El pasado 4 de noviembre de 2026, Debian y los mantenedores de APT publicaron avisos críticos de seguridad relacionados con la vulnerabilidad identificada como CVE-2026-109518. Este fallo de seguridad afecta a las descargas de paquetes realizadas a través de APT (Advanced Package Tool) bajo condiciones específicas, permitiendo que un atacante ejecute código con privilegios de administrador (root) en el sistema afectado durante el proceso de instalación de un paquete manipulado.
El hallazgo de esta vulnerabilidad ha sido atribuido a Max Justicz. Según la información proporcionada por Debian y los desarrolladores de APT, el ataque descrito no es indiscriminado, sino que requiere la concurrencia de dos factores fundamentales para ser exitoso. En primer lugar, es imperativo que la configuración `Acquire::Retries` tenga un valor distinto de cero. En segundo lugar, el atacante debe tener la capacidad de manipular el tráfico HTTP, ya sea controlando un mirror (espejo) de repositorios o mediante el uso de un proxy malicioso.
Para comprender la gravedad del problema, es necesario analizar la secuencia técnica que permite la explotación. El ataque combina una serie de redirecciones HTTP, errores temporales del servidor y la funcionalidad de reintentos de APT. Los mantenedores de la herramienta explicaron que esta interacción específica puede provocar la sobrescritura de datos a través de la gestión de enlaces duros (hard links). La advertencia emitida por Debian es clara: un paquete malicioso puede sustituir al original después de que se haya realizado la verificación inicial, lo que significa que las medidas de validación estándar no impiden esta ruta de ataque, ya que la sustitución ocurre en una etapa posterior.
En cuanto a la configuración de reintentos, APT tiene activada esta función de forma predeterminada desde la versión 2.3.2. De acuerdo con el tracker de Debian, el valor predeterminado es 3 tanto en Debian 12 (bookworm) como en Ubuntu 22.04 LTS (Jammy). No obstante, en versiones anteriores de estas distribuciones, es posible que scripts personalizados o configuraciones locales hayan activado esta opción, ampliando el espectro de sistemas vulnerables.
Como respuesta inmediata, Debian ha listado las versiones corregidas para sus diversas ramas. Específicamente, se ha implementado la versión 2.6.2 para la rama bookworm, la versión 3.0.4 para trixie y la versión 3.3.6 para las ramas forky y sid. De manera simultánea, el 4 de noviembre de 2026, Canonical anunció que ya se encuentran disponibles las correcciones correspondientes para Ubuntu. Las actualizaciones han sido distribuidas para Debian, Debian LTS, Debian eLTS, Ubuntu y Ubuntu Pro.
Es importante destacar que la actualización lanzada no solo soluciona el CVE-2026-109518, sino que agrupa una serie de correcciones para diversos problemas de seguridad. Entre ellas se incluyen mejoras en la seguridad de memoria, el análisis sintáctico y la resolución de dependencias. Asimismo, se han corregido fallos que provocaban el agotamiento de la memoria al intentar reintentar elementos retrasados en las versiones de APT 2.6, 2.8 y 3.0.
Sin embargo, el aviso de los mantenedores de APT también ha sido transparente sobre las limitaciones de esta actualización. Se ha informado que algunos problemas de acceso fuera de límites (out-of-bounds) en `apt-ftparchive` y en el analizador de dependencias de compilación han quedado sin corregir por el momento. Las razones señaladas para esta omisión son la alta complejidad de los fallos, la limitación en las pruebas prácticas y el riesgo significativo de introducir regresiones en el software.
En resumen, aunque la vulnerabilidad CVE-2026-109518 presenta un riesgo crítico de ejecución de código con privilegios de root, su activación depende de una configuración específica de reintentos y de la capacidad del atacante para interceptar la ruta de red. Se recomienda a todos los administradores de sistemas y usuarios de Debian y Ubuntu aplicar las actualizaciones de APT disponibles para mitigar este riesgo y aprovechar las mejoras generales de estabilidad y seguridad incluidas en el parche.
