ช่องโหว่ APT ใน Debian และ Ubuntu ให้ผู้ดักทราฟฟิกสลับแพ็กเกจที่ตรวจแล้วเป็นของตัวเอง รันโค้ดด้วยสิทธิ์ root — CVE-2026-109518 อาศัยการดาวน์โหลดซ้ำที่เปิดเป็นค่าเริ่มต้น
APT ตัวจัดการแพ็กเกจของ Debian และ Ubuntu มีช่องโหว่ CVE-2026-109518 ที่ให้ผู้แก้ไขทราฟฟิกระหว่างเครื่องกับเซิร์ฟเวอร์แพ็กเกจได้ สลับแพ็กเกจที่ผ่านการตรวจแล้วเป็นของตัวเองและรันโค้ดด้วยสิทธิ์ root ผู้โจมตีใช้ HTTP redirect และข้อผิดพลาดชั่วคราวบังคับให้ APT ดาวน์โหลดซ้ำ ซึ่งเปิดเป็นค่าเริ่มต้นตั้งแต่ Debian 12 และ Ubuntu 22.04 ผู้โจมตีอาจเป็น mirror หรือ proxy ประสงค์ร้าย ยังไม่มีรายงานการโจมตีจริงและไม่มีวิธีบรรเทาทางการ ผู้ดูแลควรอัปเดต APT ทันทีที่ distro ออกแพ็กเกจ