Une faille APT de haute gravité pourrait permettre à un attaquant qui contrôle le trafic HTTP de téléchargement des paquets de remplacer un paquet après sa vérification. Debian et Ubuntu ont publié des mises à jour de sécurité le 4 novembre 2026.
Ce qui s’est passé
Debian et Ubuntu ont divulgué CVE-2026-109518, une vulnérabilité du gestionnaire de paquets APT, utilisé pour installer et mettre à jour des logiciels. Ubuntu la classe en gravité élevée (High), avec un score CVSS v4.0 de 7,7.
Un attaquant positionné sur le chemin réseau (on-path) qui peut manipuler le trafic HTTP entre un système concerné et son miroir de paquets, ou qui contrôle un miroir ou un proxy malveillant, peut être en mesure d’amener APT à installer un paquet .deb non vérifié et contrôlé par l’attaquant. Comme les scripts de mainteneur des paquets peuvent s’exécuter en tant que root pendant l’installation, une exploitation réussie peut conduire à une exécution de code avec les privilèges root.
La faille a été signalée par le chercheur Max Justicz, que le blog de Canonical comme l’avis de Debian créditent. Debian et Ubuntu ont fourni des paquets APT corrigés le 4 novembre 2026. Sources : explication de sécurité d’Ubuntu, avis de sécurité Debian DSA-6607-1 et traqueur de sécurité de Debian.
Les deux distributions la qualifient différemment. Ubuntu la classe en gravité élevée (High), tandis que l’annonce APT de Debian parle d’un contournement critique de la vérification des fichiers. Les avis des fournisseurs examinés ne signalent pas d’exploitation dans la nature (in the wild).
Comment la vérification des paquets peut être contournée
APT s’appuie normalement sur des informations de dépôt signées et sur les empreintes (hashes) des paquets pour contrôler les logiciels téléchargés, y compris lorsque les paquets proviennent de miroirs qui ne sont pas considérés comme dignes de confiance en eux-mêmes. Cette vulnérabilité se situe dans la gestion des téléchargements HTTP par APT.
Dans certaines conditions précises de redirection et de nouvelle tentative, le client peut réutiliser à tort des liens physiques (hard links) et permettre à un contenu téléchargé contrôlé par l’attaquant de remplacer un fichier de paquet après sa vérification. L’avis de Debian attribue la cause au fait qu’APT fusionne deux téléchargements de paquets différents auxquels une redirection HTTP donne le même URI, si bien qu’un attaquant de l’homme du milieu (man-in-the-middle) peut remplacer un paquet après sa vérification lorsqu’un téléchargement est repris (DSA-6607-1). Le traqueur de Debian et la page CVE d’Ubuntu l’attribuent à la réutilisation de liens physiques. L’attaquant a besoin d’un chemin HTTP ou d’un miroir qu’il peut manipuler, et le client doit rencontrer la séquence de redirection et de nouvelle tentative nécessaire. Un paramètre Acquire::Retries non nul est requis pour l’exploitation.
La vulnérabilité touche les outils fondés sur APT, et pas seulement une interface en ligne de commande. Canonical cite apt, apt-get, aptitude et les applications graphiques fondées sur APT. Elle ne concerne pas l’installation de paquets Snap, qui repose sur un mécanisme différent.
Versions concernées et versions corrigées
Acquire::Retries est non nul par défaut à partir de Debian 12 et d’Ubuntu 22.04 LTS. Les versions plus anciennes peuvent être concernées lorsque les nouvelles tentatives ont été activées explicitement, et les anciennes versions d’Ubuntu encore prises en charge ont elles aussi reçu des paquets corrigés.
Debian
| Version de Debian | Version d’APT corrigée |
|---|---|
| Debian 12 Bookworm | 2.6.2 |
| Debian 13 Trixie | 3.0.4 |
| Forky (branche de développement) | 3.3.6 |
| Sid (unstable) | 3.3.7 |
Source : traqueur de CVE de Debian. Le traqueur indique aussi que les branches de développement Forky et Sid sont corrigées. Les canaux des versions plus anciennes de Debian doivent être vérifiés d’après leurs propres avis.
