DebianのパッケージマネージャAPTに、中間者（man-in-the-middle）攻撃を起点としてroot権限での任意コード実行が可能になる脆弱性が明らかになった。Phoronixが本日の公表として伝えたものである。
APTはパッケージの署名検証によって改ざんを防ぐ仕組みを持つが、今回の弱点は通信経路の中間に位置する攻撃者が悪用しうる形のものだった。Debianは修正版を公開しており、勧告番号はDSA-6607-1とされている。
パッケージ取得に内部ミラーやプロキシ、SSLインスペクション装置を挟む企業環境では、取得経路の信頼境界が攻撃面になる。該当するDebian運用ではAPTの最新化を優先し、上流接続の構成見直しも併せて行いたい。Ubuntu向けにも同一CVE（CVE-2026-109518）の修正が提供されている。