Canonical、APTの高深刻度脆弱性を開示 修正版を公開
CVE-2026-109518はHTTP経由で悪意ある.debパッケージを導入させ、root権限を取得される可能性がある脆弱性。
Canonicalは2026年11月4日、DebianやUbuntuとその派生ディストリビューションが使うパッケージマネージャーAPTにHigh（高）深刻度の脆弱性CVE-2026-109518があると開示し、修正版パッケージを公開した。
システムとアーカイブサーバー間のHTTP通信を操作できる中間者（on-path）攻撃者がこの脆弱性を突くと、攻撃者が用意した.debパッケージをインストールさせ、root権限を奪取できる。CVSS 4.0スコアは7.7。
原因はAPTライブラリが呼び出すHTTPバックエンドにあり、apt、apt-get、aptitude、Ubuntuのグラフィカルアプリケーションなどフロントエンドに影響する。Snapパッケージのインストールは影響を受けず、HTTPSによるTLS通信は対策になる。
悪用にはクライアントが失敗したダウンロードを再試行することが必要で、これはAcquire::Retries設定で制御される。Ubuntu 22.04 LTS以降は既定で再試行が有効なため影響を受ける。
CanonicalはUbuntu 14.04 LTSから26.10向けの修正済みAPTパッケージを公開した。Debianも独自の勧告で修正版を公開しており、安定版（trixie）はAPT 3.0.4、Unstableは3.3.6、Bookwormは2.6.2で修正される。脆弱性はMax Justicz氏が発見し、責任ある開示を行った。
よくある質問
どのUbuntuバージョンが影響を受けますか？
Ubuntu 22.04 LTS以降が既定で影響を受けます。CanonicalはUbuntu 14.04 LTSから26.10向けの修正済みAPTパッケージを公開しています。
Debianの修正版APTはどのバージョンですか？
安定版（trixie）はAPT 3.0.4、Unstableは3.3.6、Bookwormは2.6.2です。
Snapパッケージは影響を受けますか？
影響を受けません。またHTTPSによるTLS通信はこの脆弱性への対策になります。