Ubuntu
| Version d’Ubuntu | Version d’APT corrigée |
|---|---|
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 20.04 LTS (Ubuntu Pro) | 2.0.12+esm1 |
| Ubuntu 18.04 LTS (Ubuntu Pro) | 1.6.19+esm1 |
| Ubuntu 16.04 LTS (Ubuntu Pro, module complémentaire Legacy Support) | 1.2.36+esm1 |
| Ubuntu 14.04 LTS (Ubuntu Pro, module complémentaire Legacy Support) | 1.0.1ubuntu2.24+esm4 |
Les anciennes versions d’Ubuntu figurant dans le tableau sont corrigées dans le cadre d’Ubuntu Pro et de la couverture Expanded Security Maintenance. Source : Ubuntu CVE-2026-109518.
Ce que les administrateurs doivent faire
1. Installer les paquets APT corrigés. Suivez le processus de mise à jour de sécurité de votre distribution. La commande de remédiation publiée par Ubuntu est la suivante :
sudo apt update && sudo apt upgrade -o Acquire::Retries=0Canonical propose également une mise à niveau plus ciblée du paquet source APT lorsqu’une mise à niveau complète n’est pas possible :
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'Canonical précise qu’unattended-upgrades, activé par défaut depuis Ubuntu 16.04 LTS, applique les correctifs dans un délai de 24 heures. Dans ces commandes documentées, la désactivation des nouvelles tentatives s’applique à l’opération de mise à niveau des paquets. Les administrateurs d’environnements particulièrement exposés devraient consulter les recommandations d’atténuation de leur fournisseur avant de mettre à jour depuis des miroirs HTTP non fiables. Sur Debian, installez le paquet apt corrigé par le processus habituel de mise à jour de sécurité décrit dans DSA-6607-1.
2. Vérifier les versions installées. Ubuntu documente la commande suivante pour lister les paquets issus du paquet source APT :
apt list --installed '?source-package(^apt$)'Comparez le résultat avec la version corrigée correspondante et avec le canal de distribution installé.
3. Envisager des miroirs HTTPS. Utilisé correctement, HTTPS empêche la manipulation du trafic HTTP requise par cette vulnérabilité. Vérifiez que le miroir choisi prend en charge HTTPS et conservez les contrôles habituels des dépôts signés. HTTPS ne remplace pas l’installation du paquet APT corrigé.
4. N’utiliser l’atténuation par les nouvelles tentatives que comme protection temporaire. Définir Acquire::Retries=0 empêche la condition de nouvelle tentative requise par cette vulnérabilité, mais les administrateurs devraient installer les paquets corrigés plutôt que de s’en remettre indéfiniment à une modification de configuration.
5. Mener une investigation en cas de soupçon de compromission. Examinez les journaux de gestion des paquets et recherchez des traces de paquets non autorisés. L’application du correctif empêche toute exploitation future de la faille, mais ne supprime pas à elle seule un paquet déjà installé par un attaquant. L’article de TechiesJournal sur ce qu’il faut faire après avoir corrigé un équipement déjà exploité explique pourquoi un système corrigé n’est pas forcément un système sain.
6. Reconstruire les images de conteneurs et vérifier les images cloud. APT est présent dans de nombreuses images de conteneurs et de machines construites à partir de bases Debian ou Ubuntu. Le bulletin 2026-172 d’AWS indique que l’application des correctifs aux instances Ubuntu et Debian autogérées sur EC2 relève de la responsabilité du client, que les images de conteneurs doivent être reconstruites et redéployées, et qu’Amazon Inspector peut aider à identifier les instances concernées.
Ce que les administrateurs doivent retenir
Le risque ne tient pas au fait que tous les dépôts HTTP seraient par nature non signés. APT vérifie normalement l’intégrité des paquets à partir de métadonnées signées et dignes de confiance. CVE-2026-109518 permet de contourner cette frontière de vérification dans certaines conditions précises de redirection HTTP et de nouvelle tentative. La mise à jour d’APT est le correctif principal, le transport HTTPS et le contrôle des nouvelles tentatives apportant une protection supplémentaire.
Sources officielles
- Ubuntu security advisory for CVE-2026-109518
- Ubuntu technical explanation and remediation
- Debian CVE tracker
- Debian security advisory DSA-6607-1
- Debian APT security update announcement
- AWS security bulletin 2026-172
Les sources ont été consultées le 12 novembre 2026. Avant de vous fier aux numéros de version ci-dessus, consultez l’avis en vigueur de votre distribution pour votre version.