Canonical披露APT高危漏洞，攻击者可获取root权限

Canonical于2026年11月4日披露了APT包管理器中的高危漏洞CVE-2026-109518。APT是Debian、Ubuntu及其衍生发行版所使用的包管理器。据gamingonlinux.com报道，Debian同日也发布了包含修复版本的安全公告。

该漏洞位于APT库调用的HTTP后端，影响apt、apt-get、aptitude以及Ubuntu图形应用程序等前端。能够操控系统与归档服务器之间HTTP流量的中间人攻击者可借此触发安装由攻击者控制的.deb包，从而获取root权限。该漏洞的CVSS 4.0评分为7.7。

利用该漏洞需要客户端重试失败的下载，这一行为由Acquire::Retries设置控制；Ubuntu 22.04 LTS及更新版本默认受此影响。通过HTTPS使用TLS可以抵御该漏洞，Snap包安装则不受影响。

Canonical已为Ubuntu 14.04 LTS至26.10发布修复后的APT软件包。Debian在稳定版（trixie）中通过APT 3.0.4修复该问题，Unstable分支为3.3.6，Bookworm为2.6.2。

该漏洞由研究员Max Justicz发现并负责任地披露。