В apt нашли дыру, позволяющую подменить пакет и выполнить код от root
Debian apt security update: man-in-the-middle arbitrary code execution
Max Justicz обнаружил в пакетном менеджере APT уязвимость CVE-2026-109518: при возобновлении HTTP-загрузки и перенаправлении, дающем двум пакетам один и тот же URI, APT может склеить их. Атакующий типа man-in-the-middle подменяет пакет уже после проверки — и получает выполнение произвольного кода с правами root. В стабильном Debian trixie проблему закрыли в версии 3.0.4, заодно исправив несколько выходов за границы буфера.
Некорректная обработка файлов при возобновлении HTTP-загрузки позволяет атакующему типа man-in-the-middle заменить пакет после проверки, что приводит к выполнению произвольного кода с правами root.