Ubuntu USN-8996-1: fallo en APT (CVE-2026-109518) permite instalar paquetes no verificados como root

Resumen: el 4 de noviembre de 2026 Canonical publicó USN-8996-1 para corregir CVE-2026-109518 en APT, el gestor de paquetes presente en todas las instalaciones de Ubuntu. Un atacante en posición de intermediario (o un mirror malicioso) puede lograr que APT instale un paquete no verificado y ejecutar código como root. Prioridad de Ubuntu: high. Actualiza APT con los reintentos desactivados.

Qué es la vulnerabilidad

El fallo lo descubrió Max Justicz. Según el aviso de Ubuntu, APT gestionaba incorrectamente los hard links al encontrarse con redirecciones HTTP y reintentar descargas de paquetes. El aviso de Debian (DSA 6607-1, difundido en oss-security) lo describe así: APT puede "fusionar" dos descargas de paquetes distintas cuando una redirección HTTP les asigna la misma URI, y maneja incorrectamente los archivos al reanudar una descarga HTTP, lo que permite a un atacante en la red sustituir un paquete que ya había superado la verificación.

El resultado es grave: la verificación criptográfica de los repositorios, que es precisamente la defensa de APT frente a redes hostiles, queda burlada. Como el paquete se instala con privilegios de administrador, el impacto es ejecución remota de código como root. NVD clasifica el fallo como CWE-62 (UNIX Hard Link) y CWE-367 (TOCTOU race condition).

Condiciones para la explotación

• El atacante debe poder manipular el tráfico HTTP entre el cliente y el repositorio (red compartida, Wi-Fi, proveedor comprometido, DNS envenenado) o controlar un mirror.
• El cliente debe seguir redirecciones y reintentar descargas: solo afecta si Acquire::Retries es distinto de cero. Ese es el valor por defecto en Ubuntu 22.04 LTS y posteriores (y Debian 12), así que esas versiones son vulnerables con la configuración de serie; las anteriores solo si alguien activó los reintentos.
• Afecta a cualquier interfaz que use libapt: apt, apt-get, aptitude y las herramientas gráficas.
• No afecta a los snaps ni a transportes distintos de HTTP. Usar repositorios HTTPS impide la manipulación del tráfico, aunque Canonical lo presenta como mitigación, no como sustituto de la actualización.

Versiones corregidas

Versiones del paquete apt publicadas en USN-8996-1 (4 de noviembre de 2026):

Debian publicó la corrección en DSA 6607-1, que además soluciona varios accesos fuera de límites en APT.

Puntuación CVSS

Canonical, como CNA, asignó CVSS 4.0: 7.7 (Alta) con el vector CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. A 9 de noviembre de 2026, NVD tiene la entrada en estado Received y todavía no ha publicado una puntuación propia. No consta explotación activa en las fuentes consultadas.

¿Estoy afectado? Cómo comprobarlo

# Versión de Ubuntu
. /etc/os-release && echo "$VERSION_ID ($VERSION_CODENAME)"

# Versión instalada de APT (comando recomendado por Canonical)
apt list --installed '?source-package(^apt$)'

# Alternativas
dpkg-query -W apt
apt-cache policy apt

# ¿Están activos los reintentos? (en 22.04+ el valor por defecto es 3)
apt-config dump | grep -i 'Acquire::Retries'

# ¿Qué orígenes usan HTTP sin TLS?
grep -rhE '^(deb|URIs:)' /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null | grep 'http://'

# Ubuntu Pro
pro fix CVE-2026-109518

Compara la versión instalada con la tabla anterior: si es menor que la corregida para tu versión de Ubuntu, el sistema es vulnerable.

Cómo actualizar de forma segura

La propia actualización se descarga con APT, así que Canonical recomienda instalarla desactivando los reintentos para que no pueda explotarse durante la actualización:

# Recomendado: actualizar todo el sistema
sudo apt update && sudo apt upgrade -o Acquire::Retries=0

# Si no puedes hacer un upgrade completo: solo APT
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

Los equipos con unattended-upgrades activo recibirán la corrección automáticamente, pero conviene forzarla en servidores expuestos y en la flota que se conecta a redes no confiables.

Mitigación temporal

Si no puedes actualizar de inmediato, desactiva los reintentos de forma persistente y, si tu mirror lo admite, usa HTTPS:

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99-cve-2026-109518

Elimina ese archivo una vez actualizado si quieres recuperar los reintentos automáticos. Algunos mirrors comunitarios no ofrecen HTTPS: comprueba el tuyo antes de cambiar http:// por https:// en tus orígenes.

Por qué importa

APT es el punto de entrada de todo el software de un servidor Ubuntu: un paquete malicioso instalado como root compromete el sistema completo y, en entornos de CI/CD o imágenes base, puede propagarse a toda la infraestructura. La combinación de "presente en todos los sistemas", "valor por defecto vulnerable" y "root" justifica tratarlo como prioritario aunque requiera posición de intermediario.

Cómo te ayuda VulnAudit

Con los agentes de servidor de VulnAudit tienes visibilidad continua de tus máquinas Linux (CPU, memoria, disco, procesos) y alertas si un servidor deja de reportar tras un reinicio de mantenimiento. Combínalo con el escaneo de vulnerabilidades para revisar la superficie expuesta de cada host.

Referencias

• Ubuntu — USN-8996-1: APT vulnerability (4 de noviembre de 2026)
• Ubuntu — CVE-2026-109518 en el CVE tracker de Ubuntu
• Canonical — APT vulnerability: fixes available (Luci Stanescu, 4 de noviembre de 2026)
• NVD — CVE-2026-109518 (publicada el 4 de noviembre de 2026)
• oss-security — DSA 6607-1 apt (4 de noviembre de 2026)
• Debian — debian-security-announce: DSA 6607-1