APT sotto attacco (CVE-2026-109518): MITM sostituisce pacchetti “verificati” e ottiene root su Debian/Ubuntu

Una vulnerabilità critica nel gestore di pacchetti APT di Debian e Ubuntu mette in evidenza un rischio concreto per la sicurezza della supply chain Linux. Il problema, identificato come CVE 2026 109518, consente a un attaccante in posizione man in the middle di sostituire un pacchetto che risulta verificato con uno malevolo, ottenendo esecuzione di codice con privilegi di root durante l'installazione.

Il punto chiave è che l'attacco richiede che APT effettui un nuovo tentativo di download dopo un errore. Questa condizione è particolarmente rilevante per i sistemi in cui il comportamento di retry è attivo di default, come Debian 12 e Ubuntu 22.04 e successivi. In pratica, un aggressore che riesce a manipolare il traffico HTTP tra il client APT e il server dei pacchetti, ad esempio tramite un mirror compromesso o un proxy malevolo, può indurre APT a riprovare il download usando reindirizzamenti HTTP e risposte di errore temporanee del server. A quel punto, il pacchetto scaricato può essere rimpiazzato con contenuto controllato dall'attaccante, pur mantenendo una situazione che appare valida dal punto di vista della verifica prevista dal flusso.

Debian ha rilasciato versioni corrette di APT per risolvere CVE 2026 109518 e gli aggiornamenti sono disponibili anche per Ubuntu tramite i canali di sicurezza. Ubuntu ha pubblicato nuove build di APT per diverse versioni, includendo rilasci recenti e LTS, rendendo prioritario applicare gli update appena disponibili nei repository ufficiali. Anche le distribuzioni derivate da Debian e Ubuntu possono essere impattate, quindi è importante verificare lo stato degli aggiornamenti anche su sistemi downstream.

Per i sistemi più datati come Debian 11 e Ubuntu 20.04, l'esposizione non è necessariamente attiva di default, ma entra in gioco un dettaglio spesso trascurato: molti script e configurazioni personalizzate potrebbero aver abilitato Acquire Retries, rendendo vulnerabili anche ambienti che normalmente non lo sarebbero. In ottica hardening, oltre ad aggiornare APT, conviene rivedere la configurazione dei repository, limitare l'uso di HTTP dove possibile e controllare la presenza di proxy o mirror non affidabili nelle catene di aggiornamento.