Debian corrige falha no APT que deixa atacante executar código como root

O que aconteceu

O Debian corrigiu uma falha no APT, a ferramenta que instala programas no sistema. Ela permitia a um atacante na rede adulterar um pacote depois da verificação e executar código como root, o nível máximo de privilégio. A correção saiu no apt 3.0.4, nas atualizações de segurança do Debian 13 em 4 de novembro.

Por que importa

Máquinas Debian 13 que baixam pacotes por HTTP podiam receber software adulterado na instalação ou atualização, com comandos executados como root. Servidores e equipamentos em redes corporativas ou hostis estavam expostos a comprometimento total.

O que fazer

Atualizar o apt para a versão 3.0.4 agora, pelas atualizações de segurança do Debian 13. Em redes não confiáveis, preferir espelhos HTTPS a repositórios HTTP.

Para o time técnico

CVE

CVE-2026-109518

Afetados

Debian APT (gerenciador de pacotes do Debian) · APT em downloads HTTP retomados; o aviso não especifica as versões afetadas.

Exploração

Sem PoC pública ou exploração relatada nas fontes; apenas divulgação.

Correção

apt 3.0.4, distribuído nas atualizações de segurança do Debian 13 em 4 de novembro. Segundo o changelog do Debian, a correção tem quatro palavras: 'Open target files exclusively'.

Vetor

APT, em downloads HTTP retomados. Um redirecionamento pode dar o mesmo endereço a dois downloads distintos, e o APT os mescla. Um homem-no-meio na rede então altera o arquivo depois da verificação, o que leva à execução de código como root.

Mais detalhes

A falha é o CVE-2026-109518. O changelog do Debian resume a correção a abrir os arquivos de destino de forma exclusiva.

Linha do tempo

1. 04/11/2026 10:53

   Divulgação inicial: falha CVE-2026-109518 corrigida no apt 3.0.4 para o Debian 13.

Fontes 1 fonte

• @IntCyberDigest @IntCyberDigest

Ver todas as notícias