APT-Lücke CVE-2026-109518: Paket-Tausch bringt root-Code auf Debian und Ubuntu

Debian, Ubuntu und die APT-Entwickler haben am 4. November 2026 Updates für den Paketmanager APT veröffentlicht. Die Updates schließen die Lücke CVE-2026-109518: Ein Angreifer, der den HTTP-Verkehr zwischen einem System und dem Paketserver verändern kann, kann ein bereits geprüftes Paket gegen ein eigenes austauschen. Weil Pakete mit root-Rechten installiert werden, läuft sein Code dann als root. Die APT-Entwickler bezeichnen die Lücke in ihrer Mitteilung als kritisch.

Betroffen sind in der Standardkonfiguration Debian 12 und neuer sowie Ubuntu 22.04 LTS und neuer, außerdem darauf aufbauende Distributionen. Ältere Versionen sind nur verwundbar, wenn dort Download-Wiederholungen eingeschaltet wurden. Das Update ist schnell eingespielt und sollte nicht bis zum nächsten Wartungsfenster warten, zumal jede Paketinstallation den Angriff auslösen kann.

Was ist passiert?

Gefunden hat die Lücke Max Justicz. Laut dem Debian-Advisory DSA-6607-1 kann APT zwei verschiedene Downloads zusammenführen, wenn eine HTTP-Weiterleitung beiden dieselbe Adresse gibt. Durch fehlerhafte Dateibehandlung beim Fortsetzen eines HTTP-Downloads kann ein Angreifer in der Verbindung ein Paket nach der Prüfung ersetzen. Die APT-Entwickler beschreiben in ihrer Mitteilung, dass ein Angreifer Weiterleitungen und gewöhnliche vorübergehende Serverfehler nutzt, die APT zu erneuten Downloads bringen. Dabei überschreibt APT vorhandene Hardlinks mit dem Inhalt des Angreifers.

Voraussetzung ist, dass APT Weiterleitungen folgt und Downloads wiederholt, also die Einstellung Acquire::Retries mit einem Wert über null. Laut Ubuntu ist der Wert 3 seit Debian 12 und Ubuntu 22.04 LTS voreingestellt. Die APT-Entwickler weisen darauf hin, dass viele Skripte die Einstellung auch auf älteren Versionen gesetzt haben könnten. Die Updates enthalten zusätzlich Korrekturen für mehrere Speicherzugriffe außerhalb gültiger Grenzen. Laut den Entwicklern können diese Fehler Dienste wie PackageKit abstürzen lassen, wenn sie lokal präparierte .deb-Dateien lesen.

Wer ist betroffen?

Debian hat korrigierte Pakete für Debian 13 (APT 3.0.4, DSA-6607-1) und Debian 12 (APT 2.6.2, DLA-4880-1) bereitgestellt, in Unstable steckt der Fix in APT 3.3.6. Der Debian-Security-Tracker führte den Testing-Zweig beim Abruf am Abend des 4. November noch mit der verwundbaren Version 3.3.5. Ubuntu hat auf Launchpad Sicherheitsupdates für 26.10 (3.3.3ubuntu0.1), 26.04 LTS (3.2.1ubuntu0.1), 24.04 LTS (2.8.4ubuntu0.1) und 22.04 LTS (2.4.15ubuntu0.1) veröffentlicht. Die CVE-Seite von Ubuntu führte zur selben Zeit noch alle Versionen von 14.04 bis 26.10 als verwundbar. Für ältere Zweige nennen die APT-Entwickler korrigierte Stände bis hinunter zu 1.2.36, für Ubuntu 14.04 gibt es ein Update über Ubuntu Pro. Für Ubuntu 20.04, 18.04 und 16.04 lagen beim Abruf noch keine neuen Pakete vor, die APT-Entwickler kündigen Updates für die Ubuntu- und Ubuntu-Pro-Kanäle an.

Wie kritisch ist das?

Ubuntu bewertet die Lücke mit CVSS 4.0 7,7 und hoher Priorität. Angreifen kann laut Ubuntu jeder, der den HTTP-Verkehr zwischen APT und dem Archiv manipulieren kann, ausdrücklich auch ein bösartiger Spiegelserver oder Proxy. Ausgelöst wird der Angriff bei einer Paketinstallation. Keine der Quellen berichtet von Angriffen in freier Wildbahn. Ob Paketquellen über HTTPS ebenfalls angreifbar sind, sagen die Advisories nicht. Laut Debian wird das Paket erst nach der Prüfung ersetzt. Nach eigener Einschätzung hilft die übliche Signaturprüfung von APT deshalb hier nicht.

Was sollten Admins jetzt tun?

• Inventar: auf allen Debian- und Ubuntu-Systemen, auch in VMs, Containern und Images, mit apt-cache policy apt die installierte Version prüfen.
• Update: apt update und anschließend APT aktualisieren. Dafür eine bekannte, vertrauenswürdige Quelle nutzen, idealerweise den offiziellen Security-Spiegel.
• Spiegel und Proxys: Systeme, die über fremde Spiegelserver, öffentliche Netze oder Caching-Proxys installieren, zuerst aktualisieren.
• Images: Basis-Images für Container und Vorlagen für VMs neu bauen, damit neue Instanzen nicht mit der alten APT-Version starten.
• Übergang: Aus der Beschreibung von Ubuntu folgt, dass Acquire::Retries "0"; die Voraussetzung für den Angriff entfernt. Das ist eine eigene Ableitung, die Advisories nennen keinen Workaround.

Einordnung für Unternehmen

Der Angriff braucht eine Position im Netzweg, das senkt die Gefahr für Server im eigenen Rechenzentrum mit kontrolliertem Spiegel. Kritischer sind Notebooks in fremden Netzen, Build-Server mit öffentlichen Spiegeln und Umgebungen mit gemeinsam genutzten Caching-Proxys. Wer automatische Sicherheitsupdates aktiv hat, sollte kontrollieren, ob das neue APT tatsächlich installiert wurde, denn erst danach ist jede weitere Installation geschützt.

Passende Anleitungen auf S-EDV

• Pakete verwalten mit apt und dpkg unter Debian/Ubuntu
• Automatische Sicherheitsupdates unter Debian/Ubuntu mit unattended-upgrades richtig konfigurieren
• APT 3.3.4 unterstützt SHA3 und lehnt ungeprüfte Downloads ab

Quellen

• Debian: Sicherheitsmeldung DSA-6607-1 zu apt
• Debian: Security-Tracker zu CVE-2026-109518
• APT-Entwickler: Mitteilung zu den Sicherheitsupdates
• Ubuntu: CVE-Seite zu CVE-2026-109518
• Launchpad: Veröffentlichte APT-Pakete für Ubuntu
• The Hacker News: Bericht zur APT-Lücke