Uma falha no APT (Advanced Package Tool) coloca sistemas Linux baseados em Debian e Ubuntu sob risco de ataques capazes de executar código malicioso com privilégios de root. Identificada como CVE-2026-109518, a vulnerabilidade permite que um invasor posicionado no caminho da comunicação entre o computador e os servidores de pacotes manipule downloads e contorne a verificação de integridade, abrindo caminho para a instalação de pacotes controlados por terceiros.
Descoberta pelo pesquisador de segurança Max Justicz, a brecha afeta um dos componentes mais importantes do ecossistema Linux. O APT é responsável por baixar, verificar e instalar programas, bibliotecas e atualizações em milhões de computadores e servidores. Por isso, uma falha nesse mecanismo representa um risco especialmente relevante para administradores de sistemas, equipes DevOps e usuários de distribuições derivadas do Debian.
O problema merece atenção porque a configuração Acquire::Retries, utilizada para repetir downloads que apresentam erros temporários, está habilitada por padrão com valor 3 desde o Debian 12 (Bookworm) e o Ubuntu 22.04 LTS (Jammy Jellyfish). As distribuições já começaram a disponibilizar pacotes corrigidos, mas a instalação dessas atualizações deve ser tratada como prioridade.
Como funciona a falha no APT que permite execução de código como root
A CVE-2026-109518 explora uma combinação de redirecionamentos HTTP, repetição de downloads e tratamento inadequado de arquivos temporários pelo gerenciador de pacotes.
O ataque depende de um invasor com capacidade de interceptar ou modificar o tráfego entre o computador da vítima e o servidor que hospeda os pacotes. Esse cenário pode envolver um espelho de repositório comprometido, um proxy malicioso ou uma rede Wi-Fi sob controle de terceiros.
Durante uma operação de instalação ou atualização, o APT pode receber respostas HTTP manipuladas que fazem dois downloads diferentes serem associados ao mesmo URI após um redirecionamento. A falha no gerenciamento dos arquivos permite que o conteúdo de um download interfira no outro.
O ponto mais grave está na possibilidade de reutilização indevida de hard links, referências que permitem que diferentes nomes de arquivos apontem para os mesmos dados armazenados no sistema de arquivos.
Com essa condição, um invasor pode explorar a retomada de um download para substituir o conteúdo de um pacote depois que ele já passou por uma etapa de verificação. O resultado é uma situação de verificação e utilização inconsistentes, conhecida tecnicamente como Time-of-Check to Time-of-Use (TOCTOU).
Na prática, o APT pode acabar instalando um pacote adulterado que não corresponde ao conteúdo originalmente validado. Como a instalação de pacotes normalmente ocorre com privilégios administrativos, o código malicioso pode ser executado como root, permitindo comprometimento profundo do sistema.
A vulnerabilidade recebeu classificação de gravidade alta, com pontuação CVSS 4.0 de 7,7.
O papel da diretiva Acquire::Retries no ataque
A configuração Acquire::Retries determina quantas vezes o APT deve tentar novamente uma operação de download quando encontra determinadas falhas de comunicação.
Esse mecanismo existe para tornar as atualizações mais resistentes a problemas temporários de rede. Uma conexão interrompida ou uma resposta inesperada do servidor, por exemplo, não precisa necessariamente obrigar o usuário a reiniciar manualmente toda a operação.
Entretanto, a implementação vulnerável permite que essa funcionalidade seja explorada em conjunto com redirecionamentos e respostas HTTP manipuladas.
O invasor pode provocar condições que façam o APT repetir o download e, durante esse processo, explorar o compartilhamento indevido de arquivos por hard links. A combinação cria uma oportunidade para substituir o conteúdo que deveria ser instalado.
O detalhe importante é que não basta simplesmente estar conectado à internet para sofrer o ataque. O invasor precisa conseguir interferir no tráfego da operação de instalação, e o cenário explorado depende de redirecionamentos e novas tentativas de download.
A configuração merece atenção especial porque o valor 3 passou a ser padrão no Debian 12 e no Ubuntu 22.04 LTS. Versões anteriores podem não estar vulneráveis na configuração original, mas alterações manuais que habilitem novas tentativas também podem colocá-las em risco.
Tráfego HTTP versus HTTPS nos repositórios
A exploração descrita envolve a manipulação de tráfego HTTP entre o cliente APT e os servidores de pacotes. Isso coloca em evidência a importância da segurança dos espelhos e das conexões utilizadas para distribuir software.
O HTTPS protege a comunicação por meio de criptografia e autenticação do servidor, dificultando que um intermediário modifique as respostas sem ser detectado.
Entretanto, não é adequado tratar a simples troca de HTTP por HTTPS como substituta da correção. A falha está no tratamento interno dos downloads pelo APT, e a proteção precisa considerar a implementação vulnerável, as configurações dos repositórios e os caminhos de comunicação efetivamente utilizados.
A recomendação mais importante continua sendo instalar as versões corrigidas disponibilizadas pelos mantenedores das distribuições.
Versões afetadas do Ubuntu, Debian e distribuições derivadas
A vulnerabilidade não está restrita às versões mais recentes do APT. Diferentes gerações do gerenciador apresentam implementações afetadas, incluindo versões utilizadas em distribuições antigas e sistemas que continuam recebendo manutenção de segurança.
