Debian 修复 apt 中间人攻击漏洞：可被植入任意代码，用户应尽快升级

作者：林序

Debian 于 11 月 4 日发布安全公告 DSA-6607-1，修复 apt 包管理器中的中间人攻击漏洞（CVE-2026-109518）。攻击者可替换已通过校验的软件包，并以 root 权限执行任意代码。Debian 稳定版已修复至 apt 3.0.4，Ubuntu 同日发布对应更新。

Debian 项目在 11 月 4 日发布安全公告 DSA-6607-1：包管理器 apt 存在中间人攻击漏洞，攻击者可以在下载环节替换已经通过校验的软件包，最终以 root 权限执行任意代码 。

所谓中间人攻击，通俗地说，是在下载软件包的过程中被第三方截获并篡改：网络路径上的第三方，或被控制的镜像站、代理，都能对下载内容动手脚。这次的成因是，两次不同的下载在 HTTP 重定向后指向了同一个地址，硬链接被复用，断点续传时文件处理不当，于是攻击者可以在校验之后把包换掉 。

触发这个漏洞有几个前提：客户端要跟随重定向，并在失败后重试下载，同时 Acquire::Retries 不能为 0。该值自 Debian 12（bookworm）和 Ubuntu 22.04 LTS 起默认为 3，更早的版本在默认配置下不受影响 。Ubuntu 给出的 CVSS v4.0 评分是 7.7，属于高危 。

修复版本方面，Debian 稳定版 trixie 的 apt 已升级到 3.0.4，旧稳定版另有对应的 LTS 更新 DLA-4880-1；这次更新同时修掉几个越界访问问题 。Ubuntu 同日发布 USN-8996-1，24.04 LTS 的修复版本为 2.8.4ubuntu0.1，其他受支持版本也各有对应的软件包 。

使用 Debian 或衍生系统的用户，跑一次 apt update && apt upgrade 就能装上修复版本。如果长期不更新，下载包时就可能把别人替换过的内容装进系统。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Debian apt security update: man-in-the-middle arbitrary code execution
• [S2] CVE-2026-109518
• [S3] CVE-2026-109518 | Ubuntu
• 配图 1：来源：Ubuntu（图片署名见原文） · 图片出处