En bref

  • CVE-2026-109518 : un attaquant on-path (MitM) peut substituer un paquet APT validé par un binaire malveillant, entraînant une exécution de code en root
  • Systèmes concernés : Debian 12 (bookworm), Debian 13 (trixie), Ubuntu 22.04 LTS, Ubuntu 24.04 LTS avec Acquire::Retries supérieur à 0 (valeur par défaut)
  • Action requise : mettre à jour le paquet apt immédiatement (Debian 12 → apt 2.6.2, Debian 13 → apt 3.0.4)

Les faits

Le 4 novembre 2026, le mainteneur Debian Julian Andres Klode a publié l'advisory de sécurité APT-2026-11-01, révélant une faille dans le comportement de reprise des téléchargements HTTP du gestionnaire de paquets APT. La vulnérabilité, identifiée CVE-2026-109518, affecte toutes les distributions basées sur Debian et Ubuntu utilisant APT avec la configuration par défaut.

Le mécanisme de la faille est subtil mais aux conséquences radicales. Lors d'un téléchargement de paquet interrompu, APT peut reprendre le téléchargement via un mécanisme de retry. Si une redirection HTTP survient au cours de cette reprise et que deux téléchargements distincts se retrouvent avec la même adresse URL de destination après redirection, APT peut fusionner ces deux téléchargements. Un attaquant en position on-path — capable de manipuler le trafic HTTP entre le client APT et le miroir de dépôt — peut exploiter ce comportement pour substituer, après la phase de vérification cryptographique, un paquet validé par un paquet arbitraire et non vérifié.

Le résultat est l'installation silencieuse d'un paquet malveillant avec les droits root, sans que les mécanismes de vérification cryptographique d'APT ne détectent l'anomalie. Dans la pratique, cela permet à un attaquant contrôlant un miroir APT compromis, un proxy réseau ou disposant d'un accès au réseau de l'organisation d'implanter un backdoor ou un logiciel malveillant sur n'importe quel serveur Debian ou Ubuntu procédant à une mise à jour de paquets.

La condition d'exploitation critique est que le paramètre Acquire::Retries soit supérieur à zéro. Or cette valeur est fixée à 3 par défaut sur Debian 12 (bookworm) et Ubuntu 22.04 LTS — les deux distributions les plus répandues en production. Les versions plus anciennes de ces distributions utilisaient une valeur par défaut de 0, ce qui les rend non vulnérables dans leur configuration standard.

Du point de vue de la sévérité, les sources divergent : Canonical (Ubuntu) a attribué un score CVSS v4.0 de 7.7 (High), tandis que le mainteneur Debian a qualifié la faille de critique dans son advisory. Dans tous les cas, la capacité à obtenir une exécution de code root sur des milliers de serveurs Linux via une simple opération apt upgrade justifie un traitement d'urgence, indépendamment du score CVSS officiel.

La faille n'était pas référencée dans le catalogue KEV de la CISA au 3 novembre 2026. Aucune exploitation confirmée in-the-wild n'avait été rapportée au moment de la publication. Cependant, le vecteur d'attaque (un miroir APT compromis ou un proxy réseau malveillant) est utilisé de longue date par des acteurs APT sophistiqués ciblant les infrastructures Linux des entreprises et administrations.

Les correctifs ont été publiés simultanément par Debian et Ubuntu : Debian 12 bookworm → apt 2.6.2 (advisory DLA-4880-1), la version vulnérable étant apt 2.6.1 ; Debian 13 trixie → apt 3.0.4 (advisory DSA-6607-1), la version vulnérable étant apt 3.0.3. Pour Ubuntu : 22.04 LTS → apt 2.4.15ubuntu0.1 ; 24.04 LTS → apt 2.8.4ubuntu0.1.

APT est utilisé non seulement manuellement par les administrateurs, mais aussi automatiquement par des outils de gestion de configuration (Ansible, Puppet, Chef, SaltStack) et des pipelines CI/CD. Ces systèmes automatisés effectuent des apt upgrade sans supervision humaine — ils constituent donc une surface d'attaque silencieuse si leur trafic réseau transite par un équipement compromis ou un miroir APT malveillant.

Pour vérifier rapidement si vos systèmes sont vulnérables : exécutez apt-get --version et comparez avec les versions corrigées ci-dessus. Pour vérifier la configuration des retries : apt-config dump | grep Retries. Si la valeur est supérieure à 0 et que vous n'avez pas encore appliqué le patch, votre système est exposé.

Impact et exposition

Debian et Ubuntu dominent les déploiements de serveurs Linux en entreprise et dans le cloud. AWS, GCP et Azure proposent tous des AMI et images officielles basées sur Ubuntu 22.04 LTS et 24.04 LTS. Un datacenter opérant des centaines de serveurs Debian ou Ubuntu et utilisant un miroir APT interne est particulièrement exposé : si ce miroir est compromis, toutes les mises à jour de paquets deviennent un vecteur d'implantation de code malveillant en root.

Les opérateurs d'hébergement partagé, les MSP gérant des parcs de serveurs clients, et les organisations utilisant des proxies réseau pour centraliser les mises à jour sont en première ligne. Un attaquant compromettant le proxy APT d'une organisation peut potentiellement toucher l'ensemble du parc serveur lors de la prochaine fenêtre de maintenance.

Recommandations

  • Mettre à jour le paquet apt en priorité absolue sur tous les serveurs Debian 12/13 et Ubuntu 22.04/24.04
  • Vérifier la version d'APT installée : apt-get --version — toute version antérieure aux versions corrigées est vulnérable
  • En attendant le patch, positionner Acquire::Retries "0"; dans /etc/apt/apt.conf.d/ pour désactiver le comportement vulnérable
  • Vérifier l'intégrité des miroirs APT internes et des proxies réseau utilisés pour les mises à jour de paquets
  • Auditer les pipelines CI/CD et outils d'automatisation utilisant apt pour s'assurer qu'ils opèrent sur des canaux réseau de confiance
  • Activer la journalisation des téléchargements APT et mettre en place des alertes sur les comportements de redirection inhabituels

Alerte critique

CVE-2026-109518 permet à un attaquant contrôlant votre réseau ou un miroir APT compromis d'implanter silencieusement du code malveillant en root sur vos serveurs Debian et Ubuntu. Chaque apt upgrade non patché est un risque. Mettez à jour APT avant toute autre opération de maintenance.

Désactiver les retries APT suffit-il comme contournement temporaire ?

Oui, c'est la mesure de contournement recommandée en attendant le patch. Ajoutez la directive Acquire::Retries "0"; dans un fichier de configuration APT (par exemple /etc/apt/apt.conf.d/99no-retries). Cela supprime le mécanisme de reprise de téléchargement à l'origine de la faille. Vérifiez que la configuration est bien prise en compte avec apt-config dump | grep Retries. Notez que cette mesure ralentit les mises à jour sur des connexions instables. Elle doit être considérée comme temporaire : appliquez le correctif officiel dès que possible.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit