DebianやUbuntuで広く使われているパッケージ管理ツールAPTに、パッケージをすり替えてroot権限でコードを実行される深刻な脆弱性（CVE-2026-109518）が公表されました。通信経路上でダウンロードデータを改ざんできる攻撃者が存在する場合、検証済みパッケージが不正なファイルに差し替えられる危険があります。Debian 12およびUbuntu 22.04以降では悪用の前提となる再試行機能が標準で有効になっているため、各組織のサーバー管理者は速やかなパッケージ更新の確認が急務となります。
The Hacker News：Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root
社内ネットワークやクラウド基盤において、サーバー通信経路の安全性や改ざん耐性が気になる場合は、当社のネットワークペネトレーションテストをご検討ください。
この記事のポイント
影響のあるシステム
- Debian 12以降およびUbuntu 22.04以降のシステム（APTのダウンロード再試行機能がデフォルトで有効）
- Acquire::Retries設定を手動やスクリプトで有効にしているDebian 11およびUbuntu 20.04
- Debian testingブランチ（バージョン3.3.5）
- Ubuntu 14.04からUbuntu 26.10までの対象リリース、およびDebianやUbuntuをベースとした派生ディストリビューション
推奨される対策
- Ubuntu環境において各リリース用の修正済みAPTパッケージ（26.10: 3.3.3ubuntu0.1、26.04 LTS: 3.2.1ubuntu0.1、24.04 LTS: 2.8.4ubuntu0.1、22.04 LTS: 2.4.15ubuntu0.1）へ速やかに更新する
- Debian 11環境において修正バージョン（APT 2.2.5）へ更新する
- 回避策（ワークアラウンド）が提供されていないため、修正パッケージの適用を最優先でスケジュールする
この記事に出てくる専門用語
- APT：DebianやUbuntu系OSでソフトウェアの導入や更新を担う中核ツールです。今回の脆弱性では、このAPT自身のダウンロード処理に不備が存在していました。
- CVE-2026-109518：APTにおいて、ダウンロードの再試行処理を悪用して検証済みパッケージをすり替え可能にする脆弱性の識別子です。
- 中間者攻撃（MitM）：通信を行う二者間に割り込み、やり取りされるデータを盗聴したり改ざんしたりする攻撃手口です。今回の脆弱性では、APTとパッケージサーバー間のHTTP通信に割り込む攻撃者が想定されています。
APTで検証済みパッケージがすり替えられる手口
The Hacker Newsによると、Debian、Ubuntu、およびAPT開発元は11月4日、APTのパッケージ取得処理に存在する脆弱性（CVE-2026-109518）のアドバイザリを公開しました。この脆弱性は、APTとパッケージサーバー間のHTTP通信を改ざんできる攻撃者が、検証済みの正規パッケージを自身の不正パッケージへとすり替えることを可能にします。
攻撃にはAPTのダウンロード再試行処理が悪用されます。攻撃者はHTTPリダイレクトや一時的なサーバーエラーを意図的に引き起こしてAPTに再ダウンロードを実行させ、その過程でファイルを置き換えます。すり替えられたパッケージがシステムに導入されると、攻撃者のコードがroot権限で実行されてしまいます。
私たち診断側の視点では、OS内部でroot権限を奪われる脆弱性は、侵入後の横展開や基盤乗っ取りに直結するため極めて危険度が高いと判断します。Ubuntuは本脆弱性を高優先度と位置付け、CVSS 4.0スコアを7.7と評価しています。
悪用条件と影響を受ける環境の内訳
DebianおよびUbuntuの発表によると、本攻撃が成立するにはAPTの失敗時ダウンロード再試行機能が有効になっている必要があります。Debian 12およびUbuntu 22.04以降ではこの再試行機能が標準で有効化されているため、初期設定のまま運用している環境でも影響を受けます。
Debian 11やUbuntu 20.04などの旧バージョンでは初期状態で影響を受けません。ただし、運用スクリプトや手動設定によって「Acquire::Retries」が有効化されている場合は脆弱性に晒されるとAPT開発元は指摘しています。
悪意あるミラーサーバーやプロキシを通過する通信経路にいる攻撃者、あるいはローカルネットワーク上でHTTPパケットを改ざんできる中間者が攻撃者となり得ます。なお、アドバイザリではHTTPS経由で取得されるパッケージソースが本脆弱性の対象となるかについては言及されていません。
各ディストリビューションの修正バージョンと更新状況
Ubuntuの発表によると、11月4日14時25分（UTC）時点で主要な4つのリリースに向けてセキュリティアーカイブから修正済みAPTビルドが公開されました。提供されたバージョンは以下の通りです。
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
有償サポートであるUbuntu Proの利用者向けにも修正が順次リリースされており、Ubuntu 14.04でも修正版が入手可能となっています。また、Debian 11向けにはAPT 2.2.5が公開された一方、Debian testingブランチでは11月4日14時58分（UTC）時点で脆弱なバージョン3.3.5が残存していました。
現時点でこの脆弱性を悪用した実攻撃の報告は確認されていません。しかし、DebianやUbuntuをベースにした名前の公表されていない派生ディストリビューションにも影響が及ぶため、基盤全体の稼働バージョンを確認することが欠かせません。
システム管理者が取るべき対応と確認手順
アドバイザリでは、アップデートを即座に適用できないシステム向けのワークアラウンド（回避策）は提示されていません。したがって、パッケージ管理ソフトウェア自体のアップデートを直接適用することが唯一の根本的な解決策となります。
私たちなら、まず稼働中のLinuxホストでAPTの現行バージョンを確認し、修正済みビルドと一致しているかを照合します。検証環境や社内ミラーを利用している組織では、信頼できないネットワーク経由でのパッケージダウンロードが発生しないよう、取得元の整合性も併せて見直すことを強く推奨します。
参考文献・記事一覧
中間者攻撃やプロキシ設定の不備など、内部通信に潜むリスクを洗い出したい場合は、実攻撃シナリオに基づいたネットワークペネトレーションテストで現状を診断します。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
