Vulnérabilité APT Debian et Ubuntu : un attaquant MitM peut exécuter du code en tant que root

Imaginez un scénario : votre administrateur système lance une mise à jour de sécurité critique sur un serveur Debian. Un attaquant situé entre le serveur et le dépôt officiel intercepte la connexion, provoque un échec temporaire et remplace un paquet légitime par un composant malveillant. Sans que vous ne remarquiez rien, le code hostile s’exécute avec les privilèges root. Ce n’est pas une fiction : la vulnérabilité CVE-2026-109518, découverte dans le gestionnaire de paquets APT (Advanced Package Tool) d’Debian et d’Ubuntu, rend ce scénario possible. Publiée le 4 novembre 2026 par les équipes de sécurité de Debian, Ubuntu et les développeurs d’APT, cette faille a reçu un score CVSS 4.0 de 7,7 (haute priorité). Elle exploite le mécanisme de reprise des téléchargements (retry) pour permettre à un attaquant Man-in-the-Middle (MitM) de substituer un paquet vérifié par son propre code. Selon un rapport SANS 2026, les attaques par la chaîne d’approvisionnement ont augmenté de 40 % en un an, rendant cette vulnérabilité particulièrement préoccupante. Ce guide détaille le fonctionnement de la faille, les systèmes exposés et les mesures immédiates à prendre pour protéger vos infrastructures.

Qu’est-ce que la vulnérabilité CVE-2026-109518 ?

APT est le gestionnaire de paquets par défaut de Debian et Ubuntu. Il garantit l’intégrité des paquets téléchargés en utilisant des signatures cryptographiques GnuPG. En temps normal, APT télécharge un paquet, vérifie sa signature, puis l’installe. La faille CVE-2026-109518 réside dans la gestion des échecs de téléchargement. Lorsque APT rencontre une erreur temporaire (code HTTP 5xx) ou une redirection (HTTP 302), il retente automatiquement le téléchargement, conformément au paramètre Acquire::Retries. Un attaquant qui contrôle le trafic HTTP peut provoquer ces erreurs et, à chaque tentative, rediriger la requête vers un serveur malveillant. Le paquet final validé et installé peut alors être différent de celui initialement vérifié. L’exécution du code de l’attaquant se fait avec les droits root, comme l’indiquent les avertissements de Debian et Ubuntu. Les développeurs d’APT qualifient cette vulnérabilité de critique. L’attaque ne nécessite pas d’authentification préalable ni d’accès local ; seul un accès au réseau entre la machine et le dépôt est requis.

« L’attaquant peut faire exécuter son code en tant que root. » - Avis de sécurité Debian, 4 novembre 2026.

Comment l’attaque fonctionne-t-elle ?

Mécanisme de retry et redirection HTTP

L’attaque exploite le paramètre Acquire::Retries. Par défaut, à partir de Debian 12 et Ubuntu 22.04, APT effectue jusqu’à deux tentatives supplémentaires en cas d’échec. L’attaquant, positionné sur le réseau (via un proxy compromis, un point d’accès Wi-Fi malveillant ou un routeur détourné), intercepte les requêtes HTTP vers le dépôt de paquets. Voici le déroulement typique :

1. APT initie le téléchargement d’un paquet légitime.
2. L’attaquant laisse passer ce premier échange : le paquet est téléchargé et vérifié normalement.
3. Pour le même paquet, l’attaquant répond ensuite par une erreur 500 ou une redirection 302, ce qui force APT à retenter le téléchargement.
4. Lors de la retentative, l’attaquant fournit un paquet différent, malveillant. APT ne refait pas de vérification complète car il considère le paquet déjà validé.
5. Le paquet malveillant est installé avec les privilèges root.

Selon Ubuntu, « l’attaquant peut être toute personne capable de modifier le trafic HTTP entre APT et le serveur de paquets, y compris un miroir ou un proxy malveillant. » Aucun des trois avis de sécurité (Debian, Ubuntu, APT) ne décrit d’exploitation dans la nature ni ne propose de contournement pour les systèmes qui ne peuvent pas encore être mis à jour.

« The attacker can be anyone who can change the HTTP traffic between APT and the package server, including a malicious mirror or proxy. » - Ubuntu Security Advisory, 4 novembre 2026.

Conditions pour l’exploitation

• L’attaquant doit pouvoir intercepter le trafic HTTP (les dépôts HTTP sont directement exposés ; la faille pourrait également concerner HTTPS selon certaines configurations, mais cela n’est pas confirmé).
• APT doit être configuré pour retenter les téléchargements (Acquire::Retries > 0). Sur Debian 12+ et Ubuntu 22.04+, cette option est activée par défaut.
• Le système doit être en train d’installer ou de mettre à jour un paquet.
• Le paquet cible doit être disponible sur un dépôt accessible via HTTP.

Quels systèmes sont concernés ?

Versions exposées par défaut

Le tableau ci-dessous récapitule les versions de Debian et Ubuntu affectées et les correctifs publiés le 4 novembre 2026.

Les distributions dérivées (Linux Mint, Kali Linux, Parrot OS, etc.) sont également potentiellement vulnérables, car elles utilisent APT et les dépôts Debian/Ubuntu. Ubuntu a confirmé que toutes les distributions construites sur Debian et Ubuntu sont affectées, sans les nommer.

Cas particuliers des versions non exposées par défaut

Debian 11 et Ubuntu 20.04 ne sont pas exposés par défaut car Acquire::Retries n’est pas activé. Toutefois, les développeurs d’APT mettent en garde : « Many user scripts may have turned on the retry setting… on those releases anyway ». Il est donc indispensable de vérifier la configuration sur chaque système, même ancien. Pour Ubuntu 20.04 et 14.04, Ubuntu Pro fournit des correctifs dès le 4 novembre.

