Debian 发布安全公告 DSA-6607-1，修的是 apt 里的 CVE-2026-109518，由 Max Justicz 发现。问题在于重定向：当两个不同的包下载在 HTTP 重定向后撞上同一个 URI，APT 会把它们合并处理；再叠加 HTTP 断点续传时的文件处理缺陷，中间人可以在校验完成之后替换包内容，最终以 root 权限执行任意代码。稳定版 trixie 里修复版本是 apt 3.0.4，同一更新还顺带处理了几处越界访问。对运维来说这条公告的要点很朴素：apt 是信任链的根之一，及时升级。