 en adelante. El atacante aprovecha redirecciones HTTP y errores temporales del servidor para provocar reintentos y, durante ese proceso, sustituir la descarga original por un paquete diferente que acabará siendo aceptado por APT.
A qué sistemas afecta
- Debian y Ubuntu: los mantenedores han calificado la falla con gravedad crítica y han publicado versiones corregidas de APT para varias ramas.
- Debian 11 y Ubuntu 20.04: según Ubuntu, estas versiones no están expuestas por defecto, pero pueden ser vulnerables si en ellas se activó la opción de reintentos (Acquire::Retries) en scripts o configuraciones de usuarios.
- Distribuciones derivadas: Ubuntu advierte que otras distribuciones basadas en Debian y Ubuntu también pueden verse afectadas.
Qué han publicado los proyectos
Debian ha liberado versiones corregidas de APT y los desarrolladores del propio APT han etiquetado la vulnerabilidad como crítica (reportada como CVE-2026-109518 en los avisos). Ubuntu ha informado que está desplegando actualizaciones para sus releases y para Ubuntu Pro; además, publicó nuevos paquetes APT en su archivo de seguridad para varias versiones.
Qué debe hacer el administrador o el dueño de la web
- Actualizar APT de inmediato en las máquinas Debian y Ubuntu afectadas cuando las correcciones estén disponibles para la versión que utilice su sistema.
- Comprobar si en sistemas más antiguos (por ejemplo, Debian 11 o Ubuntu 20.04) se ha activado la opción Acquire::Retries. Si está activada, considere desactivarla temporalmente hasta aplicar la actualización.
- Preferir fuentes de paquetes seguras: siempre que sea posible, usar repositorios y mirrors que ofrezcan transporte cifrado (HTTPS) y firmar correctamente los repositorios. Los avisos describen el ataque sobre HTTP; no especifican si las fuentes alcanzadas por HTTPS están afectadas.
- Revisar contramedidas en infraestructuras: controle proxies y mirrors internos para asegurarse de que no puedan ser manipulados y audite registros de descargas si sospecha de actividad anómala.
Limitaciones y datos no disponibles
Los comunicados no describen incidentes de explotación en el mundo real ni ofrecen un workaround universal para sistemas que no pueden actualizar de inmediato. Tampoco detallan explícitamente el estado de exposición de repositorios servidos por HTTPS, por lo que conviene atender a futuras aclaraciones de los mantenedores y aplicar las actualizaciones oficiales.
Resumen práctico
La vulnerabilidad permite reemplazar paquetes durante reintentos de descarga y ejecutar código como root si el paquete malicioso se instala. Actualizar APT en cuanto haya correcciones disponibles y revisar la configuración de reintentos y la seguridad de mirrors/proxies son las acciones prioritarias para reducir el riesgo.
Lee también:
- Cloudflare añade análisis y controles granulares para agentes personales en sitios web
- Investigador demuestra que un LLM local casi descubre PHP2Shell antes de su divulgación
Fuente: The Hacker News
