APT脆弱性CVE-2026-109518：中間者攻撃でroot奪取、今すぐ更新

APTパッケージマネージャーに深刻な脆弱性CVE-2026-109518が発覚：中間者攻撃でroot権限奪取が可能に

2026年11月4日、UbuntuがAPT（Advanced Package Tool）の脆弱性CVE-2026-109518の修正版公開を発表した。HTTP通信を改ざんできる経路上の攻撃者（中間者攻撃：MITM）や悪意あるミラーが、署名検証に失敗するパッケージをAPTにインストールさせ、root権限でコードを実行できる。Ubuntuの重大度は「High」、CVSS 4.0のスコアは7.7である。DebianもBookwormとTrixieで修正版を出している（Debian Security Tracker）。

攻撃の成立条件は、APTがダウンロード失敗時に再試行すること（設定項目Acquire::Retriesが0以外）である。Acquire::Retriesが0なら、ダウンロードは再試行されず、この脆弱性は悪用できない（Ubuntu公式）。Ubuntu 22.04 LTS以降とDebian 12 Bookworm以降は初期設定で再試行が有効で、追加設定なしに該当する。それより古いUbuntuは、Acquire::Retriesを0以外にしている場合だけが対象である。HTTPSで通信していれば防げる。FTPとSnapは影響を受けない。

発見者はMax Justicz氏で、責任ある開示のうえで報告された。同氏は2019年にもAPTのRCE脆弱性（CVE-2019-3462）を報告しているが、今回のCVE-2026-109518とは別の脆弱性である。野生での悪用は、Ubuntu公式の発表には記載されていない。

Linuxの中核部分にも遠隔からroot権限を奪われる穴があるかは、LinuxカーネルCVE-2026-98432で説明しています。

関連記事Brotli CVE-2026-111497の更新は？

この脆弱性が日本企業のLinuxサーバー運用において意味すること

Debian系ディストリビューションは日本国内の企業・研究機関・クラウド環境でも広く採用されている。Ubuntu 22.04 LTSはLong-Term Support版として現在も多くのプロダクション環境で稼働中とみられ、デフォルト設定のまま運用されているケースが大半であろう。

この脆弱性が特に問題となるのは、パッケージリポジトリのミラーを経由する構成においてである。多くの企業では帯域効率化・ライセンス管理・セキュリティポリシーの観点から、外部インターネット直接接続ではなく社内プロキシや地理的に近いミラーサーバーを介してパッケージを取得している。こうした構成では、攻撃者がプロキシやミラーを侵害・なりすましすることで、HTTP通信を改ざんできる経路が存在しうる。悪意あるミラーも同様に悪用できる（Ubuntu公式）。

さらに深刻なのは、攻撃がAPTの通常オペレーション（apt upgrade）に紛れ込む点である。管理者が定常的に実施するアップデート作業の中で、改ざんされたパッケージがroot権限で実行されるため、侵害が発生しても気づきにくい。ログ上は正常なパッケージ更新と区別がつかない可能性がある。

対処の最優先は、修正版のAPTへ更新することである。緩和策（Acquire::Retriesを0にする、HTTPSに切り替える）は更新までの暫定措置にとどめ、緩和策だけで済ませないこと。

コンテナ環境（DockerやKubernetes上でのDebian/Ubuntuベースイメージ）においても、イメージのビルド時にaptが用いられるため、CI/CDパイプラインでの影響を確認する必要がある。ベースイメージのPull時点ではなく、イメージビルド時のapt実行も、上記の条件を満たせば攻撃対象になりうる点に注意が必要である。

影響を受けるAPTバージョンと修正バージョンの対応表

以下の表は、各ディストリビューション・チャネルにおける脆弱なバージョンと修正済みバージョンの対応関係を整理したものである。自環境のAPTバージョンをapt --versionコマンドで確認し、修正済みバージョン以上であれば本脆弱性の影響は受けない（出典：Debian Security Tracker、Ubuntu公式）。Ubuntuはapt list --installed '?source-package(^apt$)'でも確認できる。

