Faille APT critique : un attaquant MitM peut remplacer des paquets Debian et Ubuntu et exécuter du code en root

Imaginez un scénario où vous lancez une mise à jour de sécurité sur votre serveur Ubuntu, mais qu’un attaquant, posté entre vous et le dépôt officiel, parvient à substituer le paquet légitime par son propre code malveillant. Le programme s’exécute alors avec les privilèges root, sans que vous ne vous en aperceviez. Ce n’est pas une hypothèse théorique : la vulnérabilité CVE-2026-109518, découverte dans le gestionnaire de paquets APT de Debian et Ubuntu, rend cette attaque par interception (Man-in-the-Middle, MitM) tout à fait réalisable. Publiée le 4 novembre 2026 par les équipes de sécurité de Debian, d’Ubuntu et des développeurs d’APT, elle a reçu un score CVSS 4.0 de 7,7, qualifié de « hautement prioritaire » par Ubuntu. Selon les avis officiels, l’attaquant peut injecter du code arbitraire qui s’exécute en root dès que le système installe un paquet. Cette faille APT touche potentiellement des millions de serveurs et de postes de travail, faisant craindre des compromissions en chaîne si elle n’est pas corrigée rapidement.

Comprendre la vulnérabilité CVE-2026-109518 et son vecteur d’attaque

Le mécanisme de l’attaque MitM sur APT

La faille réside dans la gestion des reprises de téléchargement par APT. Lorsqu’un paquet est en cours d’obtention, le gestionnaire peut rencontrer des échecs temporaires (erreurs 5xx) ou des redirections HTTP. Par défaut, depuis Debian 12 et Ubuntu 22.04, APT tente automatiquement de relancer le téléchargement après un échec. L’attaquant, qui peut modifier le trafic HTTP entre le client APT et le serveur de paquets (via un proxy malveillant, un routeur compromis, ou un miroir non officiel), exploite ce comportement. Il force APT à retenter l’acquisition en envoyant des erreurs transitoires, puis redirige la requête vers un serveur qu’il contrôle. Le paquet téléchargé n’est alors plus le paquet signé original, mais un artefact malveillant. Comme l’explique l’avis de Debian : « Le code de l’attaquant s’exécute ensuite en root ». La vérification de signature elle-même peut être contournée car celle-ci intervient avant le remplacement effectif du fichier lors de la retentative.

« Le code de l’attaquant s’exécute ensuite en root » - Avis de sécurité Debian, 4 novembre 2026

Le développeur Max Justicz a rapporté le problème, qui a été classé comme critique par l’équipe APT. Les trois avis (Debian, Ubuntu, APT) ne décrivent aucune exploitation connue dans la nature, mais n’offrent pas non plus de contournement pour les systèmes qui ne peuvent pas encore être mis à jour. Ils précisent que l’attaque fonctionne sur HTTP ; la question reste ouverte pour les dépôts accessibles en HTTPS, mais aucun élément ne permet d’affirmer qu’ils soient immunisés.

Quelles versions sont concernées ?

Par défaut, le comportement de reprise automatique est activé sur les versions suivantes :

• Debian 12 (bookworm) et ultérieures
• Ubuntu 22.04 LTS (Jammy) et ultérieures

Cependant, même sur des distributions plus anciennes (Debian 11, Ubuntu 20.04 et antérieures), de nombreux scripts d’administration activent volontairement le paramètre Acquire::Retries pour améliorer la résilience des mises à jour. Les développeurs d’APT avertissent : « De nombreux scripts utilisateurs peuvent avoir activé ce réglage sur ces versions ». Dans ce cas, ces systèmes sont également vulnérables. Debian 11, dont le support long terme s’est achevé le 31 août 2026, reçoit tout de même une version corrigée (2.2.5) de la part des développeurs d’APT. Le tableau ci-dessous résume les versions exposées et les correctifs disponibles.

D’après Ubuntu, huit versions sont suivies pour cette faille, de 14.04 LTS à 26.10. Au 4 novembre 2026 à 15:46 UTC, toutes étaient encore marquées comme vulnérables tant que la mise à jour n’est pas appliquée.

Impact sur l’écosystème des serveurs Linux

Statistiques et enjeux de sécurité

Selon des données de W3Techs de 2025, Ubuntu et Debian représentent ensemble plus de 60% des serveurs web hébergés dans le monde. En ajoutant les distributions dérivées (Linux Mint, Kali, Elementary OS, etc.), le nombre de systèmes concernés dépasse largement les 30 millions d’installations actives. Une exploitation massive de cette vulnérabilité pourrait permettre à des attaquants de déployer des portes dérobées sur des infrastructures critiques en quelques heures. Les experts de l’ANSSI rappellent régulièrement que la chaîne d’approvisionnement logicielle est l’un des maillons faibles de la cybersécurité, et cette faille APT en est une illustration parfaite.

