Ngày 4/11/2026, Debian và Ubuntu vá lỗi trong APT — trình quản lý gói đứng sau apt và apt-get. Thông báo USN-8996-1 của Ubuntu cho biết nhà nghiên cứu Max Justicz phát hiện APT "xử lý sai hard link khi gặp chuyển hướng và tải lại gói", khiến kẻ tấn công đứng giữa đường truyền có thể cài một gói chưa được xác minh và chạy mã với quyền root. Mã lỗi: CVE-2026-109518.
Cách tấn công (theo SecurityOnline): kẻ tấn công nằm giữa máy chủ và mirror, hoặc vận hành mirror giả, chặn các lượt tải .deb qua HTTP, dùng chuyển hướng và lỗi máy chủ để buộc APT tải lại; trong lúc tải lại, APT có thể cài một tệp không qua kiểm tra, và script cài đặt gói chạy với quyền root. Ubuntu đánh giá mức cao (CVSS v4 7.7); SecurityOnline cho biết người bảo trì Debian xếp mức nghiêm trọng.
Ai bị ảnh hưởng: cần Acquire::Retries khác 0 — mặc định từ APT 2.3.2, tức bản cài mặc định của Debian 12, 13 và Ubuntu 22.04 LTS trở về sau. Debian 11 và Ubuntu 18.04/20.04 chỉ bị nếu đã bật tải lại. Kho dùng HTTPS và snap không bị tấn công kiểu này; SecurityOnline cho biết các bản phái sinh như Kali Linux, Linux Mint, Proxmox VE cũng thừa hưởng lỗi.
Phiên bản APT đã vá: Ubuntu 26.10 3.3.3ubuntu0.1, 26.04 LTS 3.2.1ubuntu0.1, 24.04 LTS 2.8.4ubuntu0.1, 22.04 LTS 2.4.15ubuntu0.1, các LTS cũ hơn qua Ubuntu Pro/Legacy Support; Debian 13 3.0.4, Debian 12 2.6.2, Debian 11 2.2.5. Chưa ghi nhận khai thác thực tế hay công cụ khai thác công khai.
