Faille critique dans APT : un attaquant peut exécuter du code en tant que root sur Debian et Ubuntu

Le 4 novembre 2026, une vulnérabilité grave a été révélée dans le gestionnaire de paquets APT des distributions Debian et Ubuntu. Identifiée sous le code CVE-2026-109518, cette faille permet à un attaquant usant de techniques d’ingénierie sociale et positionné en Man-in-the-Middle (MitM) de remplacer un paquet légitime par son propre code malveillant et de l’exécuter avec les privilèges root. La menace est d’autant plus sérieuse que le vecteur d’attaque exploite un comportement par défaut d’APT : la reprise automatique des téléchargements échoués. Pour les administrateurs systèmes et les responsables de la sécurité informatique en France, cette faille APT constitue un signal d’alarme sur la robustesse de la chaîne d’approvisionnement de paquets.

Une vulnérabilité MitM qui compromet la chaîne de mise à jour

Mécanisme de l’attaque : redirections HTTP et retries automatiques

L’attaque repose sur la capacité d’un adversaire à intercepter le trafic HTTP entre le client APT et le serveur de paquets. En pratique, l’attaquant peut être un miroir malveillant, un proxy compromis ou tout acteur capable de modifier le flux réseau. Lors de l’installation d’un paquet, APT télécharge d’abord le fichier Release et les sommes de contrôle associées, puis le paquet lui-même. Si la vérification des signatures échoue (ou si une erreur temporaire survient), APT est configuré, par défaut depuis Debian 12 et Ubuntu 22.04, pour réessayer le téléchargement. C’est cette phase de retry que l’attaquant exploite : il force des erreurs HTTP 503 ou des redirections vers une version altérée du paquet. Une fois le paquet malveillant téléchargé, le checksum contrôlé peut correspondre au paquet modifié si l’attaquant a déjà falsifié les métadonnées. Le code est alors installé avec les droits root.

Ce scénario n’est pas théorique : la faille APT a été classée avec un score CVSS 4.0 de 7.7 (high severity) par Ubuntu. Les développeurs d’APT qualifient la vulnérabilité de critique. Selon les avis de sécurité publiés par Debian et Ubuntu le 4 novembre 2026, la condition préalable est qu’APT ait activé la reprise après échec, ce qui est désormais le réglage usuel. Même sur des versions antérieures (Debian 11, Ubuntu 20.04), de nombreux scripts d’administration activent manuellement la directive Acquire::Retries, exposant ainsi ces systèmes.

Quelles versions sont affectées ?

L’impact concerne toutes les versions de Debian et Ubuntu où APT est configuré pour retenter les téléchargements. Debian 12 et plus récentes sont vulnérables par défaut. Ubuntu 22.04 LTS et suivantes le sont également. Pour les versions plus anciennes, le risque dépend de la présence de la directive Acquire::Retries dans /etc/apt/apt.conf.d/. Ubuntu liste huit releases comme affectées, de Ubuntu 14.04 LTS à Ubuntu 26.10. Toutefois, Ubuntu 14.04 nécessite un abonnement Ubuntu Pro pour obtenir le correctif. Debian 11, dont le support long terme a pris fin le 31 août 2026, voit ses utilisateurs invités à passer à Debian 12 ou à compiler la version corrigée publiée par les développeurs d’APT.

Note importante : selon le bulletin d’Ubuntu, les distributions basées sur Debian ou Ubuntu (comme Linux Mint, Kali Linux ou Pop!_OS) sont également potentiellement vulnérables. Il est impératif de vérifier la version d’APT installée et de se référer aux avis de chaque éditeur.

Correctifs disponibles et versions d’APT patchées

Les équipes de sécurité ont réagi rapidement. Dès le 4 novembre 2026, Debian a publié des versions corrigées d’APT. Ubuntu a déployé de nouvelles builds dans son archive de sécurité. Voici la liste des versions patchées pour les distributions Ubuntu concernées (mises à jour disponibles depuis le 4 novembre à 14h25 UTC) :

Les utilisateurs d’Ubuntu 14.04 LTS avec abonnement Ubuntu Pro peuvent également obtenir la mise à jour. Pour Debian 12, la version stable a reçu le correctif via le canal de mises à jour régulières. À 15h46 UTC le même jour, Ubuntu marquait encore toutes ses releases comme vulnérables, indiquant que le déploiement était en cours.

