APT CVE-2026-109518はHigh―HTTP通信の改ざんで検証済みパッケージを差し替え、root実行のおそれ
Debian・Ubuntuのパッケージ取得に影響。ダウンロードの再試行が条件で、APT自体の更新時にも再試行を無効にする対策が案内されています。
Debian・Canonicalの公表日：2026-11-04 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
DebianとCanonicalは2026年11月4日、APTのCVE-2026-109518に対応する更新を公表しました。CanonicalのCVSS v4.0評価は7.7、High。HTTP通信を操作できる相手が、利用者のパッケージ導入時に不正なdebファイルをインストールさせ、root権限でコードを実行できるおそれがあります。
原因は、HTTPリダイレクトで同じURIになったダウンロードの共有と、再取得時のファイル処理です。検証後のファイルが差し替わり、通常の署名・整合性検証をすり抜けます。成立にはダウンロード再試行の設定Acquire::Retriesが0以外であることが必要で、Debian 12やUbuntu 22.04 LTS以降は既定の構成が該当します。古い版も設定を変更していれば影響します。
Debian 13はAPT 3.0.4、Debian 12は2.6.2で修正済みです。Ubuntuでは22.04 LTSが2.4.15ubuntu0.1、24.04 LTSが2.8.4ubuntu0.1、26.04 LTSが3.2.1ubuntu0.1、26.10が3.3.3ubuntu0.1に対応します。aptコマンドだけでなく、APTライブラリを使うGUIなども対象です。
Canonicalは更新時の再試行を-o Acquire::Retries=0で無効化する方法を案内しています。信頼できる配布元のHTTPS化は通信経路上の改ざんを抑えますが、不正なミラーそのものへの対策まで代替するものではありません。公式手順に沿ってAPTを更新し、導入済み版を確認してください。Snapによるインストールは別の仕組みで、本件の対象外です。
出典と編集について
Canonical：CVE-2026-109518 APT vulnerability fixes available ↗Canonical：CVE-2026-109518の評価とUbuntu別修正版 ↗
Debian DSA-6607-1：Debian 13の修正 ↗
Debian DLA-4880-1：Debian 12の修正 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。