Falha crítica no APT do Debian e Ubuntu permite trocar pacotes verificados e executar código como root

Uma falha crítica no APT, o gerenciador de pacotes por trás do Debian e do Ubuntu, foi divulgada como CVE-2026-109518. Pesquisadores descobriram que qualquer pessoa capaz de interferir no tráfego HTTP entre a sua máquina e um servidor de pacotes pode forçar o APT a repetir um download, substituir um pacote que já havia passado pela verificação e injetar código malicioso no lugar. Esse código é executado com privilégios de root, ou seja, controle total do sistema.

A superfície de ataque é maior do que parece. Espelhos maliciosos, proxies hostis e qualquer um na mesma rede conseguem explorar a falha, e o comportamento de nova tentativa que viabiliza o ataque vem habilitado por padrão a partir do Debian 12 e do Ubuntu 22.04. O Ubuntu classifica o problema como prioridade alta, com pontuação CVSS 4.0 de 7.7, e os próprios desenvolvedores do Debian tratam a falha como crítica.

Versões corrigidas já estão sendo liberadas para Ubuntu 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS, enquanto o Debian publicou versões corrigidas do APT para as distribuições suportadas. Sistemas mais antigos, como Debian 11 e Ubuntu 20.04, não são expostos por padrão, mas scripts de usuário que ativaram Acquire::Retries mudam esse cenário. Atualize agora, revise suas fontes de pacotes e trate redes não confiáveis como hostis.