El 4 de noviembre de 2026, Debian y Canonical publicaron avisos coordinados (DSA-6607-1, DLA-4880-1, USN-8996-1) que corrigen CVE-2026-109518, una falla en APT que permite a un atacante en posición de red intermedia instalar paquetes sin verificar y ejecutar código como root. El fallo rompe la cadena de confianza del gestor de paquetes al sustituir el contenido verificado tras una redirección HTTP y un reintento de descarga.
Mecanismo de la vulnerabilidad: reutilización de hard links y redirecciones
El fallo reside en la forma en que APT gestiona enlaces duros al seguir una redirección HTTP y reintenta la descarga del mismo archivo. Cuando el servidor responde con una redirección, el cliente puede asignar la misma URI a dos descargas distintas; al reintentar, el contenido verificado originalmente se sobrescribe con el suministrado por el atacante, sin que la comprobación de firmas detecte el cambio. Esta sustitución silenciosa rompe la cadena de confianza del gestor de paquetes.
Max Justicz, descubridor del fallo, ya había reportado en 2019 el error de redirección CVE-2019-3462 que también concedía root a un atacante de red. La lógica defectuosa persiste en el manejo inseguro de los enlaces duros cuando el cliente sigue redirecciones y reintenta la descarga de archivos de paquetes, permitiendo la sustitución silenciosa del contenido verificado. El hallazgo subraya la recurrencia de patrones de fallo en el gestor de descargas.
El vector requiere que el cliente APT siga redirecciones HTTP y reintente descargas, condiciones habituales en repositorios oficiales que usan mirrors y balanceadores de carga. Un mirror malicioso, un proxy corporativo comprometido o una red Wi‑Fi pública controlada por el atacante son superficies de exposición realistas para este ataque Man‑in‑the‑Middle. La amplia adopción de mirrors aumenta la probabilidad de encuentro con un nodo controlado.
Condiciones de explotabilidad: Acquire::Retries y configuración por defecto
La explotación exige que la configuración Acquire::Retries sea distinta de cero. El valor por defecto es 3 desde Debian 12 (bookworm) y Ubuntu 22.04 LTS (Jammy Jellyfish), por lo que las versiones antiguas no son vulnerables en su configuración original. Esto convierte a la configuración estándar moderna en un factor de riesgo inesperado para administradores que no revisan los parámetros de reintento.
El CVSS v4.0 asigna una puntuación base de 7.7 (High) con vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. La complejidad de ataque baja y la ausencia de privilegios previos reflejan la facilidad de posición de red intermedia, mientras que la interacción de usuario requerida se limita a ejecutar apt install o apt upgrade. La métrica subraya la exposición real en entornos de producción estándar actuales y de alta criticidad.
No existen reportes de explotación activa ni exploits públicos al 3 de noviembre de 2026, y el catálogo CISA KEV no la incluye. Sin embargo, la ausencia de evidencia no equivale a ausencia de riesgo: la cadena de suministro de software expone esta superficie en entornos cloud, CI/CD y redes corporativas donde el control del canal de red no está garantizado. La vigilancia continua sigue siendo esencial.
Impacto en la cadena de suministro y derivados
Cualquier derivado de Debian o Ubuntu —Kali, Linux Mint, Pop!_OS, imágenes base de contenedores, runners de CI/CD— hereda la vulnerabilidad hasta que su mantenedor publique el backport correspondiente. La ubiquidad de APT como gestor de paquetes universal amplifica el radio de blast potencial más allá de las distribuciones upstream. Cada capa de la cadena de suministro debe validar la versión de apt antes de promover artefactos.
Las imágenes de contenedores que incorporan apt vulnerable y se reconstruyen automáticamente en pipelines comprometen la integridad del software desplegado. Un atacante con posición en el registro de contenedores o en la red de construcción puede inyectar código en la capa de paquetes del sistema base, persistiendo en producción tras el despliegue. La automatización de builds sin verificación de la versión de apt propaga el fallo silenciosamente.
