blog

AIブログ

APT脆弱性CVE-2026-109518——中間者攻撃でroot権限が奪われる仕組みと対応

公開日：2026年11月5日文：クリスタルメソッド編集部監修：河合継（代表取締役）

APT脆弱性CVE-2026-109518の概要——何が起きているか

2026年11月4日、Debian・Ubuntu両ディストリビューションの標準パッケージ管理ツール「APT」に、深刻度HIGH（CVSS 4.0スコア7.7）の脆弱性が公開された。識別子はCVE-2026-109518、採番元CNAはCanonicalである（出典：cve.org CVE-2026-109518）。

発見者はMax Justicz。APTがリダイレクト発生時およびパッケージダウンロード再試行時にUNIXハードリンクの扱いを誤っており（CWE-62）、そこにTOCTOU競合状態（CWE-367）が重なることで、オンパス位置に存在する攻撃者が未検証のパッケージをroot権限でインストールさせることができる。

現時点でCISA KEVへの掲載はない。攻撃の成立には「オンパス位置への到達」という前提条件があり、CVSS 4.0スコアは7.7（HIGH）である。

図：CVE-2026-109518の攻撃経路。オンパス攻撃者（悪意あるミラーや中間プロキシ）がAPTクライアントとアーカイブサーバ間のHTTP通信を操作し、ハードリンク再利用（CWE-62）とTOCTOU競合（CWE-367）を組み合わせて未検証パッケージをroot権限でインストールさせる構造を示す。

Linuxカーネルでも遠隔rootにつながる問題が見つかったときは、LinuxカーネルCVE-2026-98432で説明しています。

関連記事OpenAI Linuxカーネル脆弱性、企業の確認事項は？

CVE-2026-109518の技術的背景——なぜroot権限が奪われるのか

APTはDebianおよびUbuntuにおいて、パッケージのダウンロード・検証・インストールをroot権限で一括して行う。通常の運用ではHTTPSと署名検証が組み合わさっており、これで多くの改ざんを防いでいる。

CVE-2026-109518が突く経路は、ダウンロードが一度リダイレクトされた後に再試行が発生するという特殊な状況である。この再試行のタイミングでAPTはハードリンクを適切に再評価しない。攻撃者がオンパス位置——悪意あるミラーサーバや中間プロキシ——に存在する場合、クライアントに攻撃者が制御する未検証のパッケージをインストールさせ、root権限での遠隔コード実行を達成できる。

この脆弱性はCWE-62（UNIXハードリンク）とCWE-367（TOCTOU競合状態）に分類される。

攻撃成立の前提条件は「オンパス位置への到達」であり、インターネット上の任意の攻撃者が無条件に悪用できるわけではない。

次に読む：LinuxカーネルFragnesiaの対処手順は？

CVE-2026-46300 LinuxカーネルFragnesiaがKEVに追加——今すぐ確認すべき対処手順

APT脆弱性CVE-2026-109518の影響バージョンと修正版一覧

影響を受けるのはDebian・Ubuntu両系統の広い範囲である。以下にUbuntuの影響バージョンと修正版を整理する（出典：Ubuntu Security Notice USN-8996-1、CVE公式記録）。

Ubuntuバージョン	コード名	影響を受けるAPT	修正バージョン	提供形態
Ubuntu 26.10	stonking	3.3.0 〜 3.3.3ubuntu0.1 未満	3.3.3ubuntu0.1	標準更新
Ubuntu 26.04 LTS	resolute	3.2.0 〜 3.2.1ubuntu0.1 未満	3.2.1ubuntu0.1	標準更新
Ubuntu 24.04 LTS	noble	2.8.0 〜 2.8.4ubuntu0.1 未満	2.8.4ubuntu0.1	標準更新
Ubuntu 22.04 LTS	jammy	2.4.0 〜 2.4.15ubuntu0.1 未満	2.4.15ubuntu0.1	標準更新
Ubuntu 20.04 LTS	focal	2.0.0 〜 2.0.12+esm1 未満	2.0.12+esm1	Ubuntu Pro
Ubuntu 18.04 LTS	bionic	1.6.0 〜 1.6.19+esm1 未満	1.6.19+esm1	Ubuntu Pro
Ubuntu 16.04 LTS	xenial	1.2.0 〜 1.2.36+esm1 未満	1.2.36+esm1	Ubuntu Pro（Legacy Support）
Ubuntu 14.04 LTS	trusty	0 〜 1.0.1ubuntu2.24+esm4 未満	1.0.1ubuntu2.24+esm4	Ubuntu Pro（Legacy Support）

APT脆弱性CVE-2026-109518に対して今やること

現時点でCISAによるKEV掲載はない。影響を受けるバージョンのAPTを使用している場合は、ベンダー告知（USN-8996-1）が示す修正版へ更新する。通常はシステムの標準的なアップデートで必要な変更がすべて適用される。

公式の回避策（Workaround）はベンダー告知に記載がない。修正版への更新以外の代替措置は現時点では示されていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

Ubuntu Security Notice USN-8996-1 — https://ubuntu.com/security/notices/USN-8996-1
CVE-2026-109518 公式記録（cve.org） — https://www.cve.org/CVERecord?id=CVE-2026-109518
NVD CVE-2026-109518 — https://nvd.nist.gov/vuln/detail/CVE-2026-109518

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針