Debian ha publicado una actualización de seguridad para APT que corrige una vulnerabilidad crítica, CVE-2026-109518, que permite a un atacante en posición de intermediario (man-in-the-middle) ejecutar código arbitrario como root tras manipular la descarga de un paquete.
El fallo afecta al gestor de paquetes APT, una pieza central en Debian y en las distribuciones derivadas. La actualización corregida para la rama estable (trixie) es la versión 3.0.4, que además resuelve varios problemas de acceso fuera de límites. Debian recomienda actualizar los paquetes de APT cuanto antes.
¿Qué es CVE-2026-109518 y a quién afecta?
La vulnerabilidad reside en la forma en que APT gestiona la reanudación de descargas HTTP y la combinación de paquetes cuando una redirección HTTP asigna la misma URI a dos descargas distintas.
Según el aviso DSA 6607-1, APT puede fusionar dos descargas diferentes tras una redirección que las hace coincidir en la misma dirección. Ese manejo inadecuado de archivos permite que un atacante que se sitúe entre el equipo y el repositorio sustituya un paquete después de que haya sido verificado.
El resultado es grave: el paquete manipulado se instala y su código se ejecuta con privilegios de root, el nivel más alto del sistema.
El aviso oficial no detalla todavía el informe completo del investigador, Max Justicz, que descubrió el fallo. Debian ha preferido publicar la actualización antes de que la explotación sea pública.
¿Cómo funciona el ataque?
El escenario requiere que el atacante pueda interceptar el tráfico entre el equipo víctima y el repositorio de paquetes. Eso puede ocurrir, por ejemplo, en una red Wi-Fi pública, en una red local comprometida o mediante técnicas de envenenamiento de DNS o de ARP.
El ataque se apoya en una redirección HTTP. Cuando APT descarga un paquete y la petición es redirigida, el sistema puede acabar tratando dos recursos distintos como si fueran el mismo. El atacante aprovecha ese momento para colocar un archivo manipulado en lugar del legítimo.
El punto crítico es que la sustitución se produce después de la verificación de integridad. APT comprueba la firma del paquete al recibirlo, pero el fallo permite que el archivo cambie una vez superada esa comprobación. El paquete malicioso se instala y se ejecuta como root.
Debian ha corregido el manejo de archivos en la reanudación de descargas HTTP para que esa sustitución no sea posible.
¿Qué versiones están afectadas y cómo actualizar?
La rama estable de Debian, trixie, está afectada. La versión corregida de APT es la 3.0.4. Para actualizar, basta con ejecutar los comandos habituales:
sudo apt update
sudo apt upgrade
O, si se prefiere una actualización completa del sistema:
sudo apt dist-upgrade
Después de la actualización, conviene comprobar que la versión instalada es la corregida:
apt --version
El comando debe devolver 3.0.4 o una versión superior en la rama trixie. Debian también ha publicado la actualización para otras ramas compatibles según su política de soporte.
¿Qué deben hacer los usuarios de distribuciones derivadas?
Muchas distribuciones basadas en Debian —incluidas Ubuntu, Linux Mint, Kali Linux y otras— utilizan APT como gestor de paquetes. La corrección llega a través de los repositorios de cada distribución, no directamente desde Debian.
Los usuarios de esas distribuciones deben aplicar las actualizaciones que sus mantenedores publiquen. Si la distribución aún no ha publicado el parche, conviene evitar instalar paquetes desde redes no confiables hasta que la actualización esté disponible.
Medidas adicionales mientras se actualiza
La actualización es la medida principal. Mientras se aplica, hay algunas precauciones que reducen el riesgo:
- Evitar redes Wi-Fi públicas para actualizar paquetes. Si es necesario usarlas, hacerlo a través de una VPN de confianza.
- Usar HTTPS en los repositorios cuando esté disponible. APT soporta métodos de transporte seguros, y configurarlos reduce la exposición a ataques de intermediario.
- Verificar las firmas de los paquetes con las claves oficiales del repositorio. APT ya lo hace por defecto, pero conviene asegurarse de que las claves no han sido alteradas.
- Revisar los registros de APT en busca de descargas o redirecciones inusuales si se sospecha que el equipo pudo estar expuesto.
¿Por qué esta vulnerabilidad es relevante?
APT es el componente que instala, actualiza y elimina paquetes en Debian y en sus derivadas. Un fallo que permita sustituir un paquete por otro malicioso afecta a la cadena de confianza de todo el sistema: no se trata de un programa concreto, sino del mecanismo que distribuye y verifica todos los programas.
La ejecución como root agrava el impacto. Un atacante que consiga instalar un paquete manipulado puede ejecutar cualquier acción en el sistema: robar datos, instalar malware persistente, modificar configuraciones o abrir puertas traseras.
La corrección ya está disponible. La recomendación de Debian es explícita: actualizar los paquetes de APT. Es una actualización rápida y sencilla que cierra una vía de ataque que no requiere interacción del usuario más allá de ejecutar una actualización en una red comprometida.
Descubre más desde CIBERED
Suscríbete y recibe las últimas entradas en tu correo electrónico.
