Debian выпустил рекомендацию по безопасности DSA-6607-1 для менеджера пакетов APT. Исследователь Макс Джустиц обнаружил уязвимость CVE-2026-109518, которая при определённых условиях позволяла злоумышленнику в позиции man-in-the-middle подменить загружаемый пакет уже после его проверки. В результате произвольный код мог быть выполнен с правами root.
Проблема связана с обработкой HTTP-перенаправлений и возобновлением загрузок. APT мог объединить данные двух разных загрузок пакета, если после перенаправления они получали одинаковый URI. Дополнительная ошибка в работе с файлами при продолжении HTTP-загрузки открывала возможность заменить содержимое после этапа верификации. Таким образом, успешная проверка сама по себе не гарантировала, что именно проверенный пакет будет использован дальше.
Для атаки требуется возможность вмешиваться в сетевое взаимодействие между системой и источником пакетов. В уведомлении такой сценарий описан именно как атака посредника, а не как удалённая уязвимость, доступная любому внешнему пользователю без контроля над трафиком. Технические подробности в рекомендации ограничены описанием механизма; Debian не приводит в нём дополнительных условий эксплуатации или статистики затронутых систем.
В стабильном выпуске Debian Trixie уязвимость исправлена в APT версии 3.0.4. То же обновление устраняет несколько ошибок доступа за пределами выделенных границ памяти. Эти проблемы упомянуты отдельно, без дополнительных CVE и описания последствий в тексте уведомления.
Debian рекомендует пользователям обновить пакеты APT. Для отслеживания состояния безопасности пакета проект предлагает обращаться к его странице в Debian Security Tracker, а общие сведения о применении обновлений и работе рекомендаций размещены на сайте безопасности Debian. Уведомление датировано 4 ноября 2026 года и подписано Сальваторе Бонаккорсо. Главный практический вывод для систем на Trixie — установить исправленную версию, поскольку последствия успешной подмены пакета затрагивают всю систему с привилегиями администратора.