« Les attaquants n’ont pas besoin de compromettre le dépôt officiel, il leur suffit de se placer entre vous et lui » - Développeurs d’APT

Comment se protéger et appliquer le correctif

Mettre à jour APT immédiatement

Les distributions concernées ont publié des mises à jour de leurs dépôts de sécurité le 4 novembre 2026 à 14:25 UTC pour Ubuntu. Voici les versions corrigées disponibles :

• Ubuntu 26.10 : APT 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS : APT 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS : APT 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS : APT 2.4.15ubuntu0.1

Debian a également commencé à diffuser des mises à jour, mais au moment de la rédaction, la branche testing de Debian exécutait encore la version vulnérable 3.3.5. Il est impératif de vérifier régulièrement l’état des correctifs.

Pour appliquer le correctif sur Ubuntu ou Debian, exécutez simplement :

sudo apt update && sudo apt upgrade

Assurez-vous qu’APT est bien mis à jour vers la version corrigée mentionnée dans les avis. Si votre dépôt HTTPS n’est pas encore supporté, utilisez un miroir officiel et vérifiez la somme de contrôle.

Recommandations complémentaires pour les administrateurs

Voici une liste de mesures à prendre pour réduire le risque résiduel :

1. Désactiver les reprises automatiques si non nécessaires : modifiez le fichier /etc/apt/apt.conf.d/99retries et configurez Acquire::Retries "0";. Attention, cela peut dégrader la résilience des mises à jour en cas d’indisponibilité passagère.
2. Privilégier les dépôts HTTPS : si votre distribution le permet, configurez APT pour utiliser exclusivement des sources sécurisées. Vérifiez que le certificat TLS est correct.
3. Segmenter le réseau et filtrer le trafic HTTP : empêchez tout proxy ou relais non autorisé d’intercepter les flux vers les dépôts.
4. Mettre en place une surveillance des téléchargements : utilisez des outils comme apt-watch ou des sondes réseau pour détecter les redirections anormales.
5. Appliquer le principe du moindre privilège : même si l’attaque donne un accès root, limiter les surfaces d’exposition via des conteneurs ou des utilisateurs non privilégiés peut limiter l’impact d’une compromission.
6. Utiliser un proxy interne fiable : au sein d’une entreprise, centralisez les mises à jour via un miroir contrôlé et certifiez l’intégrité des paquets avec des signatures GPG (ce qui ne suffit pas ici, mais reste une bonne pratique).

Il est essentiel de noter qu’aucun contournement n’existe officiellement pour les systèmes ne pouvant pas être mis à jour immédiatement. La seule solution fiable est d’appliquer le correctif. Les organisations doivent prioriser cette mise à jour, d’autant plus que la vulnérabilité est exploitée à distance sans authentification.

Vers une meilleure sécurisation de la chaîne d’approvisionnement

Leçons à tirer pour les gestionnaires de paquets

Cette faille APT n’est pas isolée : en 2024, une vulnérabilité similaire avait été découverte dans le gestionnaire de paquets pip (Python). La répétition de ces incidents montre que la gestion des reprises et des redirections HTTP reste un angle mort dans la sécurisation des mises à jour logicielles. À l’ère de la supply chain attack, où des groupes comme APT28 ou Sandworm ciblent les infrastructures de mise à jour, il devient indispensable d’intégrer des mécanismes de vérification forts dès la conception. La norme ISO 27001 préconise une gestion des risques incluant la validation continue de l’intégrité des sources logicielles. De plus, le RGPD exige que les données (notamment les logs de mise à jour) soient protégées contre toute altération.

L’initiative de Debian et Ubuntu de publier des correctifs rapides est salutaire, mais elle souligne aussi la dépendance des distributions envers HTTP pour certains miroirs. L’adoption massive de HTTPS devrait être accélérée, et les options de retry doivent être paramétrées avec précaution par les administrateurs.

Conclusion : agir sans attendre face à une menace critique

La vulnérabilité CVE-2026-109518 dans APT n’est pas une faille théorique : elle permet à un attaquant MitM de prendre le contrôle complet d’un système Debian ou Ubuntu lors de l’installation d’un paquet. Grâce à des correctifs déjà disponibles, il est impératif de mettre à jour votre gestionnaire de paquets dès que possible. N’attendez pas que votre infrastructure soit compromise pour mesurer l’ampleur du risque. Vérifiez vos versions, désactivez les reprises non essentielles, et surveillez le trafic réseau vers vos dépôts. En intégrant ces bonnes pratiques, vous renforcez la sécurité de toute votre chaîne d’approvisionnement logicielle.

Rappel : la faille APT reste active tant que le correctif n’est pas appliqué. Assurez-vous que vos serveurs et postes de travail sont protégés - c’est la seule manière de garder une longueur d’avance sur les attaquants.