CVE-2026-109518 : APT Debian vulnérable aux attaques MitM

Ce qui s'est passé

Le 4 novembre 2026, les équipes de sécurité de Debian et Canonical ont divulgué CVE-2026-109518, une vulnérabilité dans APT — le gestionnaire de paquets central des distributions Debian et Ubuntu — permettant à un attaquant positionné en man-in-the-middle d'exécuter du code arbitraire avec les privilèges root sur la machine cible. L'information a été largement relayée par The Hacker News, BleepingComputer et plusieurs acteurs de la sécurité dans les 48 heures suivant la divulgation, puis amplifiée début novembre lors de la parution des bulletins officiels.

Le mécanisme d'attaque repose sur une subtilité dans la gestion des téléchargements interrompus au sein d'APT. Lorsqu'un téléchargement échoue et que le client doit relancer l'opération, APT tente de fusionner deux téléchargements distincts si une redirection HTTP leur assigne la même URI de destination. Un attaquant en position de contrôler le trafic réseau — via un miroir APT malveillant, un proxy compromis, ou une attaque sur le réseau local — peut exploiter cette fusion pour substituer un paquet légitime, déjà vérifié cryptographiquement, par un paquet modifié contenant du code malveillant.

L'élévation de privilèges s'opère lors de l'installation du paquet substitué. Les scripts maintainer d'un paquet Debian s'exécutent systématiquement en tant que root lors de l'installation (phases preinst, postinst, prerm, postrm). Un attaquant peut donc placer dans ces scripts n'importe quelle commande : création d'un backdoor, ajout d'un utilisateur privilégié, installation d'un rootkit, exfiltration de secrets d'environnement. L'utilisateur n'a à aucun moment connaissance de la substitution, puisque la signature GPG a été validée sur le paquet original avant la fusion frauduleuse.

La condition principale d'exploitation est l'activation de la fonctionnalité Acquire::Retries, qui permet à APT de relancer automatiquement les téléchargements en échec. Cette option est activée par défaut depuis Debian 12 (Bookworm, sortie en juin 2023) et Ubuntu 22.04 LTS (Jammy Jellyfish). Les systèmes Debian 11 et Ubuntu 20.04, qui n'activent pas cette fonctionnalité par défaut, ne sont pas affectés dans leur configuration standard, bien que des configurations personnalisées pourraient les exposer.

Le score CVSS 4.0 calculé par Canonical s'établit à 7.7 (High), bien que les développeurs d'APT eux-mêmes aient qualifié la vulnérabilité de critique dans leurs communications internes citées par plusieurs chercheurs. Cette divergence d'évaluation s'explique par la nécessité d'une position man-in-the-middle active, ce qui réduit le score CVSS base mais n'atténue pas le risque dans les environnements cloud multi-tenants, les réseaux d'entreprise ou tout système utilisant un miroir partagé non chiffré.

Du côté des correctifs, Debian a publié la version 3.0.4 pour Debian 13 (Trixie), 2.6.2 pour Debian 12 (Bookworm) et 2.2.4-5+deb11u1 pour Debian 11 en tant que mesure préventive. Canonical a pour sa part mis à disposition la version 3.2.1ubuntu0.1 pour Ubuntu 26.04 LTS et des correctifs équivalents pour les versions 24.04 et 22.04 LTS. L'advisory officiel référencé sous DSA-6607-1 détaille les versions affectées et les paquets à mettre à jour. La commande apt update && apt upgrade apt suffit dans la majorité des cas pour appliquer le correctif.

En attendant l'application du correctif, un contournement temporaire consiste à positionner la directive Acquire::Retries "0"; dans le fichier /etc/apt/apt.conf.d/99no-retries, désactivant ainsi le mécanisme de retéléchargement automatique. Cette mesure réduit le risque d'exploitation au prix d'une limitation des reprises légitimes sur connexions instables.

