CVE-2026-109518: RCE in APT su Debian e Ubuntu

Il CVE-2026-109518 è una vulnerabilità critica in APT, il gestore di pacchetti di Debian, Ubuntu e derivati. Un attacker posizionato sulla rotta di comunicazione tra un client APT e i server di archivi (via proxy malevolo o mirror compromesso) può manipolare il traffico HTTP per indurre il client a installare pacchetti non verificati con privilegi root. La falla sfrutta il riuso di hard link e richiede che il client segua redirezioni HTTP e riprovi il download (configurazione Acquire::Retries).

Il CVSS ufficiale è 7,7 (High). La vulnerabilità riguarda di default Debian 12 (bookworm) e Ubuntu 22.04 LTS (Jammy Jellyfish), poiché il valore di retry è impostato a 3 per default; release più vecchie non sono interessate in configurazione standard. Pubblicato oggi su NVD (2026-11-04), con forte attenzione sui social media: 26 post nelle ultime 24 ore e 104 interazioni totali. I segnali sono coerenti sul tema dell'attacco on-path che sfrutta hard link e redirect.

Gli amministratori devono verificare se Acquire::Retries è configurato a un valore non-zero (verificare /etc/apt/apt.conf e /etc/apt/apt.conf.d/). Se non necessario, disabilitare la configurazione di retry. Controllare i log di APT per attività sospette. Monitorare gli archivi e i mirror APT per traffico anomalo. Preparare patch non appena disponibili dai team di Debian e Canonical. Proteggere la comunicazione APT con configurazioni HTTPS forzate ove possibile.