CVE-2026-109518CVSS 7.7APT 下载验证绕过
HTTP 重定向及重试处理中复用硬链接，使验证后的软件包可被替换；Canonical 给出 CVSS 4.0 7.7 分。
APT 在 HTTP 重定向及重试后可能以 root 安装未经验证的软件包
CVE-2026-109518 可让网络路径上的攻击者利用 HTTP 重定向、下载重试及硬链接复用，在 APT 验证后替换软件包；要求 Acquire::Retries 非零。Debian 和 Ubuntu 现已列出修复包，Canonical 给出禁用重试的升级路径。尚未确立实际利用。
- 披露时间
- 2026年11月4日
- 更新于 2026年11月4日
- 严重程度
- CVSS 7.7
- 本页收录 1 个 CVE
- 波及范围
- APT 下载可被攻击者操纵的 HTTP 流量，发生重定向及重试，且 Acquire::Retries 非零。
- APT · Debian · Ubuntu
- 在野利用
- 未知
- CISA 11 月 4 日评估记录尚无利用，本轮未核实实际受害者。
发生了什么
APT 在下载重定向及重试时复用硬链接，使网络路径上的攻击者可导致安装其控制的未经验证的软件包。恶意镜像或代理属于已说明的威胁模型；这不代表软件包签名密钥或 Debian 仓库遭攻破。
攻击要求安装或下载发生重定向、重试，且重试设置非零。较新 Debian 及 Ubuntu 的默认值使其暴露，旧版在更改配置后也可能暴露。Canonical 评为高危；尚未确立实际利用或受害者人数。
Debian 跟踪页给出上表三个发行版修复。较早核查时，Ubuntu 仍将各版本标为受影响，USN-8996-1 返回 404。11 月 4 日可用性更新： USN 现已可读，CVE 页列出上表八个 Ubuntu 修复。26.10 博客在本次核查中出现正在发布及已修复两种响应，而 USN/CVE 均列 3.3.3ubuntu0.1 已修复。须核实实际软件源候选包及安装版本，不能假定每个镜像均已完成分发。旧版需要相应 Pro/ESM 及 Legacy 覆盖。
Canonical 建议在升级操作中禁用重试，也可防恶意镜像利用。连接可信镜像的 HTTPS 可防网络路径操纵，仍须安装补丁。Snap 安装使用另一套系统，不属于本 APT 漏洞。Debian 邮件列表访问挑战仍未解决，未使用未读邮件内容作为证据。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Debian 13 trixie APT | 3.0.4 | Debian 安全跟踪页列为已修复 |
| Debian 12 bookworm APT | 2.6.2 | Debian 安全跟踪页列为已修复 |
| Debian unstable APT | 3.3.6 | Debian 跟踪页列为已修复；forky 的 3.3.5 仍受影响 |
| Ubuntu 26.10 APT | 3.3.3ubuntu0.1 | USN/CVE 列为已修复，但博客响应有正在发布及已修复两种；核实实际软件源候选包。 |
| Ubuntu 26.04 LTS APT | 3.2.1ubuntu0.1 | 标准安全支持 |
| Ubuntu 24.04 LTS APT | 2.8.4ubuntu0.1 | 标准安全支持 |
| Ubuntu 22.04 LTS APT | 2.4.15ubuntu0.1 | 标准安全支持 |
| Ubuntu 20.04 LTS APT | 2.0.12+esm1 | Ubuntu Pro / ESM |
| Ubuntu 18.04 LTS APT | 1.6.19+esm1 | Ubuntu Pro / ESM |
| Ubuntu 16.04 LTS APT | 1.2.36+esm1 | Ubuntu Pro / ESM，另需 Legacy 扩展 |
| Ubuntu 14.04 LTS APT | 1.0.1ubuntu2.24+esm4 | Ubuntu Pro / ESM，另需 Legacy 扩展 |
案发时间线
2026年11月4日
Debian 及 Canonical 公开 APT 漏洞及处置记录
Debian 列出 bookworm、trixie 及 unstable 修复包。Canonical 说明 HTTP 重定向和重试前提；其 CVE 页及 CNA 版本记录对修复是否已发布存在差异。
2026年11月4日
Canonical 发布 USN 并更新 Ubuntu 修复可用状态
USN-8996-1 及 CVE 页列出八个修复构建。博客给出 Acquire::Retries=0 升级命令，但核查时 26.10 响应有正在发布及已修复两种，须核实实际软件源候选包。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Debian 安全跟踪页一手来源列出 bookworm 2.6.2、trixie 3.0.4 及 unstable 3.3.6 已修复；forky 3.3.5 受影响。
- Canonical CVE 页面一手来源CVE 页现列出 Ubuntu 14.04–26.10 修复构建及 Pro/Legacy 要求，取代此前受影响状态。
- Canonical 原始 CNA 记录一手来源受影响及修复阈值、CVSS 4.0；CISA 11 月 4 日评估记录尚无利用。此前无法访问的 USN 现已可读。
- Canonical USN-8996-1一手来源11 月 4 日通知列出八个 Ubuntu 修复包及 ESM/Legacy 要求。
- Canonical APT 处置说明一手来源禁用重试的升级命令、HTTPS 缓解及已安装源包检查；26.10 响应有正在发布及已修复两种，阈值均为 3.3.3ubuntu0.1。