CVE-2026-109518 : faille APT permet l'exécution root sur Debian et Ubuntu

Ce qui s'est passé

Le 4 novembre 2026, les équipes de sécurité de Debian et d'Ubuntu ont publié de façon coordonnée des bulletins d'alerte concernant une vulnérabilité critique référencée CVE-2026-109518 dans APT, le gestionnaire de paquets utilisé sur des dizaines de millions de systèmes Linux à travers le monde. The Hacker News, GBHackers et Cyberpress ont relayé l'information dans les heures suivantes. La faille permet à un adversaire en position d'interception réseau de faire installer à une machine cible un paquet arbitraire avec les droits root, contournant ainsi les vérifications cryptographiques habituelles d'APT.

Pour comprendre le mécanisme, il faut revenir sur le fonctionnement interne d'APT lors d'un téléchargement échoué. Depuis Debian 12 et Ubuntu 22.04, l'option Acquire::Retries est activée par défaut, incitant APT à relancer automatiquement un téléchargement interrompu ou ayant échoué. C'est précisément dans cette seconde tentative que réside le problème : en combinant la réutilisation de liens symboliques codés en dur dans le répertoire de cache d'APT et la gestion des redirections HTTP, un attaquant capable d'intercepter et de modifier le trafic réseau peut substituer lors du réessai un paquet malveillant à celui qui avait été initialement vérifié. La signature GPG du paquet légitime a été validée avant le premier téléchargement, mais APT ne revalide pas de façon suffisamment stricte lors du cycle de réessai, ouvrant une fenêtre d'exploitation critique.

Les systèmes vulnérables par défaut incluent Debian 12 (Bookworm), Debian 13 (Trixie) et l'intégralité des versions Ubuntu à partir de 22.04 LTS (Jammy Jellyfish). Pour ces distributions, aucune configuration particulière n'est nécessaire côté victime : le comportement par défaut suffit à rendre l'attaque possible. Debian 11 (Bullseye) et Ubuntu 20.04 LTS (Focal) sont uniquement concernés si l'administrateur a explicitement défini une valeur non nulle pour Acquire::Retries dans la configuration APT, ce qui reste rare en dehors de certains environnements d'entreprise soucieux de résilience réseau.

La surface d'attaque combine des exigences techniques sérieuses et des scénarios d'exploitation réalistes dans de nombreux environnements professionnels. L'attaquant doit être en position man-in-the-middle, c'est-à-dire capable d'intercepter et de modifier le trafic HTTP entre la machine cible et son miroir APT. Cela peut s'obtenir via un contrôle de réseau local (ARP spoofing, rogue DHCP), via le contrôle ou la compromission d'un miroir APT légitime, via un proxy d'entreprise mal configuré, ou encore via des techniques de BGP hijacking sur le trajet réseau. Dans les environnements cloud multi-tenant, un acteur malveillant contrôlant une partie de l'infrastructure réseau partagée pourrait également exploiter cette faille.

Les cibles les plus sensibles sont les pipelines CI/CD automatisés qui déclenchent régulièrement des commandes apt-get update et apt-get install sans supervision humaine. Dans ces contextes, un attaquant patient peut attendre qu'un build automatique se déclenche pour substituer un paquet critique par une version backdoorée. L'exploitation est d'autant plus dangereuse qu'elle serait silencieuse : les journaux APT afficheraient une installation normale, et aucune alerte ne serait déclenchée puisque le système considère l'opération comme légitime.

En matière de criticité, les évaluations des différentes sources divergent légèrement. Ubuntu attribue à CVE-2026-109518 un score CVSS 4.0 de 7.7 et la classe comme « High ». Les développeurs d'APT eux-mêmes la qualifient de critique dans leurs communications. L'écart s'explique par la nécessité d'une position réseau privilégiée, contrairement aux failles exploitables directement depuis internet. À la date de publication, la CISA n'a pas encore inscrit cette CVE à son catalogue Known Exploited Vulnerabilities, et aucun rapport ne signale d'exploitation active dans la nature. Cela ne doit pas induire une fausse sécurité : les acteurs sophistiqués intègrent typiquement ce type de faille dans leurs arsenaux bien avant toute détection publique.

