Falla APT CVE-2026-109518: cosa fare sui server Ubuntu e Debian

Il 4 novembre 2026 Canonical ha pubblicato correzioni per CVE-2026-109518, una vulnerabilità di gravità alta (CVSS 4.0: 7.7) in APT, il gestore di pacchetti di Debian, Ubuntu e derivate. Un attaccante che si trova sul percorso di rete (on-path) e può manipolare il traffico HTTP verso l’archivio dei pacchetti, oppure un mirror o un proxy malevolo, può indurre APT a installare un pacchetto .deb non verificato. Poiché i pacchetti vengono installati con privilegi di amministratore, il risultato è l’esecuzione di codice come root.

A differenza del bypass OpenSSH su Alpine pubblicato lo stesso giorno, che riguarda soprattutto sistemi musl senza PAM, questa falla tocca proprio i server più diffusi nelle PMI ticinesi: VPS Ubuntu (per esempio su Infomaniak), server Debian, macchine virtuali e postazioni Linux basate su APT.

Cosa dicono Ubuntu e Debian

Secondo il blog sicurezza di Ubuntu e l’avviso USN-8996-1, la falla è stata scoperta e segnalata responsabilmente da Max Justicz. Il problema sta nel backend HTTP di APT, nella gestione dei collegamenti fisici (hard link) quando un download viene reindirizzato e ripetuto. Riguarda qualunque interfaccia basata su APT: apt, apt-get, aptitude e gli strumenti grafici di Ubuntu.

Tre condizioni sono importanti per capire l’esposizione:

• Ripetizione dei download. Lo sfruttamento richiede che APT ritenti un download fallito, cioè Acquire::Retries diverso da 0. Il valore 3 è predefinito a partire da Ubuntu 22.04 LTS e Debian 12: le release più vecchie sono interessate solo se l’impostazione è stata modificata.
• Trasporto HTTP. Serve poter manipolare traffico HTTP in chiaro. HTTPS protegge da un attaccante sul percorso di rete, ma Canonical raccomanda comunque l’aggiornamento.
• Installazione di un pacchetto. L’attacco scatta solo quando il sistema scarica e installa un .deb, per esempio durante un aggiornamento.

I pacchetti snap non sono interessati, perché usano un sistema di gestione diverso. Il security tracker Debian indica versioni corrette anche per Debian 12 e 13.

Versioni corrette

Versioni del pacchetto apt indicate come corrette da Ubuntu e Debian al 5 novembre 2026 (verificate sempre sulle fonti ufficiali, che possono essere aggiornate):

Per Ubuntu 20.04, 18.04, 16.04 e 14.04 le correzioni sono disponibili tramite ESM con Ubuntu Pro (per 16.04 e 14.04 con l’add-on Legacy).

Cosa fare sui server Ubuntu e Debian

1. Inventario. Elencare VPS, server, VM e postazioni che usano APT, con release e fornitore. Ubuntu 22.04, 24.04 e 26.04 sono interessati nella configurazione predefinita.
2. Aggiornare con i tentativi disattivati. Canonical raccomanda di impostare temporaneamente Acquire::Retries a zero durante l’installazione della correzione, così la falla non può essere sfruttata proprio durante l’aggiornamento:

   sudo apt update && sudo apt upgrade -o Acquire::Retries=0

   Se non è possibile aggiornare tutto, si può aggiornare solo APT:

   sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

3. Verificare la versione installata e confrontarla con la tabella:

   apt list --installed '?source-package(^apt$)'

4. Preferire HTTPS nei sorgenti. Nei file in /etc/apt/sources.list e /etc/apt/sources.list.d/, sostituire gli indirizzi http:// dell’archivio Ubuntu con https:// e verificare che sudo apt update non dia errori: alcuni mirror comunitari non supportano HTTPS. È una precauzione utile, non un sostituto della patch.
5. Controllare gli aggiornamenti automatici. Con unattended-upgrades attivo (predefinito da Ubuntu 16.04) le correzioni di sicurezza vengono di norma applicate entro circa 24 ore. Conviene comunque verificare la versione e i log, soprattutto su server gestiti da terzi.
6. Fornitori e mirror. Chiedere a chi gestisce hosting, immagini cloud o mirror interni se i sistemi sono già aggiornati e quali sorgenti APT usano.

Non pubblichiamo passaggi di sfruttamento: l’obiettivo è chiudere l’esposizione. Per altre falle recenti su server e stack web, vedi il riepilogo di fine ottobre.

Domande frequenti

Il nostro VPS Ubuntu su Infomaniak è interessato?

Se usa Ubuntu 22.04 o successivo con la configurazione predefinita, sì: va aggiornato il pacchetto apt. Il rischio concreto dipende dalla possibilità di manipolare il traffico HTTP verso i mirror, ma la correzione è semplice e va applicata.

Usiamo già HTTPS per i repository: basta?

HTTPS protegge da un attaccante sul percorso di rete, ma non da un mirror malevolo. Canonical raccomanda in ogni caso di installare l’aggiornamento.

Le applicazioni installate con snap sono a rischio?

No. Secondo Canonical, snap usa un sistema di gestione dei pacchetti diverso e non è toccato da questa vulnerabilità.

Che differenza c’è con il problema OpenSSH su Alpine?

Il bypass OpenSSH riguarda sistemi musl senza PAM, tipicamente Alpine, e Ubuntu/Debian non sono nel perimetro. La falla APT riguarda invece proprio Debian e Ubuntu. Sono due interventi distinti.

Il nostro approccio

ElaraTeq Sagl supporta PMI e studi in Ticino nell’inventario dei server, nella pianificazione degli aggiornamenti e nella configurazione sicura di VPS e hosting in Svizzera (hosting, consulenza). Per una verifica dei vostri sistemi potete contattarci.

Fonti

• Ubuntu, CVE-2026-109518 APT vulnerability fixes available, 4 novembre 2026
• Ubuntu, CVE-2026-109518, 4 novembre 2026
• Ubuntu, USN-8996-1: APT vulnerability, 4 novembre 2026
• Debian, Security tracker CVE-2026-109518