Elígenos como tu fuente preferida en Google. La vulnerabilidad CVE-2026-109518 afecta al gestor de paquetes APT en distros de Linux. El fallo permite sustituir los paquetes verificados por archivos maliciosos. Los administradores de sistemas Linux tienen un nuevo problema de seguridad que vigilar. Se ha identificado una vulnerabilidad de alta gravedad en APT, el sistema de gestión de paquetes utilizado por Debian, Ubuntu y numerosas distribuciones derivadas , que puede permitir la instalación de software malicioso con privilegios de administrador sin necesidad de que el atacante disponga de una firma legítima del paquete . Registrado como CVE-2026-109518, el fallo afecta al proceso de descarga y validación de paquetes cuando confluyen redirecciones HTTP, reintentos automáticos de descarga y una gestión incorrecta de enlaces duros dentro del propio mecanismo de adquisición de paquetes. Aunque no existen informes públicos sobre explotación activa, la naturaleza del problema resulta especialmente preocupante porque compromete uno de los pilares de confianza del ecosistema Linux: la integridad de las actualizaciones y del software distribuido a través de repositorios. El descubrimiento fue revelado por Debian en su aviso de seguridad oficial y atribuido al investigador Max Justicz. La vulnerabilidad impacta especialmente en sistemas modernos configurados con reintentos automáticos activados, una característica que forma parte de la configuración predeterminada de sistemas. Esto significa que numerosos servidores, estaciones de trabajo y entornos corporativos podrían cumplir los requisitos necesarios para una explotación exitosa si un atacante consigue posicionarse entre el equipo de la víctima y el origen de las descargas. El fallo reside en la manera en que APT gestiona determinadas descargas cuando intervienen redirecciones HTTP. Bajo circunstancias específicas, el gestor puede terminar fusionando dos descargas distintas al resolver ambas hacia una misma URI. Durante los posteriores reintentos de descarga, una gestión insegura de enlaces duros reutilizados crea una ventana de oportunidad para que un atacante sustituya el contenido original por un paquete manipulado. Los enlaces duros permiten que varios nombres de archivo apunten al mismo contenido físico dentro del sistema de archivos. En este caso, el mecanismo empleado por APT puede provocar una ruptura entre el paquete que fue validado inicialmente y el que finalmente termina instalándose. Se trata de un clásico escenario de "time-of-check to time-of-use" (TOCTOU), una categoría de vulnerabilidades donde un archivo cambia después de superar las verificaciones de seguridad pero antes de ser utilizado por el sistema. El resultado es especialmente delicado porque la instalación puede completarse con un paquete distinto al que previamente había sido verificado criptográficamente. Según la documentación publicada por Debian y Canonical, un atacante con capacidad para controlar el tráfico HTTP implicado, ya sea mediante un espejo malicioso , un proxy comprometido o cualquier intermediario en la ruta de comunicación, puede lograr que el sistema instale software no autenticado. Dado que los paquetes instalados mediante APT se ejecutan con permisos elevados durante numerosos procesos de mantenimiento y actualización, el impacto potencial incluye la ejecución de malware con privilegios de administrador. La vulnerabilidad recibió una puntuación CVSS v4.0 de 7,7 sobre 10, lo que la sitúa dentro de la categoría de alta gravedad . Sin embargo, la explotación no es automática. El entorno vulnerable debe cumplir ciertas condiciones concretas. Entre ellas destaca que el cliente siga redirecciones HTTP y que la opción Acquire::Retries tenga un valor superior a cero . Este detalle cobra relevancia porque Debian 12 Bookworm y Ubuntu 22.04 LTS introdujeron tres reintentos automáticos como configuración predeterminada, aumentando el número de sistemas potencialmente expuestos. Esto no significa q
También lo cubren: Computer Hoy - Lo último (España).
Ver más en News Today