Vulnérabilité critique dans APT sous Debian et Ubuntu : un pirate peut exécuter du code en root via une attaque MitM

Le 4 novembre 2026, les équipes de sécurité de Debian, Ubuntu et les développeurs d’APT ont publié simultanément des avis concernant une faille grave identifiée sous le code CVE-2026-109518. Cette vulnérabilité touche le gestionnaire de paquets APT, utilisé par défaut dans les distributions Debian et Ubuntu, et permet à un attaquant capable d’intercepter le trafic réseau d’échanger un paquet légitime contre un paquet malveillant, puis d’exécuter ce code avec les privilèges root. Selon les informations publiées, la faille exploite le mécanisme de nouvelle tentative de téléchargement (retry) activé par défaut depuis Debian 12 et Ubuntu 22.04. Avec un score CVSS 4.0 de 7,7 (qualifié de « high » par Ubuntu), cette vulnérabilité nécessite une action immédiate de la part des administrateurs système. Dans cet article, nous détaillons le fonctionnement de l’attaque, les versions concernées, les correctifs disponibles et les mesures de contournement à appliquer en attendant une mise à jour complète.

Une faille MitM dans APT : comment l’attaque fonctionne-t-elle ?

La vulnérabilité CVE-2026-109518 repose sur la capacité d’un attaquant man-in-the-middle (MitM) à modifier le trafic HTTP entre le client APT et le serveur de paquets. L’attaque exploite le comportement par défaut d’APT qui, lorsqu’un téléchargement échoue (erreur 5xx temporaire ou redirection HTTP), tente de nouveau de récupérer le paquet. L’attaquant peut alors, après une première tentative de vérification réussie du paquet (signature GPG), substituer ce paquet par un fichier arbitraire lors d’une nouvelle tentative. Le code malveillant est ensuite exécuté avec les droits root lors de l’installation.

Le scénario d’attaque typique se déroule ainsi :

1. L’utilisateur (ou un script) lance une commande apt install ou apt upgrade.
2. APT contacte le miroir configuré. L’attaquant intercepte la requête (via un réseau WiFi non sécurisé, un proxy frauduleux ou un routeur compromis).
3. L’attaquant répond initialement avec un paquet authentique, qui est téléchargé et vérifié (signature valide).
4. Avant que le paquet ne soit installé, l’attaquant force une erreur temporaire (ex. code 503) sur une ressource secondaire, ce qui déclenche une nouvelle tentative d’APT.
5. Lors de cette nouvelle tentative, l’attaquant redirige vers un paquet modifié, que APT installe sans nouvelle vérification complète (la signature n’est pas re-vérifiée sur les nouvelles tentatives).
6. Le code malveillant s’exécute alors en root, compromettant totalement le système.

« L’attaque nécessite qu’APT retente un téléchargement échoué, ce qu’il fait par défaut sur Debian 12 et Ubuntu 22.04 et versions ultérieures. » - Avis de sécurité des développeurs d’APT, 4 novembre 2026.

Cette faille est particulièrement dangereuse car elle ne nécessite aucune faiblesse cryptographique : elle abuse d’un comportement fonctionnel du gestionnaire de paquets. L’attaquant peut être un simple « malicious mirror » (miroir malveillant) ou un proxy situé sur le chemin réseau.

Quelles versions sont vulnérables ?

La vulnérabilité affecte APT dans sa gestion des nouvelles tentatives. Les versions d’APT concernées sont celles qui intègrent le mécanisme Acquire::Retries activé par défaut. Voici le détail des distributions impactées :

Distributions exposées par défaut

• Debian 12 (Bookworm) et ultérieur (Debian Testing, Sid)
• Ubuntu 22.04 LTS (Jammy) et ultérieur (24.04 LTS, 26.04 LTS, 26.10)

Distributions non exposées par défaut mais potentiellement vulnérables

• Debian 11 (Bullseye) : le paramètre Acquire::Retries est désactivé par défaut, mais de nombreux scripts administrateurs l’activent manuellement.
• Ubuntu 20.04 LTS (Focal) : idem, le comportement par défaut ne réessaie pas, mais des configurations personnalisées peuvent l’activer.

Selon Ubuntu, les anciennes versions (Debian 11, Ubuntu 20.04) ne sont pas exposées par défaut. Toutefois, les développeurs d’APT préviennent que de nombreux utilisateurs ont mis en place des scripts qui activent Acquire::Retries pour améliorer la robustesse des téléchargements, rendant ces systèmes vulnérables si l’attaquant parvient à forcer une nouvelle tentative.

À noter que Debian 11 (Bullseye) a vu son support long terme (LTS) prendre fin le 31 août 2026. Les développeurs d’APT ont tout de même publié un correctif pour la version 2.2.5 destinée à Debian 11.

Tableau récapitulatif des versions d’APT corrigées pour Ubuntu

Ces correctifs ont été mis à disposition dans l’archive de sécurité d’Ubuntu le 4 novembre 2026 à 14:25 UTC. Cependant, à 15:46 UTC le même jour, Ubuntu marquait encore toutes les huit releases suivies pour cette faille comme vulnérables, y compris Ubuntu 14.04 LTS (avec abonnement Ubuntu Pro). Les mises à jour sont donc en cours de déploiement.

