Une mise \u00e0 jour de s\u00e9curit\u00e9 devrait \u00eatre l\u2019un des gestes les plus rassurants pour un administrateur Linux. Pourtant, une vuln\u00e9rabilit\u00e9 d\u00e9couverte dans APT, le gestionnaire de paquets de Debian, Ubuntu et de nombreuses distributions d\u00e9riv\u00e9es, permet pr\u00e9cis\u00e9ment de d\u00e9tourner cette op\u00e9ration. R\u00e9f\u00e9renc\u00e9e CVE-2026-109518, la faille peut conduire \u00e0 l\u2019installation d\u2019un paquet non v\u00e9rifi\u00e9 et \u00e0 l\u2019ex\u00e9cution de code avec les privil\u00e8ges root, c\u2019est-\u00e0-dire le niveau d\u2019acc\u00e8s le plus \u00e9lev\u00e9 du syst\u00e8me.<\/p>\n
La d\u00e9couverte revient au chercheur Max Justicz. Debian et Canonical ont publi\u00e9 leurs avis de s\u00e9curit\u00e9 et des correctifs le 4 novembre 2026. Ubuntu attribue \u00e0 la vuln\u00e9rabilit\u00e9 un score CVSS 4.0 de 7,7\/10, class\u00e9 \u00ab \u00e9lev\u00e9 \u00bb, tandis que les d\u00e9veloppeurs d\u2019APT soulignent sa gravit\u00e9 potentielle. Il ne s\u2019agit pas d\u2019une prise de contr\u00f4le automatique de n\u2019importe quel ordinateur connect\u00e9 \u00e0 Internet : l\u2019attaquant doit pouvoir manipuler le trafic HTTP utilis\u00e9 pour r\u00e9cup\u00e9rer les paquets, par exemple en contr\u00f4lant un proxy, un miroir malveillant ou un point du r\u00e9seau situ\u00e9 sur le trajet.<\/p>\n
Cette condition ne rend pas le probl\u00e8me anodin. APT est un composant central des postes de travail, serveurs, machines virtuelles et infrastructures automatis\u00e9es. Lorsqu\u2019un administrateur installe un logiciel ou applique des correctifs, les scripts de maintenance contenus dans un paquet .deb peuvent \u00eatre ex\u00e9cut\u00e9s en root. Si le fichier a \u00e9t\u00e9 substitu\u00e9 apr\u00e8s les contr\u00f4les de s\u00e9curit\u00e9, c\u2019est toute la machine qui peut \u00eatre compromise.<\/p>\n
Pour comprendre l\u2019attaque, il faut distinguer deux \u00e9tapes : v\u00e9rifier qu\u2019un paquet correspond bien aux informations sign\u00e9es de l\u2019archive, puis installer ce paquet. Normalement, les signatures des d\u00e9p\u00f4ts Debian et Ubuntu prot\u00e8gent contre la modification d\u2019un t\u00e9l\u00e9chargement. La faille exploite un d\u00e9calage entre ce qui a \u00e9t\u00e9 contr\u00f4l\u00e9 et ce qui est finalement utilis\u00e9, un sc\u00e9nario de type \u00ab time-of-check to time-of-use \u00bb.<\/p>\n
Le probl\u00e8me se trouve dans le traitement de certains liens physiques (\u00ab hard links \u00bb) lorsque le module HTTP d\u2019APT rencontre des redirections et reprend un t\u00e9l\u00e9chargement apr\u00e8s une erreur temporaire. Dans certaines circonstances, deux op\u00e9rations peuvent \u00eatre rapproch\u00e9es alors qu\u2019elles ne devraient pas l\u2019\u00eatre. Un attaquant capable de modifier les r\u00e9ponses HTTP peut alors amener APT \u00e0 r\u00e9utiliser un fichier diff\u00e9rent de celui qu\u2019il a v\u00e9rifi\u00e9. Le r\u00e9sultat est particuli\u00e8rement dangereux : un paquet contr\u00f4l\u00e9 par l\u2019attaquant peut \u00eatre install\u00e9 malgr\u00e9 l\u2019\u00e9chec de sa v\u00e9rification.<\/p>\n
L\u2019exploitation n\u00e9cessite notamment que le param\u00e8tre Acquire::Retries soit sup\u00e9rieur \u00e0 z\u00e9ro. C\u2019est le comportement par d\u00e9faut depuis Debian 12 et Ubuntu 22.04 LTS, ainsi que dans leurs versions ult\u00e9rieures. Les \u00e9ditions plus anciennes ne sont pas expos\u00e9es par d\u00e9faut dans cette configuration, mais peuvent l\u2019\u00eatre si un script ou un administrateur a activ\u00e9 les nouvelles tentatives. La faille concerne le moteur APT, qu\u2019on utilise apt, apt-get, aptitude ou un outil graphique reposant sur la m\u00eame biblioth\u00e8que. Les installations Snap passent par un autre m\u00e9canisme et ne sont pas concern\u00e9es par ce vecteur pr\u00e9cis.<\/p>\n
