Debian et Ubuntu corrigent une faille d’APT permettant une exécution de code root
Debian et Ubuntu ont publié le 4 novembre 2026 des correctifs pour une vulnérabilité d’APT. Un attaquant capable de manipuler les téléchargements HTTP peut substituer un paquet après sa vérification et faire exécuter du code avec les privilèges root.
Ce qui est nouveau
La vulnérabilité CVE-2026-109518 touche APT, le gestionnaire de paquets utilisé par Debian, Ubuntu et leurs distributions dérivées. Découverte par Max Justicz, elle permet à un attaquant placé sur le trajet réseau, ou contrôlant un miroir ou un proxy, de faire installer un paquet non vérifié.
Le suivi de sécurité Debian indique des correctifs dans APT 2.6.2 pour bookworm et 3.0.4 pour trixie. L’avis Ubuntu annonce notamment les versions corrigées 2.4.15ubuntu0.1 pour Ubuntu 22.04 LTS et 2.8.4ubuntu0.1 pour Ubuntu 24.04 LTS. Des correctifs existent également pour les autres versions d’Ubuntu recensées dans l’avis ; ceux des anciennes versions relèvent d’Ubuntu Pro, avec l’extension Legacy Support pour certaines.
Ce qui change et pourquoi
La vérification des paquets est normalement censée empêcher un intermédiaire réseau ou un miroir malveillant de substituer son propre logiciel. La faille permet de contourner cette protection après la vérification : des redirections HTTP peuvent faire converger deux téléchargements vers la même adresse, puis une mauvaise gestion des liens physiques lors d’une reprise permet de remplacer le fichier attendu.
L’attaque nécessite des erreurs de téléchargement provoquant une nouvelle tentative. Le paramètre Acquire::Retries doit donc être non nul, ce qui est le réglage par défaut à partir de Debian 12 et d’Ubuntu 22.04 LTS. Les versions antérieures peuvent être exposées si ce réglage a été activé. Lors de l’installation, les scripts du paquet substitué s’exécutent avec les privilèges root, ceux de l’administrateur système.
Pourquoi c’est important
Le composant vulnérable est le mécanisme de téléchargement HTTP de la bibliothèque APT : selon Ubuntu, les interfaces apt, apt-get, aptitude et les applications graphiques qui l’utilisent sont concernées. Le risque dépasse donc une seule commande.
Ubuntu précise que les téléchargements via HTTPS protègent contre cette manipulation du trafic et que les paquets Snap ne sont pas concernés. L’exploitation exige aussi que le système tente d’installer un paquet : il ne s’agit pas d’une exécution de code possible sur toute machine simplement connectée au réseau.
Sources
Sélection et relecture humaines, rédaction assistée par IA.