O Debian publicou um aviso de segurança sobre uma vulnerabilidade no gerenciador de pacotes APT que poderia permitir que um atacante intermediário executasse código arbitrário com privilégios de root. A falha é identificada como CVE-2026-109518, embora um relatório completo ainda não tivesse sido divulgado no momento do aviso descrito aqui.
De acordo com o DSA 6607-1 do Debian, o APT pode combinar dois downloads separados de pacotes se um redirecionamento HTTP fizer com que eles compartilhem o mesmo URI. Ao retomar um download HTTP, o tratamento inadequado de arquivos poderia permitir que um atacante substituísse um pacote após a verificação, levando à execução de código como root.
O Debian afirma que a vulnerabilidade foi corrigida na distribuição estável Trixie com a versão 3.0.4 do APT. A atualização também corrige vários problemas de acesso fora dos limites, e o Debian recomenda atualizar os pacotes do APT.
Fontes: Phoronix.