CVE-2026-109518CVSS 7.7APT 下载验证绕过
HTTP 重定向及重试处理中复用硬链接，使验证后的软件包可被替换；Canonical 给出 CVSS 4.0 7.7 分。
APT 在 HTTP 重定向及重试后可能以 root 安装未经验证的软件包
CVE-2026-109518 可让网络路径上的攻击者利用 HTTP 重定向、下载重试及硬链接复用，在 APT 验证后替换软件包；要求 Acquire::Retries 非零。Debian 已列出修复包，Ubuntu CVE 页面仍将各版本标为受影响。尚未确立实际利用。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- CVSS 7.7
- 本页收录 1 个 CVE
- 波及范围
- APT 下载可被攻击者操纵的 HTTP 流量，发生重定向及重试，且 Acquire::Retries 非零。
- APT · Debian · Ubuntu
- 在野利用
- 未知
- CISA 11 月 4 日评估记录尚无利用，本轮未核实实际受害者。
发生了什么
APT 在下载重定向及重试时复用硬链接，使网络路径上的攻击者可导致安装其控制的未经验证的软件包。恶意镜像或代理属于已说明的威胁模型；这不代表软件包签名密钥或 Debian 仓库遭攻破。
攻击要求安装或下载发生重定向、重试，且重试设置非零。较新 Debian 及 Ubuntu 的默认值使其暴露，旧版在更改配置后也可能暴露。Canonical 评为高危；尚未确立实际利用或受害者人数。
Debian 跟踪页给出上表三个发行版修复。Canonical CNA 另列较旧 Debian 及 Ubuntu 的版本阈值，但不能据此证明受支持发行版更新已可用。当前 Ubuntu 页仍列为受影响，关联 USN 返回 404。Debian 邮件列表原文出现访问挑战，本轮未绕过，也未将未读邮件正文作为证据。
马桶里有什么
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Debian 13 trixie APT | 3.0.4 | Debian 安全跟踪页列为已修复 |
| Debian 12 bookworm APT | 2.6.2 | Debian 安全跟踪页列为已修复 |
| Debian unstable APT | 3.3.6 | Debian 跟踪页列为已修复；forky 的 3.3.5 仍受影响 |
| Ubuntu APT | 无修复 | CVE 页仍将 14.04–26.10 列为受影响；CNA 给出修复阈值，但关联 USN 无法访问。须核实实际发布。 |
案发时间线
2026年11月4日
Debian 及 Canonical 公开 APT 漏洞及处置记录
Debian 列出 bookworm、trixie 及 unstable 修复包。Canonical 说明 HTTP 重定向和重试前提；其 CVE 页及 CNA 版本记录对修复是否已发布存在差异。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Debian 安全跟踪页一手来源列出 bookworm 2.6.2、trixie 3.0.4 及 unstable 3.3.6 已修复；forky 3.3.5 受影响。
- Canonical CVE 页面一手来源说明网络路径、重定向、重试及配置默认值；Ubuntu 各版本仍列为受影响。
- Canonical 原始 CNA 记录一手来源详细受影响及修复版本阈值、CVSS 4.0；CISA 11 月 4 日评估记录尚无利用，引用的 Ubuntu USN 返回 404。