#系统资讯 Debian 发布 APT 软件包本体更新修复漏洞，攻击者利用缺陷可以替换软件包并以 root 权限执行代码。该漏洞影响 Debian 12/13，目前 Debian 安全团队已经发布 APT 2.6.2/3.0.4 版进行修复。建议使用 Debian 的用户尽快运行升级命令，将 APT 或其他软件包都升级到最新版。查看全文：https://ourl.co/128054
Debian 安全团队于 2026 年 11 月 4 日发布 DSA-6607-1 号安全公告，修复 APT 软件包管理器中的安全漏洞。攻击者在具备中间人攻击条件时，可以利用下载处理过程中的安全缺陷，在软件包通过验证后将其替换，最终以 root 权限执行任意代码。
该漏洞编号为 CVE-2026-109518，由独立安全研究员马克斯・贾斯蒂茨 (Max Justicz) 发现。Debian 13 稳定版已经通过 APT 3.0.4 版进行修复，官方建议用户升级 APT 软件包管理器。
APT 是 Debian 系统用于安装、更新和管理软件包的核心工具，用户通过软件仓库安装程序或更新系统时，APT 会下载相应的软件包并交给系统执行安装操作。
当两个不同的软件包下载请求经过 HTTP 重定向后指向相同的 URL 时，APT 可能会擅自将两项下载合并。与此同时，APT 在恢复 HTTP 下载时，对文件的处理也存在缺陷。
攻击者如果能对相关下载流量实施中间人攻击，就可能利用这个处理过程在软件包完成验证后替换文件。由于系统安装软件包通常需要较高的权限，恶意软件包最终可能会以 root 权限执行代码。
目前 Debian 安全团队已经在 Debian 13 稳定版中发布修复程序，APT 包更新到 3.0.4 版即可，本次更新还处理多个越界访问的问题。Debian 13 用户可以通过系统已配置的软件源更新软件包。
sudo apt update sudo apt install --only-upgrade apt # 更新完成后可以通过如下命令检查版本 apt --version
注意：此漏洞也影响 Debian 12，使用该版本的用户请升级到 APT 2.6.2