Vérifier la version d’APT et appliquer la mise à jour

Pour connaître la version d’APT installée sur votre système, exécutez la commande suivante :

apt --version

Si la version affichée est inférieure à celles listées ci-dessus (ou si vous utilisez Debian 12 avec une version antérieure à 2.6.x - selon l’avis de Debian), vous devez immédiatement mettre à jour APT via la commande :

sudo apt update && sudo apt upgrade apt

Attention : si votre système n’a pas encore reçu la mise à jour, il est recommandé de limiter l’installation de paquets à des sources HTTPS de confiance, bien que l’avis de sécurité ne précise pas si le protocole HTTPS est également vulnérable (le vecteur décrit cible le trafic HTTP).

Selon l’avis des développeurs d’APT, la faille a été identifiée et rapportée par Max Justicz. Aucune exploitation n’a été observée dans la nature au moment de la publication, mais le risque de zero-day actif est réel. Aucune solution de contournement n’est fournie à ce jour pour les systèmes ne pouvant pas être mis à jour immédiatement.

Impact et risque pour les serveurs français : une menace sous-estimée

La France compte de nombreuses organisations - administrations, entreprises, hébergeurs - qui utilisent Debian ou Ubuntu pour leurs serveurs. Selon une étude récente de l’ANSSI sur les systèmes d’exploitation, plus de 60 % des serveurs web français tournent sous une distribution Linux, dont une majorité utilise APT pour la gestion des paquets. La faille APT expose ces infrastructures à une prise de contrôle totale : un attaquant capable d’intercepter le flux réseau (via un point d’accès Wi-Fi public, un FAI compromis, ou un routeur mal configuré) pourrait déployer un backdoor root sur une machine critique.

En pratique, le scénario est particulièrement redouté lors des opérations de mise à jour massives (patch Tuesday, déploiement automatique). Un miroir malveillant ou un proxy d’entreprise mal sécurisé peut servir de point d’entrée. La vulnérabilité contourne la vérification des signatures GPG des paquets, car l’attaque se déroule au moment du téléchargement après validation des métadonnées. Cette faille APT rappelle la nécessité de durcir la configuration d’APT et de ne pas se reposer uniquement sur les sommes de contrôle sans s’assurer de l’intégrité de toute la chaîne de téléchargement.

Que faire si vous administrez un parc Debian/Ubuntu ?

1. Identifier les versions vulnérables : liste de tous les serveurs avec apt --version.
2. Appliquer les correctifs : exécuter la mise à jour dès que disponible via les dépôts officiels.
3. Désactiver Acquire::Retries si possible : supprimer ou commenter la directive dans les fichiers de configuration /etc/apt/apt.conf.d/. Cependant, cela peut impacter les mises à jour sur des connexions instables. À évaluer au cas par cas.
4. Utiliser des dépôts HTTPS : bien que non couvert explicitement par l’avis, le chiffrement TLS rend l’attaque MitM plus difficile (à condition que les certificats soient correctement vérifiés).
5. Analyser les logs APT : une activité anormale (tentatives de téléchargement vers des IP inconnues) peut indiquer une tentative d’exploitation.

Conclusion : agir sans attendre face à une faille root distante

La vulnérabilité CVE-2026-109518 dans APT est une piqûre de rappel : même les mécanismes de sécurité les plus éprouvés peuvent être contournés par un défaut de conception dans la gestion des erreurs. Les administrateurs français doivent traiter cette faille APT avec une priorité maximale - score CVSS 7.7, exécution de code root, vecteur d’attaque par MitM accessible à tout acteur positionné sur le réseau. La mise à jour d’APT est la seule protection fiable à ce jour. En attendant, restreindre l’utilisation de sources non HTTPS et surveiller les connexions sortantes vers les dépôts est une précaution minimale.

En conclusion, cette alerte illustre l’importance de maintenir une veille de sécurité active et de tester les configurations par défaut des gestionnaires de paquets. L’ANSSI et le CERT-FR suivront probablement ce dossier ; soyez prêts à réagir dès l’apparition de nouvelles informations. Protégez vos serveurs Debian et Ubuntu dès maintenant.