LinuxのディストリビューションであるDebianとUbuntuで、ソフトウェアの導入・更新に使われる標準ツール「APT（アプト）」に、深刻なセキュリティホール（CVE-2026-109518）が見つかりました。Debian、Ubuntu、APTの開発者が11月4日にそろって注意喚起を公開しています。発見したのはセキュリティ研究者のMax Justicz氏です。
APTは、ダウンロードしたソフトウェアのパッケージ（ソフト一式をまとめたファイル）に正規の署名があるかを確かめてからインストールします。ところが今回の欠陥では、この検証が終わった「後」に、中身を攻撃者のものと入れ替えられてしまいます。入れ替えられたパッケージはインストール時にroot（Linuxの最高管理者権限）で動くため、成功すればパソコンやサーバーを丸ごと乗っ取られかねません。原因は、通信の転送（リダイレクト）や途中で止まったダウンロードの再開を処理する部分のファイルの扱いにあるとされています。
ただし、この攻撃にはAPTとパッケージ配布サーバーの間の通信を改ざんできる立場が必要です。いわゆる「中間者攻撃（MitM）」で、悪意のあるミラーサーバー（配布の中継サーバー）やプロキシ、同じネットワーク上の攻撃者などが想定されます。Ubuntuは優先度を「高」、深刻度スコア（CVSS 4.0）を7.7と評価しています。現時点で実際の攻撃に悪用されたという報告はありません。
影響を受けるのは、主にDebian 12以降とUbuntu 22.04以降の標準的な構成です。Debian 11やUbuntu 20.04など古いリリースは、初期設定のままなら影響を受けないとされています。DebianやUbuntuをもとにした派生ディストリビューションも影響を受ける可能性があります。修正版のAPT（開発元では3.3.6）が順次配布されており、DebianはDSA-6607-1、UbuntuはUSN-8996-1として案内しています。
DebianやUbuntuを使っている方は、公式の案内に沿ってaptパッケージ自体を最新版に更新してください。サーバーだけでなく、コンテナのイメージや自動ビルドの環境も見落としがちなので確認が必要です。あわせて、パッケージの取得元をHTTPS（暗号化された通信）に切り替えておくと、通信の改ざんを受けにくくなります。公共Wi-Fiなど信頼できないネットワークでは、更新作業を避けるのが無難です。