Les correctifs sont disponibles et leur installation doit \u00eatre prioritaire sur les machines expos\u00e9es. Debian annonce APT 3.0.4 pour Debian 13 \u00ab Trixie \u00bb et 2.6.2 pour Debian 12 \u00ab Bookworm \u00bb. Canonical indique notamment 2.4.15ubuntu0.1 pour Ubuntu 22.04 LTS, 2.8.4ubuntu0.1 pour Ubuntu 24.04 LTS et 3.2.1ubuntu0.1 pour Ubuntu 26.04 LTS. Les versions prises en charge plus anciennes disposent \u00e9galement de mises \u00e0 jour selon leur canal de support, notamment Ubuntu Pro. Pour les branches testing ou instables, il faut consulter le suivi officiel : les paquets disponibles peuvent \u00e9voluer rapidement.<\/p>\n
La difficult\u00e9 est que le correctif lui-m\u00eame est t\u00e9l\u00e9charg\u00e9 par APT. Canonical recommande donc une pr\u00e9caution simple : d\u00e9sactiver temporairement les nouvelles tentatives pendant l\u2019op\u00e9ration. La commande propos\u00e9e est \u00ab sudo apt update && sudo apt upgrade -o Acquire::Retries=0 \u00bb. Elle \u00e9vite d\u2019emprunter le chemin d\u2019ex\u00e9cution vuln\u00e9rable pendant la phase d\u2019installation. Il est \u00e9galement possible de basculer les sources de paquets de HTTP vers HTTPS si le miroir le permet : le chiffrement TLS emp\u00eache un interm\u00e9diaire r\u00e9seau de modifier le trafic n\u00e9cessaire \u00e0 cette attaque. Cette mesure de r\u00e9duction du risque ne remplace pas l\u2019installation du correctif.<\/p>\n
Apr\u00e8s la mise \u00e0 jour, l\u2019administrateur peut v\u00e9rifier la version des paquets issus de la source APT avec \u00ab apt list –installed ‘?source-package(^apt$)’ \u00bb, puis la comparer \u00e0 l\u2019avis de s\u00e9curit\u00e9 correspondant \u00e0 sa distribution. Sur un serveur de production, il convient aussi de v\u00e9rifier les d\u00e9p\u00f4ts tiers, les proxys de cache et les proc\u00e9dures d\u2019actualisation automatis\u00e9es, sans pr\u00e9sumer que le seul syst\u00e8me d\u2019exploitation a d\u00e9j\u00e0 tout corrig\u00e9.<\/p>\n
L\u2019impact d\u00e9passe largement l\u2019ordinateur personnel. Un serveur web, un VPS, un poste d\u2019administration, un n\u0153ud de calcul ou une machine utilis\u00e9e pour construire des images de conteneurs peuvent tous d\u00e9pendre d\u2019APT. Dans une infrastructure, l\u2019installation d\u2019un paquet compromis avec les droits root peut ouvrir la voie \u00e0 l\u2019exfiltration de secrets, \u00e0 l\u2019alt\u00e9ration des services ou \u00e0 la propagation vers d\u2019autres syst\u00e8mes. Ce sont des cons\u00e9quences possibles d\u2019une compromission, pas des incidents observ\u00e9s et attribu\u00e9s \u00e0 cette CVE.<\/p>\n
La vuln\u00e9rabilit\u00e9 illustre une faiblesse classique de la cha\u00eene d\u2019approvisionnement logicielle : v\u00e9rifier une signature ne suffit pas si le fichier valid\u00e9 n\u2019est plus celui qui sera install\u00e9. Les m\u00e9canismes de s\u00e9curit\u00e9 doivent garantir la continuit\u00e9 entre t\u00e9l\u00e9chargement, v\u00e9rification et ex\u00e9cution. C\u2019est d\u2019autant plus important que les mises \u00e0 jour sont souvent automatis\u00e9es et ex\u00e9cut\u00e9es avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n
Au moment de la publication des premiers avis, aucune exploitation active n\u2019\u00e9tait publiquement signal\u00e9e. Cela ne justifie pas d\u2019attendre : les conditions techniques sont d\u00e9sormais document\u00e9es et les correctifs existent. Pour les administrateurs, la priorit\u00e9 est de mettre \u00e0 jour APT avec les pr\u00e9cautions indiqu\u00e9es, puis de v\u00e9rifier les versions et les sources de d\u00e9p\u00f4ts. Pour les autres utilisateurs, la bonne nouvelle est que Debian et Ubuntu ont r\u00e9agi rapidement. L\u2019\u00e9pisode rappelle surtout qu\u2019un outil con\u00e7u pour s\u00e9curiser un syst\u00e8me doit lui-m\u00eame faire l\u2019objet d\u2019une surveillance et d\u2019une maintenance rigoureuses.<\/p>\n