Fallo en APT: un atacante podría colar un paquete falso en Debian y Ubuntu
- Un fallo en APT (CVE-2026-109518) permite a quien pueda alterar las descargas sustituir un paquete verificado por uno propio, que se ejecuta como root.
- Afecta a Debian, Ubuntu y derivadas. Los avisos no describen ataques reales por ahora.
- Qué hacer: actualizar APT a la versión corregida de tu distribución.
Debian, Ubuntu y los desarrolladores de APT han publicado avisos por CVE-2026-109518, un fallo en el gestor de paquetes que usan los sistemas Debian y Ubuntu (y sus derivados, como muchos servidores y equipos Linux de oficina). Ubuntu lo clasifica como prioridad alta (7,7 sobre 10); los desarrolladores de APT lo califican de crítico.
Qué permite el fallo
Un atacante capaz de modificar el tráfico HTTP entre el equipo y el servidor de paquetes, por ejemplo con un espejo o un proxy malicioso, puede aprovechar los reintentos de descarga de APT para cambiar un paquete ya verificado por otro propio. Ese código se ejecuta como root al instalar el paquete. APT reintenta descargas fallidas por defecto desde Debian 12 y Ubuntu 22.04. Los avisos no describen ataques reales hasta ahora, y no aclaran si las fuentes servidas por HTTPS también están expuestas.
Versiones corregidas de APT
- Ubuntu 26.10: 3.3.3ubuntu0.1.
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1.
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1.
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1.
- Debian: ya hay versiones corregidas (en Debian 11, la 2.2.5).
Qué hacer
- Ejecuta apt update y actualiza APT en tus servidores y equipos Linux.
- En versiones más antiguas (Debian 11, Ubuntu 20.04), revisa si algún script activa Acquire::Retries.
- Instala paquetes solo desde fuentes oficiales y evita redes o proxies que no controlas.
¿Tienes servidores Linux sin vigilar?
Revisamos actualizaciones, accesos y copias para que un fallo así no te pille desprevenido.
Infórmate