Debian ha publicado un aviso de seguridad sobre una vulnerabilidad en su gestor de paquetes APT que podría permitir a un atacante intermediario ejecutar código arbitrario con privilegios de root. El fallo está registrado como CVE-2026-109518, aunque en el momento del aviso descrito aquí no se había hecho público un informe completo.
Según el aviso DSA 6607-1 de Debian, APT puede combinar dos descargas de paquetes independientes si una redirección HTTP hace que compartan el mismo URI. Al reanudar una descarga HTTP, una gestión incorrecta de los archivos podría permitir que un atacante sustituyera un paquete después de que se hubiera verificado, lo que llevaría a la ejecución de código como root.
Debian afirma que la vulnerabilidad está corregida para la distribución estable Trixie en la versión 3.0.4 de APT. La actualización también soluciona varios problemas de acceso fuera de los límites, y Debian recomienda actualizar los paquetes de APT.
Fuentes: Phoronix.