La communauté sécurité surveille attentivement d'éventuelles traces d'exploitation active. Au moment de la publication, selon les chercheurs d'Aviatrix AI et de Threat Defence, aucune exploitation confirmée en environnement de production n'avait été documentée. Cela ne signifie pas l'absence d'exploitation discrète, notamment contre des cibles de haute valeur telles que des pipelines CI/CD, des systèmes de build automatisés ou des environnements de déploiement infrastructure-as-code utilisant APT pour provisionner des machines à la volée.

Le spectre de la compromission de chaîne d'approvisionnement logicielle planait déjà sur l'écosystème open source suite à l'incident XZ Utils (CVE-2024-3094) de 2024. CVE-2026-109518 réactive ces craintes dans un contexte différent : là où XZ Utils impliquait un attaquant ayant compromis le code source en amont, cette vulnérabilité permet d'injecter du code malveillant lors de la distribution, même si le code source est parfaitement sain. Les deux vecteurs sont complémentaires dans l'arsenal d'un acteur ciblant spécifiquement l'infrastructure Linux d'une organisation.

Pourquoi c'est important

Cette vulnérabilité s'inscrit dans une tendance préoccupante de ciblage de la chaîne d'approvisionnement logicielle en amont, au niveau même du mécanisme de distribution des paquets. Après les attaques sur npm, PyPI et les dépôts GitHub des années passées, les gestionnaires de paquets système deviennent une surface d'attaque directement exploitable. APT étant le socle de gestion des dépendances de toutes les distributions basées sur Debian — y compris Ubuntu, Linux Mint, Raspberry Pi OS, Kali Linux et de nombreuses distributions cloud-native — l'impact potentiel touche des centaines de millions d'installations actives dans le monde.

Pour les entreprises utilisant des pipelines DevOps automatisés, le risque est particulièrement élevé. Les systèmes de CI/CD comme Jenkins, GitLab CI ou GitHub Actions qui s'appuient sur des images Docker Debian ou Ubuntu pour leurs runners, et qui exécutent des apt install lors des builds, constituent des cibles privilégiées. Dans ces environnements, un attaquant capable d'intercepter le trafic vers les miroirs APT — ce qui est envisageable dans des architectures cloud partagées ou via un DNS poisoning ciblé — pourrait injecter du code malveillant dans chaque build, compromettant l'intégralité du pipeline de livraison logicielle sans laisser de trace évidente dans les logs d'audit.

La réglementation NIS2 et son équivalent sectoriel DORA imposent désormais aux opérateurs d'importance essentielle et aux entités financières de maîtriser leur chaîne d'approvisionnement logicielle. Une exploitation réussie de CVE-2026-109518 dans une infrastructure critique pourrait déclencher des obligations de notification aux autorités compétentes — l'ANSSI en France — dans un délai de 24 heures pour les incidents significatifs. Les DSI et RSSI doivent traiter ce correctif avec la même urgence qu'un zero-day activement exploité.

Cette affaire rappelle la faille CVE-2019-3462, déjà dans APT, qui permettait une attaque similaire via HTTP. Le fait qu'une vulnérabilité de même nature réapparaisse sept ans plus tard dans le même composant illustre la difficulté de sécuriser des systèmes anciens dotés de comportements implicites complexes autour de la reprise sur erreur. La réponse coordonnée des équipes Debian et Canonical, avec publication d'un correctif dans les 10 jours suivant la découverte, démontre néanmoins la maturité de ces projets open source en matière de gestion des vulnérabilités.

Ce qu'il faut retenir

• Toute machine sous Debian 12+ ou Ubuntu 22.04+ doit être mise à jour en priorité : apt update && apt upgrade apt est l'action immédiate à effectuer.
• Les pipelines CI/CD et systèmes de build automatisés utilisant APT sont des cibles à risque élevé, même en l'absence d'exploitation documentée à ce stade.
• En attendant le correctif, désactivez les retéléchargements avec Acquire::Retries "0"; et privilégiez des miroirs internes vérifiés ou des connexions HTTPS vers des dépôts de confiance.