La paradoja de la auto‑actualización agrava el escenario: APT debe actualizarse a sí mismo sobre un canal de red de confianza. Si el atacante controla ese canal, puede bloquear o corromper la propia actualización de apt, impidiendo la remediación y manteniendo la persistencia en el sistema objetivo. Esta dependencia circular convierte la propia herramienta de corrección en vector de ataque.
Mitigaciones efectivas y sus limitaciones reales
La mitigación definitiva es actualizar apt a las versiones listadas en los avisos oficiales: 3.0.4 en trixie, 2.6.2 en bookworm LTS, 3.3.3ubuntu0.1 en Ubuntu 26.10, 3.2.1ubuntu0.1 en 26.04 LTS, 2.8.4ubuntu0.1 en 24.04 LTS y 2.4.15ubuntu0.1 en 22.04 LTS; las versiones ESM para 20.04, 18.04, 16.04 y 14.04 requieren Ubuntu Pro. Consulte USN-8996-1 y DSA-6607-1 para los detalles completos de cada release.
Desactivar reintentos mediante Acquire::Retries ‘0’; en /etc/apt/apt.conf.d/99no-retries elimina la condición Acquire::Retries ≠ 0, pero no cierra la raíz del fallo: el manejo inseguro de enlaces duros. Solo reduce la ventana de exposición y no sustituye al parche. Forzar HTTPS en sources.list mitiga MitM pasivo, pero no protege contra mirrors o proxies maliciosos que terminan TLS legítimamente en entornos productivos y de alta criticidad.
Verificar hashes manualmente con apt download pkg && sha256sum es operativamente inviable a escala; útil solo para paquetes críticos puntuales. La reconstrucción de imágenes base de contenedores y pipelines CI/CD tras la disponibilidad de apt fijado en cada release es obligatoria para cerrar la brecha en la cadena de suministro. La integración de comprobaciones de versión en los pipelines evita la propagación inadvertida.
Actualización segura: la paradoja del canal de confianza
Ejecutar apt update && apt install apt debe realizarse sobre una ruta de red verificada: consola local, VPN corporativa validada o mirror interno auditado. Si el atacante domina el camino de red, puede envenenar la propia actualización de apt, creando un bucle de compromiso irrompible sin intervención física o fuera de banda. La planificación de una ventana de mantenimiento aislada reduce drásticamente el riesgo.
Los equipos de operaciones deben priorizar la actualización de apt en bastiones de gestión, servidores de salto y nodos de construcción antes que en cargas de trabajo expuestas. La monitorización del catálogo CISA KEV y de avisos de derivados eleva la prioridad operativa si la vulnerabilidad es incluida en futuras revisiones. La coordinación entre equipos de seguridad y operaciones acelera la respuesta.
La lección estructural es que la confianza en la verificación criptográfica de paquetes no basta si la lógica de instalación puede ser subvertida por condiciones de carrera en el sistema de archivos. CVE-2026-109518 demuestra que la cadena de confianza se rompe en el instante entre verificación e instalación cuando el gestor de paquetes reutiliza recursos del sistema de archivos sin validar su integridad post‑redirección. Revisar el código de manejo de descargas en gestores de paquetes críticos es una medida preventiva.
Ficha estructurada para consulta y agentes de IA
{
"format": "rafael-fuentes-article/1.0",
"language": "es",
"title": "CVE-2026-109518: APT permite instalación de paquetes no verificados y ejecución root vía MitM",
"summary": "Una vulnerabilidad en APT permite a un atacante MitM instalar paquetes sin verificar y ganar root; se corrige en Debian 12/13 y Ubuntu 22.04-26.10.",
"author": "Rafael Fuentes",
"publicationDate": "2026-11-05T06:01:35.059+01:00",
"eventDate": "2026-11-04",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-05-am-es/",
"translation": {
"language": "en",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-05-am-en/"
},
"topics": [
"Automatización y Robótica",
"Ciberseguridad",
"Español",
"Noticias de Ciberseguridad",
"Supply Chain"
],
"sources": [
"https://ubuntu.com/security/notices/USN-8996-1",
"https://security-tracker.debian.org/tracker/DSA-6607-1"
]
}