Mesures d’urgence et solutions de contournement

Mettre à jour APT immédiatement

La solution la plus efficace est de mettre à jour APT lui-même vers une version corrigée. Exécutez les commandes suivantes sur vos serveurs :

sudo apt-get update
sudo apt-get install apt

Vérifiez la version installée :

apt-get --version

Exemple de sortie pour une version corrigée : apt 2.6.0 (amd64) sur Debian 12. Les numéros exacts sont fournis dans le tableau ci-dessus.

Désactiver Acquire::Retries temporairement

Si la mise à jour n’est pas encore disponible pour votre distribution, désactivez les reprises en créant un fichier de configuration :

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99retries-off

Ou utilisez l’option de ligne de commande pour les opérations ponctuelles :

sudo apt-get -o Acquire::Retries=0 update && sudo apt-get -o Acquire::Retries=0 upgrade

Attention : cette mesure peut entraîner des échecs d’installation sur des réseaux instables. Elle doit être considérée comme une solution temporaire.

Migrer vers des dépôts HTTPS

Utiliser des miroirs HTTPS réduit considérablement le risque d’interception. Les avis de sécurité ne confirment pas que la faille soit inexistante sur HTTPS, mais le chiffrement complique significativement l’attaque. Modifiez vos sources list (/etc/apt/sources.list) pour privilégier les URL en https://.

Surveiller les alertes officielles

Consultez les bulletins de sécurité de Debian, Ubuntu et de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). L’ANSSI publie régulièrement des avis sur les vulnérabilités critiques impactant les infrastructures françaises. Restez informé des mises à jour ultérieures, car des correctifs supplémentaires pourraient être diffusés.

Impact sur la sécurité des infrastructures en France

En France, Debian et Ubuntu sont massivement déployés, tant dans le secteur public que privé. Selon l’Observatoire open source 2025, Ubuntu représenterait environ 35 % des serveurs Linux en France, et Debian environ 25 %. La vulnérabilité CVE-2026-109518 concerne potentiellement plusieurs centaines de milliers de machines. Les attaquants peuvent cibler des infrastructures critiques en interceptant le trafic entre les serveurs et leurs dépôts de paquets, par exemple dans un datacenter mutualisé ou via un fournisseur d’accès compromis.

Exemple concret : un hébergeur français utilise Ubuntu 24.04 LTS pour ses serveurs clients. Si un attaquant accède au réseau interne de l’hébergeur (via une faille d’un autre service par exemple), il peut injecter des paquets malveillants lors des mises à jour automatiques nocturnes, compromettant ainsi l’ensemble des machines virtuelles. La faille est d’autant plus dangereuse qu’elle ne laisse pas de trace évidente dans les logs standard d’APT.

L’ANSSI a probablement déjà émis un avis (à vérifier sur leur site) recommandant une mise à jour urgente. Les organisations françaises doivent considérer cette faille comme une priorité absolue, en particulier si elles utilisent des dépôts HTTP. Le score CVSS de 7,7 reflète la facilité d’exploitation et l’impact maximal (compromission totale du système).

Recommandations pour les administrateurs système

1. Mettez à jour APT immédiatement sur toutes vos machines Debian et Ubuntu à l’aide des correctifs officiels. Priorisez les systèmes exposés (versions récentes, dépôts HTTP).
2. Vérifiez la configuration Acquire::Retries sur l’ensemble de vos systèmes, y compris les versions anciennes. Utilisez apt-config dump Acquire::Retries pour connaître la valeur effective.
3. Migrez les dépôts HTTP vers HTTPS dans vos sources list. Remplacez http:// par https:// pour tout dépôt officiel.
4. Appliquez les mises à jour hors ligne dans les environnements isolés : téléchargez les paquets APT corrigés sur une machine de confiance et transférez-les via un support sécurisé.
5. Segmentez votre réseau pour limiter les possibilités d’interception MitM. Isolez les serveurs sensibles dans des VLAN dédiés.
6. Activez les mises à jour automatiques (unattended-upgrades) uniquement après avoir patché APT, pour ne pas perpétuer le risque.
7. Surveillez les logs et le trafic réseau à destination des dépôts de paquets. Des redirections HTTP inhabituelles peuvent être le signe d’une tentative d’exploitation.
8. Utilisez des outils de vérification d’intégrité comme debsums ou tripwire pour détecter des altérations de paquets après installation.

Cas des anciens systèmes

Pour Debian 11 et Ubuntu 20.04, si vous avez activé les retries (volontairement ou via un script), installez sans attendre les versions APT corrigées publiées par les éditeurs. Ubuntu Pro propose des correctifs pour les versions plus anciennes (14.04, 16.04). Les correctifs Debian 11 sont disponibles via le dépôt bullseye-security. Ne tardez pas : chaque jour sans mise à jour augmente la fenêtre d’exploitation.

Conclusion : agissez sans tarder

La vulnérabilité CVE-2026-109518 est une menace sérieuse pour tous les utilisateurs de Debian et Ubuntu. En permettant à un attaquant MitM d’exécuter du code en tant que root via une simple mise à jour de paquet, elle remet en cause la confiance dans le mécanisme de mise à jour système. Les correctifs sont disponibles depuis le 4 novembre 2026. La priorité absolue est de mettre à jour APT sur tous vos systèmes. En parallèle, révisez votre configuration réseau et vos dépôts pour limiter l’exposition. N’attendez pas que la faille soit exploitée : agissez maintenant. La sécurité de votre infrastructure dépend de la rapidité de votre réaction face à cette vulnérabilité APT Debian et Ubuntu.