Debian e Ubuntu, falla critica in APT: un attacco MitM può installare pacchetti malevoli ed eseguire codice come root

📌 In Sintesi

• APT consente la sostituzione di pacchetti già verificati: CVE-2026-109518 permette a un attaccante in posizione man-in-the-middle di manipolare i download HTTP e ottenere l’esecuzione di codice con privilegi root.
• Il problema coinvolge Debian, Ubuntu e distribuzioni derivate: l’attacco sfrutta redirect HTTP, download ripresi e la configurazione Acquire::Retries, abilitata per impostazione predefinita da Debian 12 e Ubuntu 22.04 LTS.
• Disponibili gli aggiornamenti correttivi: Debian 13 riceve APT 3.0.4, Debian 12 passa a 2.6.2 e Ubuntu distribuisce nuove versioni del gestore pacchetti. La vulnerabilità è classificata High con CVSS 7.7.

Una vulnerabilità nel gestore di pacchetti APT espone Debian, Ubuntu e le distribuzioni Linux derivate a un attacco man-in-the-middle capace di aggirare la verifica dei pacchetti ed eseguire codice arbitrario con privilegi root. Il problema, identificato come CVE-2026-109518, viene divulgato il 4 novembre 2026 e interessa uno dei componenti più importanti dell’ecosistema Linux: il software utilizzato per scaricare, installare e aggiornare le applicazioni di sistema. La falla sfrutta una particolare combinazione di reindirizzamenti HTTP, download interrotti e ripresi e gestione impropria degli hard link. Un aggressore che controlla il traffico di rete può sostituire un pacchetto dopo che APT ne ha verificato l’integrità, inducendo il sistema a installare contenuti non autorizzati. Debian e Ubuntu hanno avviato la distribuzione delle correzioni, mentre le installazioni non aggiornate rimangono esposte nelle condizioni descritte dagli sviluppatori.

Leggi anche: Debian APT 3.2 introduce undo e rollback nella gestione dei pacchetti Linux

CVE-2026-109518 aggira la verifica dei pacchetti attraverso HTTP e hard link

Il bollettino ufficiale Debian DSA-6607-1 descrive un difetto scoperto dal ricercatore Max Justicz, relativo al modo in cui APT gestisce download differenti che finiscono per condividere lo stesso indirizzo dopo un redirect HTTP. In determinate condizioni, il gestore può confondere i file associati alle richieste e permettere che il contenuto di un pacchetto venga modificato successivamente alla verifica. La vulnerabilità colpisce il rapporto fra integrità del download e installazione effettiva del software. Normalmente APT controlla i metadati firmati dei repository e confronta gli hash dei pacchetti scaricati, impedendo che file alterati vengano accettati come autentici. Il nuovo difetto introduce però una condizione nella quale il file verificato non coincide necessariamente con quello successivamente installato.

La descrizione tecnica di CVE-2026-109518, denominata APT RCE via hard link reuse, associa il problema alle categorie CWE-62, relative all’uso improprio degli hard link Unix, e CWE-367, che identifica le condizioni Time-of-check to time-of-use. L’attaccante sfrutta quindi un intervallo fra il controllo di sicurezza e l’utilizzo del file, manipolando il comportamento dei download ripresi. L’impatto può raggiungere l’esecuzione di codice con privilegi root, perché il gestore pacchetti opera con autorizzazioni elevate quando installa software. Non si tratta però di una compromissione automatica raggiungibile da qualunque indirizzo Internet: l’aggressore deve poter interferire con il traffico HTTP fra il client e il repository.

Debian 12 e Ubuntu 22.04 vulnerabili con i retry attivi per impostazione predefinita

Lo sfruttamento richiede una condizione precisa: APT deve essere configurato per riprovare i download non riusciti. Il parametro interessato è Acquire::Retries, che deve assumere un valore superiore a zero. La configurazione con tre tentativi automatici è diventata predefinita a partire da Debian 12 Bookworm e Ubuntu 22.04 LTS Jammy Jellyfish. Le distribuzioni più vecchie non risultano quindi vulnerabili nella configurazione standard per questo specifico motivo, ma possono diventarlo se l’amministratore o uno script ha abilitato manualmente i retry.

