Falha no APT permite ataque root em Debian e Ubuntu desde hoje

Segurança

Vulnerabilidade crítica no APT expõe sistemas Debian e Ubuntu a ataques com privilégios root.

Leia também: Hackers norte-coreanos roubam US$ 6,3 bi da Binance

Uma falha crítica no APT, gerenciador de pacotes usado por distribuições como Debian e Ubuntu, permite que atacantes substituam pacotes verificados por versões maliciosas durante tentativas automáticas de download e executem código com privilégios de root, segundo avisos divulgados nesta quarta-feira (4).

Vulnerabilidade explora tentativas de download via HTTP

Catalogada como CVE-2026-109518, a vulnerabilidade afeta principalmente sistemas que fazem downloads de pacotes via HTTP e têm o mecanismo de tentativas automáticas (retry) ativado — o que ocorre por padrão a partir do Debian 12 e do Ubuntu 22.04. Nesses casos, basta que o invasor tenha controle sobre o tráfego HTTP entre o APT e o servidor de pacotes para explorar a brecha.

De acordo com os avisos técnicos, “o atacante pode ser qualquer um que consiga alterar o tráfego HTTP entre o APT e o servidor de pacotes”, incluindo um espelho (mirror) malicioso, um proxy comprometido ou alguém com acesso à rede local. O ataque acontece “quando o computador instala um pacote”, momento em que o APT tenta novamente o download após erros temporários.

O cenário típico envolve o agressor provocando falhas controladas na conexão, usando redirecionamentos HTTP e respostas de erro temporário do servidor para forçar as tentativas sucessivas. Em uma dessas novas requisições, o pacote legítimo é trocado por um arquivo malicioso com o mesmo nome. Embora o APT verifique assinaturas e integridade, a lógica de retry tem a brecha que permite a substituição bem-sucedida em determinadas condições, levando à execução do código malicioso como root quando a instalação é concluída.

Entenda o contexto

A falha foi reportada pelo pesquisador de segurança Max Justicz e atinge diretamente uma das ferramentas mais sensíveis de qualquer sistema Debian ou Ubuntu: o mecanismo de instalação e atualização de software. Os desenvolvedores do APT classificam a vulnerabilidade como “crítica”, já que, uma vez explorada, o invasor passa a ter controle total da máquina, podendo instalar backdoors, roubar dados, alterar configurações e até sabotar serviços.

O problema tem impacto especial em servidores, ambientes corporativos e provedores que usam essas distribuições como base de infraestrutura, bem como em estações de trabalho que ainda atualizam pacotes via HTTP ou utilizam repositórios espelhados sem controles adicionais. Distribuições derivadas de Debian e Ubuntu também são consideradas afetadas, ampliando o alcance do risco.

Quais versões do Debian e Ubuntu são afetadas?

A falha afeta versões recentes do APT em Debian e Ubuntu, principalmente a partir do momento em que o retry passou a ser ativado por padrão, como no Debian 12 e no Ubuntu 22.04. Nessas versões, qualquer uso do APT para instalar ou atualizar pacotes a partir de fontes HTTP está potencialmente vulnerável ao ataque descrito.

Em lançamentos mais antigos, o comportamento é diferente. Debian 11 e Ubuntu 20.04, por exemplo, não são expostos por padrão, porque a configuração de retries (parâmetro Acquire::Retries) vem desativada. No entanto, muitos administradores e scripts de automação ativam manualmente essa opção para tornar as atualizações mais resilientes a falhas de rede — e, nesses casos, as instalações também ficam sob risco.

Apesar de o suporte estendido do Debian 11 ter sido encerrado em 31 de agosto, os desenvolvedores do APT liberaram uma versão corrigida do gerenciador de pacotes para essa edição, a 2.2.5. Em paralelo, a versão de testes do Debian ainda permanecia vulnerável no início da tarde de hoje, com o APT na versão 3.3.5, o que exige atenção em ambientes de desenvolvimento e homologação.

No ecossistema Ubuntu, a falha foi classificada como de alta prioridade, “com uma pontuação CVSS 4.0 de 7.7”. A empresa informa que todas as versões que acompanha formalmente estão sob monitoramento para o problema, incluindo sistemas antigos mantidos via assinatura.

Distribuições derivadas também estão em risco

Ubuntu ressalta que distribuições construídas sobre Debian e Ubuntu herdam o problema no APT, ainda que não sejam citadas nominalmente nos avisos. Na prática, qualquer sistema que utilize o APT vulnerável, combinado com downloads via HTTP e retries ativados, deve ser tratado como potencialmente exposto até receber a atualização de segurança.

Que correções já foram lançadas?

As equipes de desenvolvimento do APT, Debian e Ubuntu divulgaram hoje atualizações para mitigar a CVE-2026-109518. Os responsáveis pelo APT afirmam que a falha é “crítica” e orientam que usuários e administradores atualizem imediatamente o gerenciador de pacotes para as versões corrigidas disponíveis nos repositórios de segurança.

No Debian, já há builds atualizados do APT para as versões estáveis afetadas, incluindo a edição 11, atendida com o pacote 2.2.5 mesmo após o fim do suporte estendido. A orientação é aplicar as atualizações de segurança assim que possível e, para ambientes onde isso exija testes extensivos, ao menos restringir o uso de repositórios HTTP até que o update seja concluído.

Do lado do Ubuntu, novas compilações do APT foram publicadas hoje no repositório de segurança a partir das 14h25 (UTC), cobrindo pelo menos quatro versões em suporte ativo. Usuários do serviço de assinatura Ubuntu Pro já contam com correção inclusive para o Ubuntu 14.04, que segue recebendo pacotes de segurança por meio dessa oferta estendida.

Mesmo com as correções liberadas, o painel de acompanhamento de vulnerabilidades da distribuição ainda apontava, no meio da tarde, oito versões sob risco, da 14.04 LTS a lançamentos mais atuais, o que indica que a propagação dos pacotes atualizados ainda está em curso e que parte dos sistemas continua exposta até concluir o processo de atualização.

Não há solução alternativa para quem não pode atualizar

Os três conjuntos de avisos publicados hoje — pelos mantenedores do APT, pelo projeto Debian e pelo Ubuntu — não descrevem ataques em andamento explorando a CVE-2026-109518, nem oferecem um procedimento de contorno confiável para sistemas que ainda não podem ser atualizados. A recomendação central é aplicar as atualizações assim que elas chegarem aos repositórios usados por cada ambiente.

A documentação disponível destaca que o ataque foi demonstrado em cenários de download via HTTP e não esclarece se fontes de pacotes acessadas por HTTPS são afetadas pelas mesmas condições. Ainda assim, especialistas apontam que a falha reforça a necessidade de priorizar conexões seguras e de revisar a configuração de retries e o uso de proxies e mirrors, especialmente em redes corporativas.

Enquanto não surgem relatos de exploração ativa, a comunidade de segurança deve acompanhar logs e comportamento de atualização de sistemas Debian e Ubuntu em busca de indícios de pacotes trocados, além de desenvolver ferramentas adicionais de detecção. A expectativa é que o episódio leve a ajustes no próprio APT, seja na forma como lida com tentativas automáticas, seja em exigências mais rígidas de uso de canais seguros para distribuição de software.