Les correctifs sont disponibles et déployables immédiatement pour toutes les versions affectées. Sous Debian, la version corrigée est APT 2.6.2 pour Debian 12, APT 3.0.4 pour Debian 13, et APT 2.2.5 pour Debian 11. Sous Ubuntu, les versions corrigées sont APT 2.4.15ubuntu0.1 pour Ubuntu 22.04 LTS et APT 2.8.4ubuntu0.1 pour Ubuntu 24.04. La mise à jour s'effectue via les commandes standard. Pour les systèmes ne pouvant pas être patchés immédiatement, la mitigation temporaire recommandée consiste à créer un fichier dans /etc/apt/apt.conf.d/ contenant la directive Acquire::Retries "0" afin de désactiver le mécanisme de réessai automatique à l'origine de la faille.

Les équipes DevSecOps devront également penser à reconstruire leurs images Docker et templates de machines virtuelles basés sur ces distributions pour intégrer les versions corrigées d'APT. Dans les chaînes de déploiement modernes, une image de base non patchée peut être utilisée des centaines de fois avant d'être détectée, multipliant d'autant la surface d'exposition. Les registres privés d'images, notamment ceux utilisés en production Kubernetes, méritent une attention particulière pour s'assurer que toutes les images actives intègrent bien les correctifs publiés le 4 novembre.

Pourquoi c'est important

APT est le gestionnaire de paquets de référence de l'écosystème Debian et Ubuntu, qui représente de loin la famille de distributions Linux la plus déployée au monde, aussi bien sur les serveurs bare metal que dans les environnements cloud public, privé et hybride. Une faille dans APT ne se compare pas à une vulnérabilité applicative ordinaire : elle touche le mécanisme fondamental par lequel les administrateurs système font confiance à leur infrastructure logicielle. Compromettre APT, c'est compromettre la chaîne d'approvisionnement logicielle à sa source même.

Cette vulnérabilité s'inscrit dans une tendance plus large d'attaques ciblant les chaînes d'approvisionnement logicielles. Des incidents comme SolarWinds, l'affaire XZ Utils en 2024, ou les attaques répétées sur les registres npm et PyPI ont démontré que les adversaires sophistiqués cherchent à s'introduire par les canaux de confiance plutôt que par des exploits directs. Une faille dans APT offrirait exactement ce vecteur idéal : discret, massif, et difficile à détecter a posteriori car l'installation paraît légitime aux yeux du système.

Pour les organisations françaises, le contexte réglementaire renforce l'urgence d'agir. La directive NIS2, transposée en droit français depuis fin 2024, impose aux opérateurs d'importance vitale et aux entités essentielles de maintenir leurs systèmes à jour et de disposer de processus de gestion des vulnérabilités documentés. Une faille de cette nature non corrigée dans les délais pourrait exposer l'organisation à des sanctions de l'ANSSI. Les SOC et les équipes de sécurité devraient classer cette mise à jour au niveau de priorité d'une faille OpenSSL ou d'une vulnérabilité kernel, et non la traiter comme une simple mise à jour de routine.

Du point de vue de la gestion des risques, la combinaison d'une criticité technique élevée, d'une présence massive d'APT dans les environnements de production, et de l'absence de détection active signalée crée une fenêtre d'exposition particulièrement préoccupante. Les organisations qui n'ont pas encore appliqué le correctif doivent agir rapidement, en particulier si elles opèrent des systèmes exposés à des réseaux non maîtrisés ou qui effectuent des mises à jour automatiques non supervisées.

Ce qu'il faut retenir

• CVE-2026-109518 permet à un attaquant MitM de faire installer un paquet malveillant avec droits root via le mécanisme de réessai APT — aucune exploitation active confirmée au 5 novembre 2026.
• Debian 12/13 et Ubuntu 22.04+ sont vulnérables par défaut ; correctifs APT 2.6.2 / 3.0.4 (Debian) et 2.4.15ubuntu0.1 / 2.8.4ubuntu0.1 (Ubuntu) disponibles et à déployer en priorité.
• Reconstruire également les images Docker et templates VM basés sur ces distributions pour propager le correctif dans tous les pipelines de déploiement.