La superficie d’attacco comprende infrastrutture nelle quali un soggetto malevolo può modificare il traffico HTTP, per esempio attraverso proxy compromessi, mirror malevoli o intercettazioni lungo il percorso di rete. Il vettore richiede inoltre una sequenza di redirect e ripetizioni del download, non la semplice presenza di una connessione HTTP. La vulnerabilità viene valutata High con punteggio CVSS 4.0 pari a 7.7. La gravità deriva soprattutto dal risultato potenziale: un pacchetto sostituito può essere installato con privilegi amministrativi, compromettendo la macchina durante un’operazione che l’utente considera normalmente affidabile. La ricerca è attribuita a Max Justicz, con il contributo di Julian Andres Klode. Non risultano documentate campagne di sfruttamento attivo nei bollettini pubblicati il 4 novembre.

Debian corregge APT 3.0.4 e Ubuntu distribuisce gli aggiornamenti di sicurezza

Debian pubblica la correzione attraverso DSA-6607-1, indicando APT 3.0.4 come prima versione corretta per Debian 13 Trixie. Per Debian 12 Bookworm, il relativo aggiornamento di sicurezza introduce APT 2.6.2, mentre il ramo di sviluppo riceve la correzione nella serie APT 3.3.6. L’intervento modifica la gestione dei file di destinazione dei download, impedendo che richieste differenti possano utilizzarli contemporaneamente in modo incompatibile con i controlli di integrità. Gli aggiornamenti risolvono inoltre alcuni problemi di accesso alla memoria fuori dai limiti previsti.

Sul fronte Ubuntu, Canonical distribuisce il 4 novembre nuove build correttive attraverso l’archivio di sicurezza. Le versioni segnalate sono 3.3.3ubuntu0.1 per Ubuntu 26.10, 3.2.1ubuntu0.1 per Ubuntu 26.04 LTS, 2.8.4ubuntu0.1 per Ubuntu 24.04 LTS e 2.4.15ubuntu0.1 per Ubuntu 22.04 LTS. La scheda di sicurezza Ubuntu dedicata a CVE-2026-109518 costituisce il riferimento per verificare lo stato delle correzioni nelle differenti release. La pubblicazione di una build e l’aggiornamento dello stato nel sistema di tracciamento delle vulnerabilità possono non essere simultanei, soprattutto nelle prime ore successive alla disclosure.

Leggi anche: Debian 13 Trixie introduce APT 3.0 e rinnova il sistema Linux

Server Linux e repository APT: perché aggiornare il gestore pacchetti è prioritario

La criticità di CVE-2026-109518 riguarda direttamente la fiducia nella catena di aggiornamento del sistema operativo. Un’applicazione vulnerabile può mettere a rischio un singolo servizio, mentre un difetto nel gestore pacchetti può compromettere il processo con cui vengono installati gli aggiornamenti di sicurezza dell’intera macchina. Le organizzazioni che utilizzano Debian o Ubuntu su server, workstation, ambienti cloud e sistemi di sviluppo devono verificare la versione del pacchetto apt presente nelle proprie installazioni e applicare le correzioni pubblicate dal produttore. Per le distribuzioni derivate è necessario attendere o verificare la disponibilità degli aggiornamenti nei rispettivi repository, senza presumere che i pacchetti Debian siano direttamente intercambiabili.

L’uso di HTTPS può ridurre le possibilità di intercettazione del traffico, ma gli advisory esaminati descrivono il vettore HTTP senza dimostrare che qualunque configurazione HTTPS elimini ogni scenario di rischio. La misura principale rimane pertanto l’installazione della versione corretta del gestore pacchetti. Gli amministratori dovrebbero inoltre controllare la presenza di proxy non autorizzati, mirror configurati manualmente e parametri di retry modificati rispetto ai valori predefiniti. Disabilitare i retry non viene presentato dai produttori come una soluzione ufficiale alternativa all’aggiornamento. Il caso conferma che la verifica crittografica dei pacchetti non basta quando il software può alterare il rapporto fra il file controllato e quello effettivamente installato. Debian e Ubuntu intervengono su un componente fondamentale della propria infrastruttura software, chiudendo una vulnerabilità che trasforma una normale operazione di aggiornamento in un possibile vettore di compromissione con privilegi root.