APT, falla CVE-2026-109518: da HTTP a root su Ubuntu, patch disponibili

Ubuntu 22.04 LTS e le versioni successive sono vulnerabili di default a CVE-2026-109518, una falla di APT che può dare i privilegi di root a chi controlla il traffico HTTP verso l’archivio dei pacchetti. Chi le usa deve aggiornare apt: le correzioni sono già disponibili. Lo dice l’annuncio di Canonical, che attribuisce la scoperta a Max Justicz, autore della segnalazione responsabile. La gravità è High, con punteggio CVSS 4.0 di 7,7.

Chi è esposto e cosa fare

Secondo Canonical, da Ubuntu 22.04 LTS in poi la falla è sfruttabile subito, perché l’impostazione Acquire::Retries ha un valore diverso da zero. I rilasci più vecchi sono toccati solo se quell’impostazione è stata portata a un valore non zero.

Chi ha attivo unattended-upgrades, abilitato di default da Ubuntu 16.04 LTS in poi, riceve le patch in automatico entro 24 ore dalla disponibilità. Chi aggiorna a mano deve usare uno di questi comandi, con i tentativi di download azzerati per la durata dell’aggiornamento:

• aggiornamento completo: sudo apt update && sudo apt upgrade -o Acquire::Retries=0
• solo il componente interessato: sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

Canonical spiega che Acquire::Retries=0 durante l’installazione mitiga la falla sia contro un attaccante sul percorso di rete sia contro un mirror potenzialmente malevolo.

Cosa permette a chi attacca

APT è il gestore di pacchetti di Debian, Ubuntu e derivate. Un attaccante «on-path», cioè in grado di manipolare il traffico HTTP tra il sistema e il server dell’archivio, può sostituire un file scaricato con un pacchetto .deb da lui controllato. Normalmente la firma dell’archivio blocca questo scenario; la falla fa installare il pacchetto anche se la verifica della firma fallisce.

All’installazione, gli script di un .deb girano con privilegi di root: da qui il controllo del sistema. Canonical precisa che l’attacco riesce solo se la macchina tenta di installare un pacchetto. Un mirror malevolo può sfruttare la falla allo stesso modo per consegnare pacchetti non firmati; dopo l’aggiornamento di APT i mirror compromessi non sono più un rischio.

Cosa è toccato e cosa no

• La falla sta nel backend HTTP della libreria APT, quindi vale per qualsiasi frontend: apt, apt-get, aptitude e le applicazioni grafiche di Ubuntu.
• Serve che il client ritenti un download fallito. Con Acquire::Retries a 0 la falla non è sfruttabile.
• Non sono interessate le installazioni tramite snap, che usano un altro sistema di gestione dei pacchetti.
• Il trasporto HTTPS (TLS) protegge, perché l’attacco richiede di manipolare traffico HTTP. Anche altri metodi, come FTP, non sono toccati.

Versioni di apt corrette per ogni rilascio

La tabella riporta le versioni corrette indicate da Canonical. L’annuncio contiene solo i dati per Ubuntu: per Debian e per le altre derivate di APT non dà numeri di versione.

Le correzioni per 26.10, 26.04, 24.04 e 22.04 arrivano con il supporto standard. Per 20.04 e 18.04 servono Ubuntu Pro con Expanded Security Maintenance (ESM); per 16.04 e 14.04 serve ESM con il componente Legacy. Ubuntu Pro è gratuito fino a 5 macchine, o 50 per i membri della community.

Come controllare la versione installata

Per sapere se il sistema è già corretto, esegui apt list --installed '?source-package(^apt$)' e confronta la versione con la tabella qui sopra.

Se non puoi aggiornare subito: passare a HTTPS

Prima dell’aggiornamento, Canonical indica di sostituire http:// con https:// nelle sorgenti APT. I file sono /etc/apt/sources.list e la cartella /etc/apt/sources.list.d/, sia in formato .sources sia nel vecchio formato .list. Questo comando cambia solo gli URL degli archivi Ubuntu (archive, security e ports su ubuntu.com):

sudo sed -Ei 's!http://((([a-z]+\.)?archive|security|ports)\.ubuntu\.com)!https://\1!' /etc/apt/sources.list /etc/apt/sources.list.d/*.list /etc/apt/sources.list.d/*.sources

Altri mirror o repository non vengono modificati. Poi esegui sudo apt update e verifica che non ci siano errori: alcuni mirror gestiti dalla comunità, compresi certi mirror nazionali, non supportano HTTPS.

Canonical raccomanda di installare gli aggiornamenti anche con HTTPS attivo. Dopo la patch il TLS resta una precauzione futura: la firma dell’archivio offre una verifica end-to-end, non limitata al transito come il TLS. Riferimenti ufficiali: la pagina CVE di Ubuntu e l’avviso USN-8996-1.

Leggi anche

• Ubuntu 22.04 e kernel: falla critica CVE-2026-98432, patch in -proposed