Ubuntu, aggiornamento urgente per APT: la verifica da fare sul PC
Canonical ha corretto una vulnerabilità ad alta gravità nel gestore dei pacchetti dei PC Ubuntu. Riguarda di default le versioni dalla 22.04 LTS: come controllare l’installazione e applicare la correzione ufficiale.
La Redazione
Chi usa Ubuntu su notebook o desktop dovrebbe controllare gli aggiornamenti di sistema. Il 4 novembre 2026 Canonical ha pubblicato una correzione per CVE-2026-109518, una vulnerabilità ad alta gravità nel componente APT che scarica e installa i pacchetti software. Il caso interessa direttamente Ubuntu 22.04 LTS e le versioni successive nelle impostazioni predefinite; Canonical ha distribuito gli aggiornamenti anche per le release precedenti coperte da Extended Security Maintenance.
Il rischio non scatta semplicemente aprendo un sito: perché l’attacco riesca, un aggressore deve poter alterare il traffico HTTP tra il computer e l’archivio dei pacchetti mentre APT ritenta un download fallito. In quella situazione potrebbe far installare un pacchetto .deb controllato dall’aggressore con privilegi di amministratore. La nota tecnica di Canonical assegna al problema un punteggio CVSS 4.0 di 7,7 su 10 e precisa che Snap non è coinvolto, perché usa un sistema di gestione diverso.
Quali PC verificare
La priorità è per i computer con Ubuntu 22.04 LTS, 24.04 LTS, 26.04 LTS o 26.10. Su una macchina aggiornata, la versione corretta del pacchetto APT è almeno 2.4.15ubuntu0.1 su 22.04, 2.8.4ubuntu0.1 su 24.04, 3.2.1ubuntu0.1 su 26.04 e 3.3.3ubuntu0.1 su 26.10. Per vedere la versione installata si può aprire il Terminale ed eseguire apt list --installed '?source-package(^apt$)': è il controllo indicato dall’avviso ufficiale. Chi usa una distribuzione derivata da Ubuntu o Debian non dovrebbe presumere che la correzione arrivi con gli stessi tempi: va verificata la comunicazione del proprio progetto.
La procedura indicata da Canonical
Prima di aggiornare è sensato salvare il lavoro aperto e usare una rete affidabile. Canonical raccomanda di aggiornare tutti i pacchetti con questo comando, che imposta temporaneamente a zero i tentativi di download proprio durante l’operazione: sudo apt update && sudo apt upgrade -o Acquire::Retries=0. Se non è possibile completare l’aggiornamento generale, l’alternativa ufficiale è aggiornare soltanto il componente interessato: sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'. I comandi e le versioni corrette sono riportati nell’avviso di sicurezza USN-8996-1.
Dopo l’installazione, il controllo con apt list --installed '?source-package(^apt$)' consente di confrontare il numero mostrato con la tabella di Canonical. Non serve reinstallare Ubuntu e non serve modificare manualmente repository sconosciuti. L’aggiornamento dei pacchetti è il rimedio principale; passare gli indirizzi degli archivi Ubuntu da HTTP a HTTPS è una precauzione aggiuntiva, utile soprattutto prima di applicare la patch su reti di cui non si controlla il percorso. La guida ufficiale avverte però che alcuni mirror della comunità, inclusi alcuni nazionali, potrebbero non offrire HTTPS.
Per chi lascia attivi gli aggiornamenti automatici, Canonical segnala che unattended-upgrades è abilitato per impostazione predefinita da Ubuntu 16.04 LTS e può installare gli aggiornamenti di sicurezza entro 24 ore dalla disponibilità. Non è però una conferma che ogni PC sia già protetto: computer spenti, policy aziendali, aggiornamenti disabilitati o sistemi fuori supporto possono richiedere un controllo manuale. In Italia l’effetto pratico è lo stesso che altrove: un PC Ubuntu aggiornato riduce l’esposizione durante l’installazione di software, un’operazione quotidiana che merita di essere fatta con la correzione già disponibile.
