APT-Lücke CVE-2026-109518: was auf Ubuntu- und Debian-Servern zu tun ist

Am 4. November 2026 hat Canonical Korrekturen für CVE-2026-109518 veröffentlicht, eine Schwachstelle mit hohem Schweregrad (CVSS 4.0: 7.7) in APT, dem Paketmanager von Debian, Ubuntu und Derivaten. Ein Angreifer im Netzwerkpfad (on-path), der den HTTP-Verkehr zum Paketarchiv manipulieren kann, oder ein bösartiger Mirror oder Proxy, kann APT dazu bringen, ein nicht verifiziertes .deb-Paket zu installieren. Da Pakete mit Administratorrechten installiert werden, führt das zu Codeausführung als root.

Anders als der am selben Tag veröffentlichte OpenSSH-Bypass auf Alpine, der vor allem musl-Systeme ohne PAM betrifft, trifft diese Lücke genau die Server, die in Tessiner KMU am häufigsten sind: Ubuntu-VPS (etwa bei Infomaniak), Debian-Server, virtuelle Maschinen und APT-basierte Linux-Arbeitsplätze.

Was Ubuntu und Debian sagen

Laut dem Ubuntu-Sicherheitsblog und der Meldung USN-8996-1 wurde die Lücke von Max Justicz entdeckt und verantwortungsvoll gemeldet. Sie liegt im HTTP-Backend von APT, in der Behandlung von Hardlinks, wenn ein Download umgeleitet und wiederholt wird. Betroffen ist jedes APT-basierte Frontend: apt, apt-get, aptitude und die grafischen Werkzeuge von Ubuntu.

Drei Bedingungen sind für die Exposition entscheidend:

• Wiederholte Downloads. Die Ausnutzung setzt voraus, dass APT einen fehlgeschlagenen Download wiederholt, also Acquire::Retries ungleich 0. Der Wert 3 ist Standard ab Ubuntu 22.04 LTS und Debian 12: ältere Releases sind nur betroffen, wenn die Einstellung geändert wurde.
• HTTP-Transport. Der Angreifer muss unverschlüsselten HTTP-Verkehr manipulieren können. HTTPS schützt vor einem Angreifer im Netzwerkpfad, Canonical empfiehlt das Update aber trotzdem.
• Paketinstallation. Der Angriff greift nur, wenn das System ein .deb herunterlädt und installiert, etwa bei einem Update.

Snap-Pakete sind nicht betroffen, da sie ein anderes Paketverwaltungssystem nutzen. Der Debian Security Tracker nennt auch korrigierte Versionen für Debian 12 und 13.

Korrigierte Versionen

Von Ubuntu und Debian per 5. November 2026 als korrigiert angegebene Versionen des Pakets apt (immer an den offiziellen Quellen prüfen, die aktualisiert werden können):

Für Ubuntu 20.04, 18.04, 16.04 und 14.04 sind die Korrekturen über ESM mit Ubuntu Pro verfügbar (16.04 und 14.04 mit dem Legacy-Add-on).

Was auf Ubuntu- und Debian-Servern zu tun ist

1. Inventar. VPS, Server, VMs und Arbeitsplätze mit APT erfassen, mit Release und Anbieter. Ubuntu 22.04, 24.04 und 26.04 sind in der Standardkonfiguration betroffen.
2. Mit deaktivierten Wiederholungen aktualisieren. Canonical empfiehlt, Acquire::Retries während der Installation der Korrektur vorübergehend auf null zu setzen, damit die Lücke nicht gerade während des Updates ausgenutzt werden kann:

   sudo apt update && sudo apt upgrade -o Acquire::Retries=0

   Ist ein vollständiges Update nicht möglich, nur APT aktualisieren:

   sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

3. Installierte Version prüfen und mit der Tabelle vergleichen:

   apt list --installed '?source-package(^apt$)'

4. HTTPS in den Quellen bevorzugen. In /etc/apt/sources.list und /etc/apt/sources.list.d/ die http://-Adressen des Ubuntu-Archivs durch https:// ersetzen und prüfen, dass sudo apt update ohne Fehler läuft: manche Community-Mirrors unterstützen kein HTTPS. Das ist eine sinnvolle Vorsichtsmassnahme, aber kein Ersatz für den Patch.
5. Automatische Updates kontrollieren. Mit aktiviertem unattended-upgrades (Standard seit Ubuntu 16.04) werden Sicherheitskorrekturen in der Regel innert rund 24 Stunden eingespielt. Version und Logs trotzdem prüfen, besonders auf von Dritten verwalteten Servern.
6. Lieferanten und Mirrors. Bei Hosting, Cloud-Images oder internen Mirrors nachfragen, ob die Systeme bereits aktualisiert sind und welche APT-Quellen sie verwenden.

Wir veröffentlichen keine Exploit-Schritte: Ziel ist, die Exposition zu schliessen. Zu weiteren jüngsten Lücken in Server- und Web-Stacks siehe unsere Übersicht von Ende Oktober.

Häufige Fragen

Ist unser Ubuntu-VPS bei Infomaniak betroffen?

Wenn er Ubuntu 22.04 oder neuer mit Standardkonfiguration nutzt, ja: das Paket apt muss aktualisiert werden. Das konkrete Risiko hängt davon ab, ob der HTTP-Verkehr zu den Mirrors manipuliert werden kann, aber die Korrektur ist einfach und sollte eingespielt werden.

Wir nutzen bereits HTTPS für die Repositories: reicht das?

HTTPS schützt vor einem Angreifer im Netzwerkpfad, nicht aber vor einem bösartigen Mirror. Canonical empfiehlt in jedem Fall, das Update zu installieren.

Sind per Snap installierte Anwendungen gefährdet?

Nein. Laut Canonical nutzt Snap ein anderes Paketverwaltungssystem und ist von dieser Schwachstelle nicht betroffen.

Was ist der Unterschied zum OpenSSH-Problem auf Alpine?

Der OpenSSH-Bypass betrifft musl-Systeme ohne PAM, typischerweise Alpine; Ubuntu/Debian liegen ausserhalb. Die APT-Lücke betrifft dagegen gerade Debian und Ubuntu. Es sind zwei getrennte Massnahmen.

Unser Ansatz

ElaraTeq Sagl unterstützt KMU und Praxen im Tessin beim Server-Inventar, bei der Update-Planung und bei der sicheren Konfiguration von VPS und Hosting in der Schweiz (Hosting, Beratung). Für eine Prüfung Ihrer Systeme können Sie uns kontaktieren.

Quellen

• Ubuntu, CVE-2026-109518 APT vulnerability fixes available, 4. November 2026
• Ubuntu, CVE-2026-109518, 4. November 2026
• Ubuntu, USN-8996-1: APT vulnerability, 4. November 2026
• Debian, Security Tracker CVE-2026-109518