Fallo crítico en APT de Debian y Ubuntu: qué hacer hoy

Debian, Ubuntu y los desarrolladores de APT publicaron el 4 de noviembre de 2026 la corrección de CVE-2026-109518, un fallo en el gestor de paquetes de estos sistemas. Quien controle el tráfico HTTP hacia el repositorio puede colar un paquete falso y ejecutar código como root. Afecta por defecto a Debian 12 y Ubuntu 22.04 en adelante.

Lo que se sabe

  • Qué es: según el rastreador de seguridad de Debian y la ficha de Ubuntu, un atacante situado en el camino (por ejemplo, un espejo o un proxy malicioso) que pueda manipular el tráfico HTTP mientras se instala un paquete puede hacer que APT instale uno no verificado. Como los paquetes se instalan con permisos de root, eso da control del servidor.
  • Qué lo hace posible: que APT reintente las descargas fallidas, ajuste llamado `Acquire::Retries`. Según los desarrolladores de APT, viene activado por defecto desde APT 2.3.2; Debian y Ubuntu concretan que el valor 3 es el de serie desde Debian 12 (bookworm) y Ubuntu 22.04 LTS. Las versiones anteriores no están expuestas con su configuración de fábrica, aunque los desarrolladores advierten de que muchos scripts activaban ese ajuste por su cuenta.
  • Gravedad: los desarrolladores de APT lo llaman «critical»; Ubuntu le da prioridad alta, con 7,7 sobre 10 en CVSS 4.0.
  • Quién lo encontró: todos los avisos lo atribuyen a Max Justicz.
  • Si hay ataques: ninguno de los avisos habla de explotación conocida.
  • Qué no afecta: según Ubuntu, los paquetes snap usan otro sistema y no están afectados, y las fuentes de paquetes por HTTPS protegen frente a este ataque.
  • Versiones corregidas (avisos del 4-nov):

- Debian 13 (trixie): 3.0.4 (DSA-6607-1).

- Debian 12 (bookworm): 2.6.2 (DLA-4880-1, según el rastreador de Debian).

- Ubuntu 26.10: 3.3.3ubuntu0.1 · 26.04 LTS: 3.2.1ubuntu0.1 · 24.04 LTS: 2.8.4ubuntu0.1 · 22.04 LTS: 2.4.15ubuntu0.1.

- Ubuntu 20.04 LTS y anteriores: corregidas solo para quien tiene Ubuntu Pro.

- Debian en pruebas (forky) seguía con la versión vulnerable 3.3.5 cuando se consultó el rastreador.

Qué cambia y qué no

  • Cambia para cualquier servidor con Debian o Ubuntu donde se instalen o actualicen paquetes: hasta tener la versión corregida, cada `apt install` o `apt upgrade` por HTTP es una oportunidad para quien controle la red o el espejo.
  • No cambia la firma de los repositorios: Ubuntu recuerda que, una vez actualizado APT, un espejo comprometido vuelve a no poder colar paquetes.
  • No afecta a la web en sí (WordPress, Drupal o tu aplicación): el riesgo está en el sistema del servidor que la aloja.

Cómo saber si te afecta

Si tienes un VPS o un servidor propio con Debian o Ubuntu:

  1. Mira tu versión: `apt list --installed '?source-package(^apt$)'` (el comando que da Ubuntu) y compárala con la lista de arriba.
  2. Actualiza sin reintentos. Ubuntu recomienda poner los reintentos a cero mientras se instala la corrección: `sudo apt update && sudo apt upgrade -o Acquire::Retries=0`.
  3. Si tienes actualizaciones automáticas, en Ubuntu (unattended-upgrades, activo de serie desde 16.04) la corrección se aplica sola en menos de 24 horas, según Ubuntu. Igual conviene comprobar la versión.
  4. Si tu servidor está en una red que no controlas, Ubuntu propone cambiar las fuentes de paquetes de `http://` a `https://` antes de actualizar; algunos espejos de la comunidad no admiten HTTPS, así que revisa que `apt update` no dé errores.

Si tu web está en un hosting compartido: no te toca a ti. Pregunta por escrito a tu proveedor: «¿Vuestros servidores usan Debian o Ubuntu? ¿Ya tienen APT corregido contra CVE-2026-109518?».

Si construyes imágenes de contenedor sobre Debian o Ubuntu que instalan paquetes con apt, la recomendación de este artículo es reconstruirlas sobre una imagen base que ya traiga la versión corregida.

Relacionado: Fallo crítico en el kernel Linux: qué revisar en tu servidor

Fuentes

Actualizaciones: si Debian corrige la rama de pruebas o se confirman ataques, se añadirá aquí con su enlace.