Debian・Ubuntu の APT に通信改ざんでパッケージ差し替えの脆弱性、修正版へ更新を

重要ポイント

APT に脆弱性(CVE-2026-109518)。通信を改ざんできる攻撃者が、検証済みのパッケージを悪意あるものに差し替え、root 権限でコードを実行できる
Ubuntu の優先度は high、CVSS 4.0 は 7.7。APT 開発側は critical と評価
Debian 12 と Ubuntu 22.04 以降は、ダウンロード失敗時の再試行が既定で有効なため攻撃の条件を満たす
公開時点で、実際の悪用は公表されていない。回避策は示されていない
Amazon Linux 2023 は dnf を使うため対象外。EC2 でも Ubuntu・Debian を使っている場合は更新が必要

製品	影響を受けるバージョン	修正版(これ以上にする)
APT(Debian・Ubuntu)	CVE-2026-109518 の影響を受ける版(Ubuntu は 14.04 LTS〜26.10 の全リリースが対象)	Ubuntu 26.10: 3.3.3ubuntu0.1 / 26.04 LTS: 3.2.1ubuntu0.1 / 24.04 LTS: 2.8.4ubuntu0.1 / 22.04 LTS: 2.4.15ubuntu0.1 / Debian 11: 2.2.5(ほかの Debian 版は各ディストリビューションの告知で確認)
Amazon Linux 2023(dnf)	APT は使わないため対象外	—

対処: sudo apt update && sudo apt install --only-upgrade apt で APT を更新します。更新用の通信が信頼できないネットワーク(不審なミラーやプロキシ)を通らないようにしてください。

確認: apt --version と apt-cache policy apt で、上の修正版以降か確かめます。

2026年11月4日、Debian・Ubuntu のパッケージ管理ツール APT に、中間者攻撃でパッケージの差し替えが可能になる脆弱性(CVE-2026-109518)が公表されました。Debian・Ubuntu はすでに修正版を公開しています。該当するサーバーは APT を更新してください。

Ubuntu は 14.04 LTS から 26.10 までの追跡中の 8 リリースすべてを影響ありとしています。Debian 11 と Ubuntu 20.04 は既定では再試行が無効ですが、スクリプトなどで Acquire::Retries を有効にしていると条件を満たします。

APT が失敗したダウンロードを再試行する際の処理に不備があり、通信経路を操作できる攻撃者(不正なミラーやプロキシなど)が、検証済みのパッケージを別のものに差し替えられます。差し替えられたパッケージは root 権限で実行されます。具体的な手順は書きません。

各ディストリビューションの修正版に APT を更新します。公開時点で回避策は示されていません。更新が遅れる場合は、パッケージの取得元を公式ミラーに限り、信頼できない経路での更新を避けてください。

apt --version で版を確認し、上の表の修正版以降であることを確かめます。Ubuntu 14.04 LTS は Ubuntu Pro の契約者向けに修正が提供されています。