Debian・Ubuntu APTの脆弱性、MitM攻撃者によるroot権限でのコード実行を可能にする恐れ：CVE-2026-109518

Debian・Ubuntu APTの脆弱性、MitM攻撃者による検証済みパッケージの置き換えとroot権限でのコード実行を可能にする恐れ：CVE-2026-109518

The Hacker News – Nov 04, 2026

DebianおよびUbuntu向けのパッケージマネージャーAPT（Advanced Package Tool）の脆弱性CVE-2026-109518について、DebianとUbuntu、およびAPTの開発者らが警告。パッケージダウンロードを改変可能な攻撃者がこの脆弱性を悪用すると、APTによる検証を通過したパッケージを攻撃者が用意した不正なパッケージに置き換え、インストールさせることが可能になるという。

Debian、Ubuntu、APT開発者は11月4日にそれぞれCVE-2026-109518のアドバイザリをリリース。これによると、同脆弱性を悪用した攻撃者はroot権限で任意のコードを実行できるようになる恐れがあるとされる。APTにはパッケージのダウンロードに失敗した際、自動的にダウンロードを再試行する機能があるが、この攻撃を成立させるには、この再試行が行われる必要があるという。なお、Debian 12およびUbuntu 22.04以降では、この再試行がデフォルトで有効になっている。

Ubuntuは、APTとパッケージサーバー間のHTTP通信を改変できる者であれば誰でもこの脆弱性を悪用できる可能性があると説明。これには、悪意あるミラーサーバーやプロキシの運営者も含まれるとされる。攻撃はコンピューターがパッケージをインストールする際に実行され、APTの開発者らによると、攻撃者はHTTPリダイレクトや一般的な一時的サーバーエラーを利用して、APTにダウンロードを再試行させるという。

Debianは、CVE-2026-109518を修正したAPTのバージョンを公開済み。APTの開発者らは、この脆弱性を「Critical（重大）」と評価しており、Ubuntuおよび同OSの有償サブスクリプションサービス「Ubuntu Pro」向けの更新プログラムも公開が進められていると説明している。Ubuntu Proを利用するUbuntu 14.04のユーザーは、すでに修正プログラムを入手できるという。

一方UbuntuはCVE-2026-109518の優先度を「高（High）」と評価しており、CVSS 4.0のスコアは7.7とした。またDebianやUbuntuをベースとするLinuxディストリビューションも影響を受けると説明したものの、具体的なディストリビューション名は挙げていない。

Ubuntuは以下の4つのバージョン向けに、APTの修正版をセキュリティアーカイブで公開している。

• Ubuntu 26.10： 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS： 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS： 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS： 2.4.15ubuntu0.1

3件のセキュリティアドバイザリのいずれにも、この脆弱性を悪用した攻撃の事例や、まだ更新できないシステム向けの回避策は記載されなかった。また、各アドバイザリではHTTP通信を介した攻撃についての説明があるものの、HTTPS経由でアクセスするパッケージ配布元も影響を受けるかどうかについては言及されていない。