No Debian, os avisos de segurança publicados em 4 de novembro de 2026 confirmam as seguintes correções:
| Distribuição | Versão corrigida do APT |
|---|---|
| Debian 11 (Bullseye) | 2.2.5 |
| Debian 12 (Bookworm) | 2.6.2 |
| Debian 13 (Trixie) | 3.0.4 |
| Debian Testing e Unstable | 3.3.6 |
No Debian 12, a correção foi disponibilizada pelo canal LTS, enquanto o Debian 13 recebeu a atualização pelo repositório de segurança. Para as versões Testing e Unstable, a correção foi incorporada à série 3.3.6.
No caso do Ubuntu, a Canonical identificou pacotes vulneráveis em diferentes gerações da distribuição. Entre as versões que receberam compilações corrigidas estão:
| Versão do Ubuntu | Versão corrigida do APT |
|---|---|
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
As versões anteriores também exigem atenção. O alerta de segurança contempla sistemas desde o Ubuntu 14.04 LTS, incluindo edições como 16.04, 18.04 e 20.04. Nesses casos, a disponibilidade das correções depende dos canais de manutenção correspondentes, incluindo o Ubuntu Pro e o Extended Security Maintenance (ESM).
É importante não confundir o número de versão original do APT com a versão efetivamente corrigida. A Canonical utiliza sufixos próprios em seus pacotes, portanto uma atualização pode manter a mesma série principal e ainda incorporar o reparo de segurança.
Distribuições derivadas também precisam ser verificadas. Linux Mint, Pop!_OS e outros sistemas construídos sobre Ubuntu ou Debian podem herdar a implementação vulnerável. Entretanto, não é correto presumir que todas as versões desses projetos tenham exatamente os mesmos pacotes ou cronogramas de atualização.
Administradores devem conferir a versão instalada e a disponibilidade de atualizações nos repositórios oficiais da distribuição utilizada.
O que fazer para proteger seu sistema Linux imediatamente
A principal medida de proteção é instalar a versão corrigida do APT. Como a vulnerabilidade afeta o próprio mecanismo de gerenciamento de pacotes, a atualização deve ser priorizada antes de instalações, atualizações de aplicações ou outras operações de manutenção.
Primeiro, identifique a versão instalada:
apt --versionEm seguida, atualize os índices dos repositórios e instale a atualização de segurança do gerenciador:
sudo apt-get update
sudo apt-get install --only-upgrade aptApós a conclusão, confira novamente a versão:
apt --versionCompare o resultado com a versão corrigida correspondente à sua distribuição. Em ambientes corporativos, também é importante confirmar que os repositórios de segurança estão habilitados e que o sistema recebeu os pacotes publicados pela Canonical ou pelo projeto Debian.
Atenção: o comando de atualização não substitui a verificação da origem dos repositórios. Utilize fontes oficiais e evite espelhos desconhecidos, proxies não confiáveis e redes potencialmente comprometidas durante a manutenção.
Verifique também a configuração de novas tentativas
Administradores podem consultar a configuração relacionada à vulnerabilidade com:
apt-config dump | grep -i 'Acquire::Retries'O resultado ajuda a identificar se o mecanismo de repetição está habilitado. Entretanto, desativar essa configuração não deve ser considerado uma correção definitiva. A vulnerabilidade está na implementação do APT, e a solução adequada é instalar o pacote corrigido.
Também vale revisar arquivos de configuração personalizados em /etc/apt/apt.conf.d/, especialmente em servidores que utilizam parâmetros próprios para otimizar downloads e operações automatizadas.
Por que a atualização não deve ser adiada
O comprometimento do APT tem consequências potencialmente graves porque o gerenciador opera em uma posição privilegiada dentro do sistema operacional.
Se um pacote adulterado for instalado, o invasor poderá obter controle administrativo, modificar arquivos essenciais, instalar mecanismos de persistência, capturar informações e comprometer serviços executados na máquina.
Em servidores Linux, isso pode representar riscos adicionais para aplicações web, bancos de dados, ambientes de contêineres e infraestrutura de nuvem.
A situação exige atenção especial de equipes que administram frotas de computadores, servidores e máquinas virtuais. Automatizar a verificação das versões corrigidas e priorizar os sistemas expostos a redes não confiáveis são medidas importantes para reduzir a janela de exposição.
A CVE-2026-109518 também reforça que a segurança de um sistema Linux depende de muito mais do que a assinatura dos pacotes. O tratamento correto dos arquivos durante o download, a integridade das operações e a proteção das comunicações fazem parte da cadeia de confiança que sustenta a distribuição de software livre.
A recomendação é atualizar o APT imediatamente, conferir os canais de segurança da distribuição e incluir essa verificação nos procedimentos de manutenção dos ambientes Linux.
Se você administra servidores Debian ou Ubuntu, compartilhe este alerta com outros profissionais de infraestrutura, equipes DevOps e responsáveis pela segurança da rede. Quanto mais rápida for a aplicação das correções, menor será o período em que sistemas essenciais permanecerão expostos a essa falha.
