APTに深刻な脆弱性CVE-2026-109518｜通信途中でパッケージ差し替え・root権限で悪用の恐れ

Debian・Ubuntu とその派生ディストロのパッケージ管理ツール APT に、深刻な脆弱性 CVE-2026-109518（GitHub Advisory GHSA-jw32-37xr-xwfw、High・CVSS v4 7.7、2026-11-04 公開）が見つかった。要点は、APT とミラーサーバの間の HTTP 通信を操作できる「経路上の攻撃者」が、更新の途中でパッケージを差し替え、未検証のパッケージを root 権限で導入できてしまう——つまり中間者による root RCE につながりうる、という点だ。対処はシンプルで、いますぐ sudo apt update && sudo apt upgrade で修正を当てること。あわせて、以前扱った Linux カーネルの脆弱性への大規模スキャンも観測され始めており、サーバー運用者は両方の更新を急ぎたい。土台は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 も参照。

# いますぐ（Debian/Ubuntu系）
sudo apt update && sudo apt upgrade

何が起きるのか——経路上の改ざんでroot権限

GHSA の説明はこうだ（原文の要旨）——「Debian・Ubuntu と派生ディストロで、APT クライアントとアーカイブサーバ間の HTTP 通信を操作できる経路上の攻撃者（悪意あるミラーやプロキシを含む）は、パッケージインストールを契機に、クライアントを騙して攻撃者が用意した未検証パッケージをインストールさせ、root 権限でリモートコード実行を達成しうる」。

鍵は2つだ。ひとつは原因で、ハードリンクの再利用（CWE-62）。もうひとつは成立条件で、クライアントが redirect を追従し、ダウンロードを再試行する動き（Acquire::Retries が非0）だ。APT は取得に失敗すると再試行するが、その再試行とハードリンクの扱いの隙を突かれると、署名検証を経ていないパッケージが入り込む余地が生まれる。通常 APT はリポジトリの署名で完全性を担保しているが、この経路ではその前提が崩れる。なお、攻撃の具体的な再現手順は本記事では扱わない（防御が目的）。

なぜ署名があるのに通るのか——ここが直感に反する。APT は取得物の署名を検証して完全性を守るが、今回の弱点は「取得の途中」、すなわち redirect の追従・再試行・ハードリンクの扱いにある。検証が効くべき対象そのものを、検証の前にすり替える余地を作ってしまうのだ。だから「HTTPS ミラーで署名があるから大丈夫」とは言い切れない。経路上に立てる攻撃者が再試行を誘発できる条件下では差し替えが成立しうる——CVSS v4 で機密性・完全性・可用性すべて High（7.7）と評価されたのは、この深さゆえだ。

現実にどこで刺さるかも押さえておきたい。(1) 公共 Wi‑Fi など信頼できないネットワークで apt 更新する、(2) 経路上のプロキシや社内中継が侵害される、(3) 非公式・HTTP のミラーをうっかり使っている——といった場面だ。いずれも「経路上に攻撃者が立てる」状況で、クラウドの管理ネットワークでも踏み台を取られれば同じ条件になりうる。だから「どこから apt を叩くか」も守りの一部になる。

影響する条件——既定でRetries=3の新しめのリリース

「自分は該当するのか」を分けるのが Acquire::Retries の既定値だ。GHSA は、この値が 3 になるのは Debian 12（bookworm）と Ubuntu 22.04 LTS（Jammy Jellyfish）以降が既定で、それより古いリリースは既定構成では影響しないと明記している。

まとめると、影響を受けるのは「Acquire::Retries が非0（既定3）の Debian 12／Ubuntu 22.04 以降とその派生で、HTTP ミラー経由で更新する構成」だ。影響を受けるバージョンや正確な修正版の番号は GHSA 本文には記載がなく（Affected/Patched とも Unknown）、各ディストロの通知（Debian DSA/LTS・Ubuntu USN-8996-1）で配布されるため、対象判断はディストロの通知と apt upgrade の結果で行う。

ポイントは「古いから安全」ではないことだ。古いリリースでも Acquire::Retries を手で非0にしていれば条件を満たすし、そもそもサポート切れの版を使い続ける方がリスクは大きい。該当する/しないに関わらず、修正を当てるのが筋である。

対策——いますぐ apt update && upgrade

根本対処は、ディストリビューションが配布した修正版 APT への更新だ。CVE-2026-109518 は APT 自体の不具合なので、apt を直せば解消する。

# 1) 修正を取り込む（Debian / Ubuntu / 派生）
sudo apt update && sudo apt upgrade

# 2) apt 自体が上がったか確認
apt-cache policy apt

補助的な緩和としては、(a) ミラーを HTTP でなく HTTPS/信頼できる経路にする、(b) Acquire::Retries を 0 にして再試行を無効化する、が挙げられるが、いずれも更新の代わりにはならない。攻撃には「通信経路上に立てること」が要るので、信頼できないネットワーク（公共 Wi‑Fi・未検証のミラーやプロキシ）での更新は特に避けるのが現実的な守りだ。

日常的には、ディストロの修正を取りこぼさない運用が効く。サーバーなら unattended-upgrades でセキュリティ更新を自動適用する、依存やベースイメージの更新を自動追従する（Renovate・Dependabot の活用）、といった仕組みで「更新の遅れ」そのものを減らしておくと、こうした速報のたびに慌てずに済む。

自分のサーバーを確認する

該当条件は「リリース」と「再試行設定」で決まる。確認してから、更新状況を見る。

# どのリリースか（Debian 12 / Ubuntu 22.04 以降が既定で対象）
cat /etc/os-release

# Acquire::Retries の実効値（非0なら条件を満たす。既定3のことが多い）
apt-config dump Acquire::Retries

# apt の現在バージョンと、更新可能かどうか
apt-cache policy apt

ただし、この結果だけでは安全とは言えない。表示される値は現時点の構成にすぎず、修正が当たっているかは別途 apt upgrade の結果で確かめる必要がある。これは「該当しうるか・更新が要るか」を切り分けるための確認であって、すでに攻撃を受けたかどうかを判定するものではない。心当たり（信頼できない経路での apt 実行など）があれば /var/log/apt/history.log で想定外のパッケージ導入が無いかを見ておくとよいが、確証は得にくいので、まずは更新で塞ぐのが先だ。判断に迷うなら、条件の精査より先に更新を当てるのが安全側である。

関連——Linuxカーネルの脆弱性も大規模スキャン

今回の APT と並行して、既報の Linux カーネルの脆弱性に対する大規模なスキャンが観測され始めた。スキャンは「攻撃者が対象を探し始めた」サインで、未適用のサーバーほど狙われやすい。カーネル側の詳細と確認は Linux カーネルの該当脆弱性の記事 にまとめている。サーバー運用者としては、APT（パッケージ経路）とカーネル（ネットワーク処理）の両方を、この機会にまとめて更新しておきたい。どちらも「更新すれば塞がる」種類の問題で、先送りの理由はない。

参照ソース

• GHSA-jw32-37xr-xwfw（GitHub Advisory・CVE-2026-109518）（High・CVSS v4 7.7・CWE-62・前提条件の一次記述。2026-11-04 公開）
• CVE-2026-109518（NVD）（CVE 詳細）
• Ubuntu Security Notice USN-8996-1（Ubuntu の修正・対象版。最新は公式で確認）
• Debian Security Announce 2026/msg00526（Debian の修正通知）
• 当サイト関連：Linux カーネルの脆弱性（大規模スキャン観測）