Impact et criticité

La note CVSS 4.0 de 7,7 attribuée par Ubuntu correspond à une vulnérabilité de haute priorité. Le vecteur d’attaque est réseau (MitM), la complexité est faible (l’attaquant doit simplement être en mesure d’intercepter le trafic HTTP) et les privilèges requis sont nuls côté victime. L’impact sur la confidentialité, l’intégrité et la disponibilité est total puisque l’attaquant exécute du code arbitraire en root.

Les distributions dérivées de Debian et Ubuntu (comme Linux Mint, Kali Linux, Raspbian, etc.) sont également concernées si elles utilisent APT comme gestionnaire de paquets et si le paramètre Acquire::Retries est actif.

Aucune exploitation active n’a été rapportée dans les avis officiels au moment de la publication, mais la simplicité théorique de l’attaque rend probable une utilisation par des acteurs malveillants dans les semaines à venir. Il est donc impératif d’appliquer le correctif sans attendre.

Comment vérifier si vous êtes vulnérable ?

Pour connaître la version d’APT installée sur votre système, exécutez la commande suivante dans un terminal :

apt --version

Exemple de sortie pour une version vulnérable sous Debian 12 : apt 2.6.1 (amd64). Sous Ubuntu 22.04 : apt 2.4.10. Les versions corrigées sont listées dans le tableau ci-dessus.

Ensuite, vérifiez si le paramètre Acquire::Retries est activé (il l’est par défaut dans les distributions concernées) :

grep -r 'Acquire::Retries' /etc/apt/apt.conf.d/ 2>/dev/null
grep 'Acquire::Retries' /etc/apt/apt.conf 2>/dev/null

Si cette option est fixée à une valeur supérieure à 0 (ou absente mais que votre version d’APT l’active par défaut), vous êtes exposé.

Mesures de correction et contournements

1. Appliquer les mises à jour officielles

• Debian : Les utilisateurs de Debian 12 (stable) peuvent obtenir la mise à jour via le canal bookworm-security habituel. Debian Testing (Trixie) doit recevoir la version corrigée prochainement. Pour Debian 11, le correctif est disponible en téléchargement manuel (version 2.2.5).
• Ubuntu : Exécutez sudo apt update && sudo apt upgrade pour récupérer les dernières versions d’APT publiées dans l’archive de sécurité. Vérifiez avec apt --version que vous obtenez bien la version corrigée correspondant à votre release.
• Distributions dérivées : Consultez le canal de mise à jour de votre distribution ; la plupart suivent les dépôts amont.

2. Désactiver les nouvelles tentatives en attendant le correctif

Si vous ne pouvez pas mettre à jour immédiatement, une mesure de contournement (non recommandée comme solution durable, car elle réduit la résilience des téléchargements) consiste à désactiver Acquire::Retries :

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99no-retries

Cela empêche APT de réessayer un téléchargement échoué, bloquant l’attaque. Cependant, cette modification peut entraîner des échecs d’installation en cas d’instabilité réseau. Il est préférable de mettre à jour dès que possible.

3. Utiliser HTTPS pour les dépôts

Les avis officiels ne précisent pas si les dépôts accessibles en HTTPS sont également vulnérables. L’attaque décrite repose sur une interception HTTP. Tant que le correctif n’est pas appliqué, privilégiez des miroirs en HTTPS pour réduire le risque d’interception. Bien que l’APT ne vérifie pas nécessairement le certificat TLS de manière exhaustive (selon la configuration), le chiffrement ajoute une couche de protection.

« Aucune solution de contournement n’a été fournie par les développeurs, si ce n’est la mise à jour immédiate. » - Avis de sécurité Ubuntu, 4 novembre 2026.

Bonnes pratiques pour prévenir ce type de vulnérabilité à l’avenir

Cette faille rappelle l’importance d’une gestion rigoureuse des mises à jour et d’une architecture réseau sécurisée. Voici quelques recommandations :

• Utiliser des miroirs officiels et signés : Vérifiez régulièrement la validité des clés GPG des dépôts.
• Segmenter le réseau : Isoler les serveurs critiques dans des VLANs administrés, avec un contrôle d’accès strict.
• Activer la journalisation : Surveiller les logs d’APT (/var/log/apt/history.log) pour détecter des installations suspectes.
• Automatiser les mises à jour de sécurité : Configurer unattended-upgrades pour les correctifs critiques, mais en surveillant les annonces de sécurité (Debian Security Tracker, Ubuntu CVE Tracker).
• Former les administrateurs : Comprendre les risques MitM et l’importance de vérifier les sommes de contrôle après installation.

Conclusion : agir sans délai pour sécuriser vos systèmes

La vulnérabilité CVE-2026-109518 dans APT est une faille sérieuse qui touche un outil central de l’écosystème Linux. Sa simplicité d’exploitation (un attaquant MitM peut substituer un paquet vérifié) et son impact (exécution de code en root) en font une cible privilégiée pour les campagnes malveillantes sur les réseaux non fiables. Les distributions Debian et Ubuntu ont réagi rapidement en publiant des correctifs, mais leur déploiement doit être accéléré par chaque administrateur. N’attendez pas que votre système soit compromis : vérifiez votre version d’APT, appliquez la mise à jour et, en cas d’impossibilité, désactivez temporairement les nouvelles tentatives. La sécurité de votre infrastructure en dépend.

Mots-clés : vulnérabilité APT Debian Ubuntu, CVE-2026-109518, attaque MitM, exécution code root, gestionnaire de paquets, mise à jour sécurité, Acquire::Retries.