Debian と Ubuntu は2026年11月4日、apt や apt-get の基盤であるパッケージ管理ツール APT の脆弱性を修正しました。Ubuntu のセキュリティ通知 USN-8996-1 によると、研究者の Max Justicz 氏が、APT が「リダイレクトに遭遇してパッケージを再ダウンロードする際にハードリンクを誤って処理する」問題を発見しました。通信経路上の攻撃者が検証されていないパッケージをインストールさせ、root 権限でコードを実行できる可能性があります。識別番号は CVE-2026-109518 です。
攻撃の仕組み（SecurityOnline による）：サーバーとミラーの間に入った攻撃者、または不正なミラーが、HTTP での .deb ダウンロードを傍受し、リダイレクトやサーバーエラーで再試行を強制します。再試行の際、検証に失敗したファイルがインストールされ得て、パッケージのインストールスクリプトは root で動きます。Ubuntu の評価は High（CVSS v4 7.7）で、SecurityOnline によると Debian のメンテナーは Critical としています。
影響範囲：Acquire::Retries が 0 以外であることが条件で、APT 2.3.2 以降はこれが既定です。つまり Debian 12・13、Ubuntu 22.04 LTS 以降の標準構成が対象です。Debian 11 や Ubuntu 18.04/20.04 は再試行を有効にしている場合のみ影響します。HTTPS のリポジトリや snap はこの攻撃の対象外です。SecurityOnline は Kali Linux、Linux Mint、Proxmox VE などの派生ディストリビューションも影響を受けるとしています。
修正版 APT：Ubuntu 26.10 3.3.3ubuntu0.1、26.04 LTS 3.2.1ubuntu0.1、24.04 LTS 2.8.4ubuntu0.1、22.04 LTS 2.4.15ubuntu0.1（それ以前の LTS は Ubuntu Pro / Legacy Support で提供）、Debian 13 3.0.4、Debian 12 2.6.2、Debian 11 2.2.5。実際の悪用や公開された攻撃ツールは報告されていません。
