Un error recién revelado en APT, el gestor de paquetes detrás de Debian y Ubuntu, puede permitir que un espía de red sustituya un paquete de software confiable por uno malicioso.

El fallo está registrado como CVE-2026-109518 y puede resultar en la ejecución de código con derechos de root, el nivel más alto de control en un sistema Linux. Debian anunció el problema el 4 de noviembre de 2026 y acreditó al investigador Max Justicz por haberlo encontrado.

APT verifica cada paquete con datos firmados antes de instalar cualquier cosa. Este fallo permite que un atacante evite esa verificación. Según Debian, APT puede fusionar dos descargas de paquetes diferentes después de que una redirección HTTP le proporcione la misma dirección.

Cuando APT reanuda una descarga interrumpida, maneja el archivo incorrectamente, abriendo una ventana corta para reemplazar el paquete después de que haya sido verificado. El paquete que se termina instalando es entonces la versión del atacante, no la que fue verificada.

El atacante debe situarse entre tu ordenador y el servidor del archivo. Podría ser alguien en la misma red, un proxy malicioso o un mirror comprometido. El fallo también depende de la reutilización de enlaces duros (hard links), y requiere que el cliente siga las redirecciones y reintente una descarga.

Estas condiciones hacen que el ataque sea más difícil que un simple golpe remoto, pero las redes Wi-Fi públicas, los routers secuestrados y los mirrors comprometidos hacen que sean escenarios realistas.

El fallo de Debian APT permite a los hackers secuestrar las actualizaciones

El bug solo funciona cuando el ajuste de reintentos de APT, Acquire::Retries, es superior a cero. Ese valor es 3 por defecto en Debian 12 (bookworm) y Ubuntu 22.04 LTS, por lo que las versiones más antiguas no se ven afectadas en su configuración predeterminada. El Debian Security Tracker enumera estos estados:

• Bookworm: la versión 2.6.1 es vulnerable y la 2.6.2 está corregida.
• Trixie: la versión 3.0.3 es vulnerable y la 3.0.4 está corregida.
• Testing e unstable (forky, sid): la versión 3.3.5 es vulnerable.

El rastreador remite al aviso DSA-6607-1 para trixie y DLA-4880-1 para bookworm. Ubuntu y otros derivados necesitan sus propios parches, por lo que debes estar atento a los avisos de tu proveedor.

El aviso de Debian para trixie dice que el problema está corregido en APT 3.0.4 e insta a los usuarios a actualizar. La misma actualización también cierra varios errores de acceso fuera de límites.

Para el proyecto upstream, APT 3.3.6 cambia los métodos de descarga para abrir los archivos de destino exclusivamente. Esto evita que dos descargas toquen el mismo archivo. La versión también rechaza los paquetes DEB que carecen del campo Version requerido y corrige un error de ordenación en el resolutor de dependencias.

APT ya tuvo un susto similar anteriormente. En 2019, Justicz encontró un error de ejecución remota de código en apt, registrado como CVE-2019-3462. Este también permitía a un atacante "man-in-the-middle" ejecutar código como root a través de una redirección.

Su solución temporalmente fue desactivar las redirecciones con -o Acquire::http::AllowRedirect=false. El nuevo fallo es un bug diferente, pero la lección es la misma. Las redirecciones y el manejo de descargas son partes riesgosas de cualquier herramienta de actualización.

Ejecuta apt update y apt upgrade en redes confiables, y confirma que la versión de APT instalada coincida con la corregida para tu versión. Evita mirrors y proxies no confiables hasta que hayas aplicado el parche.

Prefiere mirrors HTTPS siempre que puedas, ya que hacen que la interceptación sea más difícil. Como medida provisional en sistemas no parcheados, establecer Acquire::Retries en 0 elimina una condición requerida, aunque puede hacer que las actualizaciones sean menos fiables en conexiones deficientes.

Las herramientas de actualización se ejecutan con confianza total, por lo que un solo paquete malicioso puede entregar un servidor completo. Nuestra cobertura anterior sobre los esenciales de la seguridad de la cadena de suministro de Linux explica por qué es importante verificar la integridad de los paquetes.

Si usas Debian, también puedes ver cómo llegan los grandes lotes de parches en nuestro informe sobre la actualización del kernel de Debian con 1.313 fallos. Hasta ahora no han surgido informes públicos de uso activo. Parchear ahora sigue siendo la opción más segura.