• Se ha detectado un fallo de seguridad crítico en el gestor de paquetes APT, presente en las distribuciones Debian y Ubuntu Linux.
• Esta vulnerabilidad, identificada como CVE-2026-109518, es especialmente peligrosa ya que permite que archivos malintencionados sustituyan a los paquetes verificados, facilitando la ejecución de malware con permisos de administrador en el sistema.

Los administradores de sistemas Linux tienen un nuevo problema de seguridad que vigilar. Se ha identificado una vulnerabilidad de alta gravedad en APT, el sistema de gestión de paquetes utilizado por Debian, Ubuntu y numerosas distribuciones derivadas, que puede permitir la instalación de software malicioso con privilegios de administrador sin necesidad de que el atacante disponga de una firma legítima del paquete.

Registrado como CVE-2026-109518, el fallo afecta al proceso de descarga y validación de paquetes cuando confluyen redirecciones HTTP, reintentos automáticos de descarga y una gestión incorrecta de enlaces duros dentro del propio mecanismo de adquisición de paquetes.

Aunque no existen informes públicos sobre explotación activa, la naturaleza del problema resulta especialmente preocupante porque compromete uno de los pilares de confianza del ecosistema Linux: la integridad de las actualizaciones y del software distribuido a través de repositorios.

El descubrimiento fue revelado por Debian en su aviso de seguridad oficial y atribuido al investigador Max Justicz. La vulnerabilidad impacta especialmente en sistemas modernos configurados con reintentos automáticos activados, una característica que forma parte de la configuración predeterminada de sistemas.

Esto significa que numerosos servidores, estaciones de trabajo y entornos corporativos podrían cumplir los requisitos necesarios para una explotación exitosa si un atacante consigue posicionarse entre el equipo de la víctima y el origen de las descargas.

Cómo funciona CVE-2026-109518 y por qué compromete la seguridad de APT

El fallo reside en la manera en que APT gestiona determinadas descargas cuando intervienen redirecciones HTTP. Bajo circunstancias específicas, el gestor puede terminar fusionando dos descargas distintas al resolver ambas hacia una misma URI.

Durante los posteriores reintentos de descarga, una gestión insegura de enlaces duros reutilizados crea una ventana de oportunidad para que un atacante sustituya el contenido original por un paquete manipulado.

Los enlaces duros permiten que varios nombres de archivo apunten al mismo contenido físico dentro del sistema de archivos. En este caso, el mecanismo empleado por APT puede provocar una ruptura entre el paquete que fue validado inicialmente y el que finalmente termina instalándose.

Se trata de un clásico escenario de "time-of-check to time-of-use" (TOCTOU), una categoría de vulnerabilidades donde un archivo cambia después de superar las verificaciones de seguridad pero antes de ser utilizado por el sistema.

El resultado es especialmente delicado porque la instalación puede completarse con un paquete distinto al que previamente había sido verificado criptográficamente. Según la documentación publicada por Debian y Canonical, un atacante con capacidad para controlar el tráfico HTTP implicado, ya sea mediante un espejo malicioso, un proxy comprometido o cualquier intermediario en la ruta de comunicación, puede lograr que el sistema instale software no autenticado.

Dado que los paquetes instalados mediante APT se ejecutan con permisos elevados durante numerosos procesos de mantenimiento y actualización, el impacto potencial incluye la ejecución de malware con privilegios de administrador.

Qué versiones están afectadas y cómo proteger los sistemas Debian y Ubuntu

La vulnerabilidad recibió una puntuación CVSS v4.0 de 7,7 sobre 10, lo que la sitúa dentro de la categoría de alta gravedad. Sin embargo, la explotación no es automática. El entorno vulnerable debe cumplir ciertas condiciones concretas. Entre ellas destaca que el cliente siga redirecciones HTTP y que la opción Acquire::Retries tenga un valor superior a cero. Este detalle cobra relevancia porque Debian 12 Bookworm y Ubuntu 22.04 LTS introdujeron tres reintentos automáticos como configuración predeterminada, aumentando el número de sistemas potencialmente expuestos.

Esto no significa que todas las instalaciones de Debian o Ubuntu sean vulnerables de la misma forma. Los administradores deben revisar tanto la versión de APT instalada como la configuración efectiva del sistema.

Confiar únicamente en la antigüedad de una distribución no garantiza protección frente al problema. Un entorno más antiguo puede seguir siendo susceptible si utiliza configuraciones personalizadas que reproduzcan las condiciones necesarias para la explotación.

Tanto Debian como Canonical ya han publicado correcciones oficiales. Debian solucionó la vulnerabilidad en APT 3.0.4 para Debian Trixie, además de incorporar correcciones complementarias relacionadas con accesos fuera de límites. Por su parte, Ubuntu distribuyó actualizaciones de seguridad para las versiones compatibles del sistema operativo. Las versiones corregidas son las siguientes:

• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
• ​Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• ​Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• ​Ubuntu 26.10: 3.3.3ubuntu0.1

Canonical indica que una actualización estándar del sistema aplica las correcciones necesarias automáticamente. En entornos empresariales con versiones anteriores cubiertas por Ubuntu Pro, también se encuentran disponibles los parches correspondientes.

Por ello, la recomendación principal pasa por actualizar cuanto antes APT, comprobar las versiones instaladas y mantener los componentes de gestión de paquetes dentro de las rutinas habituales de mantenimiento de seguridad.

Aunque ningún proveedor ha confirmado ataques activos relacionados con CVE-2026-109518, la posibilidad de eludir los mecanismos de verificación de paquetes convierte esta vulnerabilidad en una amenaza que merece atención inmediata.