Уязвимость в apt позволяет злоумышленнику подменить пакет и выполнить код от имени root
Debian apt security update (man-in-the-middle)
Max Justicz обнаружил в пакетном менеджере APT уязвимость CVE-2026-109518: при возобновлении HTTP-загрузки после редиректа, давшего двум разным пакетам один URI, APT может объединить их. Из-за некорректной обработки файлов атакующий типа man-in-the-middle подменяет пакет уже после проверки, что ведёт к выполнению произвольного кода с правами root. В стабильном выпуске trixie проблема исправлена в версии 3.0.4; обновление также закрывает несколько ошибок выхода за границы массива.
Некорректная обработка файлов при возобновлении HTTP-загрузки позволяет атакующему типа man-in-the-middle заменить пакет после проверки, что приводит к выполнению произвольного кода от имени root.