Una vulnerabilidad de seguridad descubierta en APT, el gestor de paquetes utilizado por Debian, Ubuntu y numerosas distribuciones derivadas, podría permitir que un atacante manipule las descargas de software e introduzca paquetes maliciosos en el sistema. El fallo, identificado como CVE-2026-109518, puede terminar en la ejecución de código con privilegios de administrador (root), comprometiendo la seguridad de los equipos afectados.
¿Qué es CVE-2026-109518?
El 4 de noviembre de 2026 se dio a conocer una vulnerabilidad de seguridad en APT (Advanced Package Tool), una de las herramientas fundamentales del ecosistema Debian y sus distribuciones derivadas.
El problema permite que un atacante situado entre el equipo y el servidor de repositorios pueda manipular determinadas descargas y sustituir un paquete legítimo por uno malicioso.
En determinadas circunstancias, el archivo manipulado puede terminar instalado en el sistema y ejecutar código con privilegios de administrador, lo que supone un riesgo considerable para la seguridad.
¿Cómo funciona la vulnerabilidad?
APT incorpora diferentes mecanismos para garantizar la autenticidad e integridad de los paquetes que descarga desde los repositorios. Entre ellos se encuentran las firmas digitales y las comprobaciones mediante hashes criptográficos.
Sin embargo, CVE-2026-109518 no se origina directamente en el sistema criptográfico de verificación, sino en el tratamiento de los archivos durante el proceso de descarga.
El fallo está relacionado con la combinación de tres mecanismos: las redirecciones HTTP, la reanudación de descargas interrumpidas y la reutilización de archivos mediante enlaces duros (hard links).
Cuando una descarga se interrumpe, APT puede intentar reanudarla. En determinadas condiciones, una redirección HTTP y el tratamiento de los archivos temporales pueden provocar que dos descargas terminen operando sobre el mismo archivo físico.
Esto abre una oportunidad para que un atacante manipule el contenido después de que haya sido verificado.
Como resultado, APT podría terminar utilizando e instalando un archivo diferente del que comprobó inicialmente.
Este comportamiento está relacionado con una clase de vulnerabilidad conocida como TOCTOU (Time-of-check to time-of-use), que se produce cuando un archivo o recurso cambia entre el momento en que se verifica y el momento en que se utiliza.
¿Qué necesita un atacante para explotar el fallo?
La vulnerabilidad no permite comprometer cualquier equipo de manera remota sin condiciones adicionales. Para que el ataque tenga éxito deben coincidir varios factores.
El atacante necesita tener capacidad para interceptar y manipular el tráfico entre el equipo y el servidor de paquetes. Además, el escenario de explotación requiere que intervengan redirecciones HTTP, que APT tenga habilitados los reintentos de descarga y que se produzca la interacción problemática entre las operaciones de descarga y los enlaces duros.
Esto significa que un atacante podría intentar aprovechar la vulnerabilidad desde una red Wi-Fi pública comprometida, un router manipulado, un proxy malicioso o un servidor espejo comprometido.
Aunque estas condiciones dificultan la explotación, no eliminan el riesgo, especialmente en equipos que realizan actualizaciones desde redes poco confiables.
¿Qué versiones de APT están afectadas?
El equipo de seguridad de Debian ha identificado distintas versiones vulnerables y ha publicado correcciones específicas para varias de sus ramas.
En Debian 12 Bookworm, la versión vulnerable es APT 2.6.1, mientras que la corrección se encuentra en la versión 2.6.2.
En Debian 13 Trixie, el problema afecta a APT 3.0.3 y queda solucionado con la versión 3.0.4.
Por su parte, Debian Testing, correspondiente a Forky, figura con la versión 3.3.5 como vulnerable en el registro consultado. En Debian Unstable (Sid), la versión 3.3.6 incorpora la corrección frente a este fallo.
Es importante señalar que estas referencias corresponden a los paquetes de Debian. Las distribuciones derivadas pueden publicar sus propias actualizaciones y utilizar numeraciones diferentes.
El papel de los reintentos de descarga
Uno de los aspectos más relevantes de CVE-2026-109518 es la configuración de los reintentos de descarga de APT.
Esta característica permite que el gestor de paquetes vuelva a intentar una transferencia cuando se interrumpe o se produce un error de conexión.
El problema es que la vulnerabilidad necesita que los reintentos estén habilitados, una condición que se cumple de forma predeterminada en algunas versiones de Debian y Ubuntu.
Por ejemplo, Debian 12 Bookworm y Ubuntu 22.04 LTS utilizan un valor predeterminado de tres reintentos, según la información publicada sobre el fallo.
Esto significa que determinados sistemas pueden cumplir una de las condiciones necesarias para la explotación sin que sus usuarios hayan realizado ninguna modificación en la configuración original.
¿Qué cambios introduce la actualización de APT?
La corrección incorporada en APT 3.3.6 modifica los métodos de descarga para abrir los archivos de destino de manera exclusiva.
Con este cambio se evita que diferentes operaciones de descarga puedan trabajar sobre el mismo archivo, eliminando una de las condiciones que permitían aprovechar la vulnerabilidad.
Además, esta versión incorpora otras correcciones, entre ellas el rechazo de paquetes DEB que no contienen el campo obligatorio Version y una solución a un problema de ordenamiento en el solucionador de dependencias.
Las ramas estables de Debian también recibieron correcciones específicas, por lo que no es necesario migrar a una versión más reciente de la distribución para solucionar este problema.
¿Qué ocurre con Ubuntu y las distribuciones derivadas?
La vulnerabilidad también afecta al ecosistema de distribuciones que utilizan APT como gestor de paquetes.
Ubuntu dispone de sus propios avisos y actualizaciones de seguridad, con versiones corregidas adaptadas a cada una de sus ediciones.
En el caso de Devuan y otras distribuciones derivadas de Debian, es importante tener presente que compartir la misma base tecnológica no significa recibir automáticamente las actualizaciones de seguridad de Debian.
Cada proyecto mantiene sus propios repositorios y procesos de publicación. Por tanto, los usuarios deben consultar las notificaciones oficiales de su distribución para conocer la disponibilidad de las correcciones correspondientes.
¿Por qué esta vulnerabilidad es importante?
APT es una pieza fundamental de numerosas distribuciones GNU/Linux. A través de este gestor se instalan, actualizan y mantienen miles de paquetes que forman parte del sistema operativo.
Por ese motivo, una vulnerabilidad que permita manipular el proceso de descarga representa un problema especialmente delicado.
La ejecución de código con privilegios de root podría dar a un atacante un control considerable sobre el equipo afectado, permitiéndole modificar archivos del sistema, instalar software adicional o comprometer información.
Además, este incidente demuestra que los mecanismos de verificación criptográfica, aunque esenciales, no son suficientes por sí solos si existen errores en las etapas posteriores del procesamiento de los archivos.
