APT 3.0.4 und 2.6.2 schließen CVE-2026-109518

CVE-2026-109518 erlaubt einem Angreifer im Netzweg, apt ein Paket nach der Verifizierung unterzuschieben, und die Folge ist die Ausführung beliebigen Codes als root. Debian und Ubuntu haben reagiert: apt 3.0.4 für trixie, 2.6.2 für bookworm und die Versionen aus USN-8996-1. Prüfen Sie in einer Minute, welche apt-Version läuft.

Stellen Sie sich den Routinefall vor: Sie starten auf einem Server apt-get upgrade, ein Download bricht kurz ab, apt versucht es erneut. Genau in dieser harmlos wirkenden Wiederholung liegt die Lücke.

Max Justicz hat sie entdeckt, am 04.11.2026 wurde sie als CVE-2026-109518 veröffentlicht (CWE-62 und CWE-367), Canonical ist die CNA.

Laut DSA-6607-1 kann ein HTTP-Redirect zwei verschiedenen Paket-Downloads dieselbe URI zuweisen. apt führt die Downloads dann zusammen und verwendet dabei einen Hard Link erneut. Bricht der Download ab und startet wegen eines Retry neu, kann ein Man-in-the-Middle beim Resume die Datei austauschen. Das installierte Paket entspricht dann nicht mehr dem geprüften Inhalt, denn die Signaturprüfung hat bereits stattgefunden.

Bewertet ist die Lücke mit CVSS v4.0 7.7 (High), Vektor CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, die Ubuntu-Priority ist High.

Die Voraussetzung ist eng gesteckt: Der Angreifer muss HTTP-Traffic zwischen apt-Client und Archiv-Server manipulieren können. Das gelingt als on-path-Angreifer, als bösartiger Mirror oder als Proxy im Netz. Zudem muss apt Redirects folgen und abgebrochene Downloads wiederholen, gesteuert über Acquire::Retries.

• Debian 12 (bookworm) und 13 (trixie): Acquire::Retries ist standardmäßig 3, diese Systeme sind betroffen.
• Ubuntu ab 22.04 (jammy): ebenfalls Standard 3, auch betroffen.
• Ältere Releases (Debian 11 und älter, Ubuntu 20.04 und älter): Acquire::Retries ist in der Default-Konfiguration leer, sie sind nicht betroffen.
• Offizieller Spiegel allein schützt nicht: Die Manipulation passiert im Transport.

Ob Ihr System betroffen ist, steht in der installierten Version, und zwei Befehle genügen für die Prüfung:

apt policy apt zeigt die installierte Version und den Kandidaten aus den Repositories. Vergleichen Sie die Zeile „Installiert“ mit der Patchstand-Tabelle: Steht dort 3.0.3 oder 2.6.1, fehlt der Fix. Das zweite Kommando listet Pakete mit dem Quellpaket apt. Nehmen Sie das Ergebnis zum Patchstand-Check im Abschnitt „Ihre Umgebung braucht jetzt einen Patchstand-Check“.

Ein Patch im laufenden System erreicht Images und Vorlagen nicht. Bauen Sie Images und Vorlagen nach dem Patch neu, sonst landet die verwundbare Version beim nächsten Deployment frisch im Netz. Einen ähnlichen Fall beschreiben wir im Beitrag CVE-2026-98432: Patchstand für Proxmox und Debian.

Erst danach lohnt sich ein neuer Snapshot oder ein neues Base-Image für die Verteilung.

Bin ich betroffen, wenn ich nur den offiziellen Debian-Spiegel nutze?

Die Lücke liegt im HTTP-Transport, nicht in der Signaturprüfung. Ein on-path-Angreifer oder ein bösartiger Mirror genügt. Entscheidend ist ein nicht leeres Acquire::Retries, seit Debian 12 und Ubuntu 22.04 ist der Wert 3 der Standard.

Reicht die Signaturprüfung von apt nicht aus?

Sie greift, aber zu früh: Beim Resume kann der Angreifer die Datei über den Hard Link austauschen, nachdem apt sie bereits verifiziert hat. Der Patch aus DSA-6607-1 schließt genau diese Lücke.

Müssen Sie Container-Images und VM-Vorlagen neu bauen?

Ja: Spielen Sie zuerst das Update ein, dann bauen Sie Images und Vorlagen neu.

Was ist mit älteren Debian- und Ubuntu-Releases?

Dort ist Acquire::Retries in der Default-Konfiguration leer, diese Releases sind nicht betroffen. Den Fix für 14.04 bis 20.04 liefert Ubuntu nur über Ubuntu Pro/ESM (USN-8996-1).

Prüfen Sie die installierte Version anhand der Patchstand-Tabelle (Stand 05.11.2026) und handeln Sie bei Bedarf. Steht dort eine verwundbare Version, spielen Sie das Update ein. Lassen Sie uns Ihren Patchstand prüfen. Wir vergleichen die Ausgabe von apt policy apt Ihrer Systeme mit den gefixten Versionen in der Tabelle. Wir nennen Ihnen die Systeme, die das Update noch brauchen. Ihr Ansprechpartner ist Marco Gabriel, Geschäftsführer. Alle Quellen mit Abrufdatum stehen am Beitragsende. Schreiben Sie uns an vertrieb@inett.de, rufen Sie uns an unter 0681/410993-0; alternativ nutzen Sie unser Kontaktformular. Unsere eigenen Systeme und die Systeme unserer Wartungs- und Servicekundschaft haben wir bereits gepatcht.