ディストリビューション／チャネル	脆弱なバージョン	修正済みバージョン	デフォルトRetries値
Debian 12 Bookworm	2.6.2未満	2.6.2	3（影響あり）
Debian 13 Trixie	3.0.4未満	3.0.4	3（影響あり）
Debian sid（開発版）	3.3.6未満（forkyは3.3.5で未修正）	3.3.6	—
Ubuntu 22.04 LTS（Jammy）	修正版より前	2.4.15ubuntu0.1	3（影響あり）
Ubuntu 24.04 LTS（Noble）	修正版より前	2.8.4ubuntu0.1	3（影響あり）
Ubuntu 26.04 LTS	修正版より前	3.2.1ubuntu0.1	3（影響あり）

Ubuntu 26.10は3.3.3ubuntu0.1で修正されている。Ubuntu 20.04以前（ESM）にも修正版が出ており、Focalは2.0.12+esm1である。Debian 11など表にない版の扱いは、各ディストリビューションの公式情報を確認すること。

日本企業のLinuxサーバー管理者が今すぐ実施すべき具体的対応手順

本脆弱性への対応は段階的に進めることが望ましい。優先順位の高い順に示す。

第一段階：修正バージョンへのアップデート（最優先）

根本的な対処はAPTを修正済みバージョンへ更新することである。Ubuntu公式は、更新中だけ再試行を無効にする次のコマンドを案内している。

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

アップデート後、apt --versionでバージョンを確認する。Debian 12 Bookwormなら2.6.2以上、Debian 13 Trixieなら3.0.4以上、Ubuntuは上表の版以上になっていることを確認する。unattended-upgradesを有効にしている環境では、Ubuntuの修正が24時間以内に自動で適用される。

第二段階：即時緩和策（アップデートが即時適用できない場合）

何らかの事情ですぐにアップデートを適用できない環境向けの暫定措置として、Acquire::Retriesを0に設定する方法がある。

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99no-retries

これは攻撃経路を塞ぐ暫定の緩和策であり、根本修正ではない。アップデートできたら、この設定ファイル（/etc/apt/apt.conf.d/99no-retries）は削除して元に戻す。

第三段階：HTTPSミラーへの切り替えによる構造的防御

中間者攻撃はHTTP通信を前提とする。/etc/apt/sources.listまたは/etc/apt/sources.list.d/内の設定ファイルを確認し、http://で始まるリポジトリURLをhttps://に切り替えることで、通信改ざんのリスクを構造的に低減できる（Ubuntu公式でもHTTPSによる防御を案内している）。ただし、一部のコミュニティミラーや国別ミラーはHTTPSに対応していないため、切り替え前に対応状況を確認すること。

# 変更前（脆弱）
deb http://deb.debian.org/debian bookworm main

# 変更後（推奨）
deb https://deb.debian.org/debian bookworm main

第四段階：ネットワーク設計の再確認

信頼性が確認できていない社内プロキシ、外部ミラー、またはクラウド事業者提供のパッケージリポジトリプロキシを経由している場合は、それらの設定・運用主体を再確認する。特にオンプレミス環境でSoftware Defined Networkを採用している場合、ルーティングが意図せず外部を経由している可能性を排除するため、aptの通信経路をパケットキャプチャで確認することも有効である。

この脆弱性の限界と注意点

本脆弱性の悪用には、攻撃者がHTTP通信を改ざんできる経路にいる（または悪意あるミラーが使われる）ことが前提条件となる。エンドポイントのセグメント分離・ゼロトラスト型のネットワーク設計を採用している環境では攻撃の難度は相対的に高い。ただし、マルウェア感染によって内部ネットワークへのピボットを果たした攻撃者には有効な手段となりえるため、「内側は安全」という前提は危険である。

HTTPSミラーへの移行を含む構成の見直しは、今回の脆弱性だけでなく、通信経路上の改ざんを前提とした今後の類似の問題への中長期的な対策としても有効である。

---

〈参考文献〉

• Ubuntu — “CVE-2026-109518 APT vulnerability fixes available”（2026年11月4日）— https://ubuntu.com/blog/apt-vulnerability-fixes-available
• Ubuntu Security — CVE-2026-109518 — https://ubuntu.com/security/CVE-2026-109518
• Debian Security Tracker — CVE-2026-109518（DSA-6607-1、DLA-4880-1）— https://security-tracker.debian.org/tracker/CVE-2026-109518