Die Lücke wird als CVE-2026-109518 geführt; die APT-Entwickler stufen sie als kritisch ein, Ubuntu vergibt die Priorität „hoch" und einen CVSS-4.0-Wert von 7.7. Laut Ubuntu sind auch auf Debian und Ubuntu aufbauende Distributionen betroffen, ohne dass konkrete Namen genannt werden.

Als Angreifer kommt nach Angaben von Ubuntu jeder in Frage, der den HTTP-Verkehr zwischen APT und dem Paketserver verändern kann, etwa ein bösartiger Spiegelserver oder Proxy. Der Angriff greift beim Installieren eines Pakets. Die APT-Entwickler beschreiben, dass der Angreifer HTTP-Weiterleitungen und gewöhnliche temporäre Serverfehler nutzt, um APT zu einem erneuten Download zu bewegen.

Ältere Veröffentlichungen wie Debian 11 und Ubuntu 20.04 sind laut Ubuntu standardmäßig nicht betroffen. Die APT-Entwickler weisen jedoch darauf hin, dass viele Nutzerskripte die Einstellung Acquire::Retries auch dort aktiviert haben dürften.

Debian hat korrigierte APT-Versionen veröffentlicht. Der Testing-Zweig stand am 4. November um 14:58 UTC noch auf der verwundbaren Version 3.3.5. Für Debian 11, dessen Debian-Langzeitunterstützung am 31. August endete, haben die APT-Entwickler die korrigierte Version 2.2.5 bereitgestellt.

Laut den APT-Entwicklern werden Aktualisierungen für Ubuntu und den Abodienst Ubuntu Pro ausgeliefert; Nutzer von Ubuntu 14.04 mit Ubuntu Pro können bereits eine beziehen. Um 14:25 UTC am 4. November stellte Ubuntu neue APT-Pakete für vier Veröffentlichungen in sein Sicherheitsarchiv:

  • Ubuntu 26.10: 3.3.3ubuntu0.1
  • Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
  • Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
  • Ubuntu 22.04 LTS: 2.4.15ubuntu0.1

Um 15:46 UTC führte Ubuntu weiterhin alle acht von ihm für die Lücke verfolgten Veröffentlichungen von 14.04 LTS bis 26.10 als verwundbar.

Gemeldet hat die Schwachstelle Max Justicz. Keiner der drei Sicherheitshinweise beschreibt Angriffe, die die Lücke ausnutzen, oder nennt eine Behelfslösung für Systeme, die noch nicht aktualisieren können. Sie schildern den Angriff über HTTP und äußern sich nicht dazu, ob über HTTPS erreichte Paketquellen betroffen sind.