Ubuntu corrige fallo de APT al reintentar HTTP
Canonical corrigió CVE-2026-109518 en APT. El fallo requiere una ruta HTTP manipulable, redirecciones, reintentos y una instalación de paquetes; Ubuntu 22.04 y posteriores tienen Acquire::Retries activo por defecto.
Canonical publicó el 4 de noviembre actualizaciones para CVE-2026-109518, un fallo en APT, el gestor de paquetes usado por Ubuntu y Debian. Bajo condiciones concretas, un atacante situado en la ruta de red puede manipular tráfico HTTP hacia un archivo de paquetes y hacer que APT instale un paquete .deb que no superó la verificación normal. Si la instalación llega a ejecutarse, sus scripts se ejecutan con privilegios de root; Ubuntu puntúa el problema con CVSS 4.0 de 7,7, severidad High.
La cadena necesita varias condiciones
El defecto está en el backend HTTP de APT y en cómo trata enlaces duros cuando sigue una redirección y reintenta una descarga mediante enlaces duros. El ataque necesita que el cliente use una fuente HTTP, que el atacante pueda manipular ese tráfico y que haya una instalación de paquete durante la secuencia. No es una ejecución remota que ocurra por el mero hecho de tener Ubuntu encendido: depende de ese camino de descarga y de que APT procese el paquete.
El ajuste Acquire::Retries controla cuántas veces se reintentan descargas fallidas. En Ubuntu 22.04 LTS y posteriores su valor predeterminado es 3; las versiones anteriores no lo tienen activo por defecto, aunque quedan expuestas si alguien lo configuró con un valor distinto de cero. Debian 12 y posteriores comparten el valor predeterminado y también están afectados, según el boletín de AWS. La condición de reintento explica por qué la versión de distribución y su configuración efectiva importan tanto como el número del CVE.
-InfraCrew dice: Tener un repositorio conocido ayuda a operar; no reemplaza comprobar qué protocolo usa el cliente para llegar a él.-
La firma de un archivo de paquetes normalmente permite detectar contenido manipulado, pero esta vulnerabilidad puede hacer que APT acepte un .deb que no pasó esa verificación. La instalación ejecuta los scripts de mantenimiento del paquete como root, así que una descarga alterada puede acabar en código controlado por el atacante con privilegios elevados. Canonical identifica un mirror malicioso o un intermediario de red como posibles posiciones del atacante; no describe un compromiso automático de todos los repositorios.
Sistemas y ramas a revisar
En Ubuntu, 22.04 LTS se corrige con apt 2.4.15ubuntu0.1; 24.04 LTS con 2.8.4ubuntu0.1; 26.04 LTS con 3.2.1ubuntu0.1; y 26.10 con 3.3.3ubuntu0.1. Cada rama tiene su propia build corregida, por lo que no basta con confirmar que APT “está actualizado” en otra versión. Ubuntu 20.04 LTS requiere Ubuntu Pro para recibir el arreglo; también hay paquetes ESM para versiones anteriores según la tabla de Canonical.
El mismo problema afecta a Debian 12 y posteriores en configuración predeterminada, pero el paquete y la recomendación se publican en su propio aviso DSA-6607-1. En Ubuntu, las instalaciones mediante Snap no usan APT y quedan fuera de este fallo. Los contenedores e imágenes base también merecen revisión si se construyen con repositorios Ubuntu o Debian: corregir el host no modifica las capas ya publicadas.
-InfraCrew dice: “La imagen ya está subida” es un buen dato para el registry; el APT vulnerable puede seguir dentro de ella.-
Parche y mitigación de corto plazo
Canonical recomienda instalar los paquetes corregidos. Si hay que actualizar antes de poder cambiar fuentes HTTP, Ubuntu y AWS documentan poner temporalmente Acquire::Retries a cero durante esa operación; usar HTTPS también protege el tráfico frente a un intermediario. Ninguna de esas medidas temporales sustituye la versión corregida: verifica la build instalada y revisa los archivos de fuentes, incluidos los repositorios añadidos por la organización.
No conviene dejar los reintentos desactivados como solución permanente sin valorar el efecto sobre descargas con fallos transitorios. La respuesta duradera es actualizar APT y comprobar qué fuentes siguen usando HTTP, sobre todo en automatizaciones, imágenes y mirrors internos. El aviso de Ubuntu describe una instalación de paquete como parte necesaria de la cadena; la prioridad operativa es cerrar esa ventana de manipulación sin asumir que todos los equipos se encuentran en la misma condición.
-InfraCrew dice: Desactivar reintentos puede servir para pasar una actualización urgente; dejarlo olvidado cambia el comportamiento de la próxima red inestable.-
Diccionario de la Crew
APT — Advanced Package Tool, el sistema de gestión de paquetes usado por Debian y Ubuntu.
Acquire::Retries — Parámetro de APT que fija cuántas veces reintenta una descarga fallida.
CVSS — Sistema de puntuación de severidad técnica; no indica por sí mismo si una vulnerabilidad se explota.
Enlaces duros — Nombres de archivo distintos que apuntan a los mismos datos dentro de un sistema de archivos.
Mirror de paquetes — Servidor que replica un repositorio de software y entrega paquetes a los clientes.
.deb — Formato de paquete de software usado por Debian y Ubuntu.
Scripts de mantenimiento — Instrucciones de un paquete que se ejecutan durante su instalación, normalmente con privilegios de root.
Fuentes
- Ubuntu, CVE-2026-109518 | https://ubuntu.com/security/CVE-2026-109518
- AWS, Security Bulletin 2026-172 | https://aws.amazon.com/security/security-bulletins/2026-172-aws/
