Ubuntu heeft updates uitgebracht voor een kwetsbaarheid in de APT package manager waardoor een aanvaller via een man-in-the-middle (MiTM) aanval root op het systeem kan worden. Eerder kwam ook Debian met patches. Via de APT package manager kunnen gebruikers software installeren en verwijderen. Een aanvaller in een MiTM-positie kan het HTTP-verkeer tussen een kwetsbaar systeem en de archive server waar APT packages downloadt manipuleren. Zo is het mogelijk om het systeem een malafide .deb package te laten installeren en root te worden.

Misbruik van het probleem (CVE-2026-109518) vereist dat de client een mislukte download opnieuw probeert. Afhankelijk van de Ubuntu-versie wordt dit standaard wel of niet gedaan. Nieuwe Ubuntu-releases zoals Ubuntu 22.04 LTS (Jammy Jellyfish) en nieuwer zijn standaard kwetsbaar, zo stelt Ubuntu. Daarnaast beschermt TLS via HTTPS tegen aanvallen, aangezien voor misbruik het is vereist dat een aanvaller het HTTP-verkeer kan manipuleren.

Bij een succesvolle MiTM-aanval kan een aanvaller de package files vervangen die de gebruiker bij de archive server wil downloaden door malafide bestanden. Ubuntu merkt op dat het gebruik van digitale signatures dit soort aanvallen zou moeten voorkomen, maar de kwetsbaarheid ervoor zorgt dat een aanvaller APT weet te misleiden om de malafide package toch te installeren, ook als de signature verificatie mislukt. Wanneer een Ubuntu-systeem een .deb package installeert, worden de scripts van het package met rootrechten uitgevoerd. In het geval van malafide packages kan dit tot een volledig gecompromitteerd systeem leiden, zo waarschuwt de Linux-distributie.