高海外悪用未確認
Debian・Ubuntuのパッケージ管理「APT」に、通信を改ざんできる攻撃者がroot権限でコードを実行できる脆弱性（CVE-2026-109518） 修正版を公開
非常に広く使われるLinuxのパッケージ管理で、通信の途中に入れる攻撃者がroot権限でコードを実行できるが、悪意あるミラーやプロキシなど通信経路上の立場が必要なため
概要
DebianやUbuntuでソフトの導入・更新に使うAPTに、HTTP通信を改ざんできる攻撃者（悪意あるミラーやプロキシなど）が、署名確認済みのパッケージを自分のものにすり替え、root権限でコードを実行できる脆弱性が見つかった。DebianとUbuntuが11月4日に修正版を公開しており、まずaptそのものを更新するのが推奨される。
対策
- Debian・Ubuntuでは、ほかのパッケージより先にaptを修正版に更新する（例: apt-get update のあと apt-get install --only-upgrade apt）
- 修正版の番号（Debian 13は3.0.4、Debian 12は2.6.2、Ubuntu 24.04は2.8.4ubuntu0.1など）になっているか確認する
- 派生ディストリビューションやコンテナのベースイメージも、提供元の修正版を確認して更新・再ビルドする
- すぐ更新できない場合は、信頼できない回線やプロキシ・ミラー経由でのパッケージ導入を避ける
- 古い版でAcquire::Retriesを有効にしていないか設定を確認する
くわしく
対象
Debian・Ubuntu「APT」
何が起きたか
Debian、Ubuntu、APT開発者が11月4日に勧告を公開した。Debianの勧告（DSA-6607-1）によると、APTはHTTPリダイレクトで同じURIになった2つのダウンロードを1つにまとめてしまうことがあり、HTTPダウンロードを再開する際のファイル処理の不備（ハードリンクの再利用）により、通信の途中にいる攻撃者が確認済みのパッケージを後からすり替えられる。その結果、root権限で任意のコードが実行される。
攻撃には、APTがリダイレクトに従い、失敗したダウンロードを再試行する設定（Acquire::Retriesが0以外）が必要。Debian 12とUbuntu 22.04 LTS以降は既定値が3のため、既定の状態で影響を受ける。攻撃者はHTTPリダイレクトと一時的なサーバーエラーを使ってAPTに再試行させる。
勧告はHTTP経由の攻撃を説明しており、HTTPSのパッケージ取得元が影響を受けるかどうかは明らかにしていない（The Hacker News）。回避策は示されていない。Debianの修正では、ほかに複数の境界外アクセスの問題も直している。
影響範囲
Debian、Ubuntu、およびそれらを元にした派生ディストリビューションのAPT。Debian 12・Ubuntu 22.04 LTS以降は再試行設定（Acquire::Retries）が既定で3のため既定状態で影響あり。Debian 11・Ubuntu 20.04など古い版は既定では影響しないが、スクリプト等でAcquire::Retriesを有効にしていれば影響する。
規模・影響
修正版: Debian 13（trixie）apt 3.0.4（DSA-6607-1）、Debian 12（bookworm）2.6.2（DLA-4880-1）、unstable 3.3.6。Ubuntu 26.10は3.3.3ubuntu0.1、26.04 LTSは3.2.1ubuntu0.1、24.04 LTSは2.8.4ubuntu0.1、22.04 LTSは2.4.15ubuntu0.1。Debian testing（forky）は11月4日時点で未修正。
悪用状況
悪用未確認
Debian・Ubuntu・APT開発者の勧告に悪用の報告はない（2026-11-05時点）。報告者はMax Justicz氏。詳細な報告書は未公開。
CVSS
7.7（CVSS v4.0）
Ubuntuの評価で10点満点中7.7（重要）。ネットワーク越しに認証なしで攻撃できるが、通信経路上にいることなど攻撃の前提条件が必要で、利用者がパッケージをインストールする操作がきっかけになる。
CVE
経過
このページを公開