APT-Lücke CVE-2026-109518: Debian- und Ubuntu-Server jetzt aktualisieren

Dieser Beitrag wurde mit KI erstellt.

Im Paketmanager APT von Debian und Ubuntu steckt eine Lücke, über die ein Angreifer im Netzwerkweg ein geprüftes Paket gegen ein eigenes tauschen und so Code mit Root-Rechten ausführen kann: CVE-2026-109518, veröffentlicht am 04.11.2026. Betroffen sind in der Grundeinstellung alle Server ab Debian 12 und Ubuntu 22.04, Proxmox-Hosts eingeschlossen. Korrigierte Pakete stehen bereit. Aktualisiere APT jetzt und stelle deine Paketquellen auf HTTPS um.

Was passiert ist

APT prüft jedes Paket anhand der signierten Paketlisten, bevor es installiert wird. Der Fehler sitzt im HTTP-Teil von APT, und zwar dort, wo ein abgebrochener Download wiederholt wird. Mit Weiterleitungen und gezielt erzeugten Serverfehlern bringt ein Angreifer APT dazu, zwei Downloads zusammenzuwerfen. Am Ende landet ein Paket des Angreifers auf dem System, obwohl die Prüfung bestanden schien, und sein Installationsskript läuft als root. Gefunden und gemeldet hat die Lücke Max Justicz.

Ubuntu bewertet die Lücke mit 7,7 von 10 Punkten (CVSS 4.0) als hoch, die APT-Entwickler stufen sie als kritisch ein. Laut den Hinweisen von Ubuntu und dem Bericht von The Hacker News sind bislang keine Angriffe bekannt.

Wer betroffen ist

• Voraussetzung: Der Angreifer muss den HTTP-Verkehr zwischen deinem Server und der Paketquelle verändern können, etwa über einen manipulierten Spiegelserver, einen Proxy oder ein fremdes Netz. Quellen über HTTPS schützen laut Ubuntu vor dem Angriff.
• Debian: Debian 13 „Trixie“ ist mit APT 3.0.4 korrigiert (DSA 6607-1). Für Debian 12 „Bookworm“ und Debian 11 liefert Debian ebenfalls korrigierte Pakete aus; die genauen Versionen nennt der Debian Security Tracker.
• Ubuntu: korrigiert für 22.04 LTS (APT 2.4.15ubuntu0.1), 24.04 LTS (2.8.4ubuntu0.1), 26.04 LTS (3.2.1ubuntu0.1) und 26.10 (3.3.3ubuntu0.1). Ältere LTS-Versionen erhalten die Korrektur über Ubuntu Pro.
• Ältere Versionen: Debian 11 und Ubuntu 20.04 sind nur betroffen, wenn jemand die Download-Wiederholung (Acquire::Retries) eingeschaltet hat.
• Proxmox VE und Proxmox Backup Server: bauen auf Debian auf und installieren ihre Updates mit APT. Sie bekommen die Korrektur über die Debian-Sicherheitsquelle.

Was du jetzt tun solltest

• APT ohne Wiederholung aktualisieren: apt update && apt upgrade -o Acquire::Retries=0 spielt die Korrektur ein, ohne dass der Angriffsweg während des Updates offen ist. Danach ist kein Neustart nötig.
• Paketquellen auf HTTPS umstellen: Prüfe in /etc/apt/sources.list und unter /etc/apt/sources.list.d/, ob noch Quellen mit http:// eingetragen sind, und stelle sie auf https:// um, sofern der Spiegelserver das anbietet.
• Übergangslösung: Kannst du nicht sofort aktualisieren, schaltet Acquire::Retries "0"; in einer Datei unter /etc/apt/apt.conf.d/ die Download-Wiederholung ab und nimmt der Lücke ihre Grundlage.
• Automatische Updates prüfen: Unattended-Upgrades spielt die Korrektur unter Ubuntu innerhalb von 24 Stunden ein. Kontrolliere, ob es auf deinen Servern läuft.
• Vorlagen nicht vergessen: Container-Vorlagen, VM-Images und Installationsmedien bringen den alten Stand mit. Aktualisiere APT direkt nach jeder Neuinstallation.

So helfen wir dir

Mit der IT-Betreuung & Monitoring spielen wir Updates auf deinen Servern ein, bei dir vor Ort und in unserem Rechenzentrum, Proxmox-Hosts eingeschlossen. Für deinen V-Server oder Root-Server übernimmt der Managed Service Updates und Pflege des Betriebssystems. Betreibst du eine eigene Virtualisierung, kümmern wir uns um deine Proxmox-Umgebung. Erst kürzlich hat eine kritische Lücke im Linux-Kernel dieselben Server betroffen; regelmäßige Updates bleiben der wichtigste Schutz.

Du willst wissen, ob deine Linux-Server betroffen sind? Schreib uns an support@baebeca.de oder ruf an unter 02261-81616-0 – wir prüfen deine Systeme mit dir.