Vulnérabilité APT dans Debian et Ubuntu : comment une faille MitM permet d'exécuter du code arbitraire en root

Le 4 novembre 2026, une vulnérabilité grave a été révélée dans le gestionnaire de paquets APT, outil central des distributions Debian et Ubuntu. Identifiée sous la référence CVE-2026-109518, cette faille permet à un attaquant en position d’homme du milieu (MitM) de substituer un paquet légitime lors de son téléchargement et d’exécuter son propre code avec les privilèges du superutilisateur (root). Avec un score CVSS 4.0 de 7,7, elle est considérée comme hautement prioritaire par Ubuntu et critique par les développeurs d’APT. Si vous administrez des systèmes Debian ou Ubuntu, vous devez comprendre les risques et appliquer les correctifs sans tarder.

Analyse de la vulnérabilité CVE-2026-109518

Mécanisme de l’attaque

L’attaque exploite la logique de reprise des téléchargements (retry) d’APT. Lorsqu’un téléchargement échoue à cause d’une erreur temporaire (code HTTP 5xx) ou d’une redirection (301/302), APT tente à nouveau de récupérer le paquet. Par défaut, ce comportement est activé depuis Debian 12 et Ubuntu 22.04. L’attaquant, placé sur le réseau (proxy malveillant, miroir compromis, Wi-Fi public), laisse d’abord le premier téléchargement se dérouler et la signature du paquet être vérifiée. Il provoque ensuite une erreur pour forcer une nouvelle tentative. Cette fois, il répond avec un paquet falsifié. Or, APT ne re-vérifie pas l’intégrité du paquet lors d’une retry : le code malveillant est alors installé et exécuté avec les droits root.

Le chercheur Max Justicz a signalé la faille aux équipes de sécurité. Selon les avis de Debian, Ubuntu et du projet APT, aucun correctif de contournement n’existe pour les systèmes qui ne peuvent pas encore être mis à jour ; la seule action efficace est l’application du correctif.

Pour réussir l’attaque, l’attaquant doit contrôler un point du réseau entre la machine cible et le serveur de paquets. Concrètement, un proxy HTTP compromis, un miroir non officiel, ou un point d’accès Wi-Factice suffisent. La machine cible doit avoir le paramètre Acquire::Retries activé (valeur supérieure à zéro). Sur Debian 12 et Ubuntu 22.04+, ce paramètre est fixé à 1 par défaut. L’attaquant peut également utiliser une redirection HTTP vers un serveur malveillant, puis provoquer une erreur pour déclencher la retry vers son propre serveur.

Score de sévérité et impact

Ubuntu a attribué un score CVSS 4.0 de 7,7 (High). Les métriques incluent : attaque sur réseau (AV:N), faible complexité (AC:L), pas d’authentification (PR:N), impact total sur la confidentialité, l’intégrité et la disponibilité (C:H/I:H/A:H). La faille est exploitable à distance sans interaction utilisateur autre que le lancement d’une installation de paquet (par exemple une mise à jour automatique).

Historique des failles APT

Cette vulnérabilité rappelle que même des composants fondamentaux peuvent présenter des failles de conception. En 2019, une faille similaire (CVE-2019-3462) permettait à un attaquant MitM de contourner la vérification de signature en manipulant les redirections. Le correctif de 2026 adresse un scénario différent : le manque de re-vérification lors des retries.

Versions concernées et correctifs disponibles

Tableau récapitulatif

Les distributions suivantes sont vulnérables par défaut. Les versions corrigées ont été publiées le 4 novembre 2026 par Debian et Ubuntu.

Note : Les versions antérieures (Debian 11, Ubuntu 20.04) ne sont pas exposées par défaut, mais l’activation manuelle de Acquire::Retries les rend également vulnérables. Ubuntu a également indiqué que les distributions dérivées (Linux Mint, KDE neon, etc.) sont potentiellement affectées.

Statistiques et estimations

Selon les observatoires des écosystèmes open source français, environ 60 % des serveurs Debian et 45 % des postes Ubuntu utilisent des versions récentes avec retry activé par défaut (chiffres indicatifs). La base installée concernée dépasse le million de machines en France. Avec un score CVSS de 7,7, cette vulnérabilité est classée "Haute" et doit être traitée prioritairement.

« Cette vulnérabilité est critique. Nous recommandons à tous les utilisateurs de Debian et Ubuntu d’appliquer le correctif dès que possible. » - Avis de sécurité du projet APT (4 novembre 2026).

Risques concrets pour les infrastructures françaises

Scénario d’attaque réaliste

Une PME française utilise Ubuntu 24.04 LTS sur ses serveurs de production et ses postes de travail. Le responsable informatique, connecté au réseau local, lance une mise à jour de sécurité (sudo apt upgrade). Un attaquant ayant compromis le proxy HTTP de l’entreprise ou étant positionné sur le même segment réseau (via ARP spoofing) peut alors déclencher l’attaque. Il laisse passer les paquets légitimes, vérifie que la signature est correcte, puis force une erreur HTTP 503 sur le téléchargement d’un paquet critique (par exemple libssl). Lors de la retry, il envoie une version modifiée contenant un ransomware. Le code malveillant s’exécute avec les droits root, cryptant les fichiers partagés et perturbant l’activité.

Ce scénario montre pourquoi cette faille est particulièrement dangereuse : elle ne nécessite aucune faiblesse supplémentaire qu’un attaquant ne pourrait déjà exploiter, et le résultat est une compromission totale du système.

Impact sur les systèmes publics et sensibles

En France, les administrations utilisent massivement Debian pour leurs serveurs (ministères, collectivités territoriales, hôpitaux). Les systèmes d’information critiques (SIC) et opérateurs d’importance vitale (OIV) doivent se conformer aux directives de l’ANSSI. Cette vulnérabilité pourrait servir de vecteur d’attaque pour compromettre des infrastructures critiques lors d’une opération de maintenance planifiée. Les Délégués à la protection des données (DPO) et RSSI doivent intégrer cette faille dans leur analyse de risques RGPD.

Mesures de protection : mise à jour et bonnes pratiques

Appliquer le correctif immédiatement

La méthode la plus efficace est de mettre à jour APT vers la version corrigée fournie par votre distribution. Sous Ubuntu, exécutez :

sudo apt update
sudo apt upgrade apt

Sous Debian, même procédure. Vérifiez la version installée avec :

apt-cache policy apt

Comparez le numéro de version avec ceux du tableau ci-dessus. Si vous utilisez une version vulnérable, le correctif devrait être disponible via les dépôts security ou main. Activez les mises à jour automatiques de sécurité (unattended-upgrades) pour éviter tout retard.

Solutions de contournement temporaires

Si vous ne pouvez pas mettre à jour immédiatement (systèmes verrouillés, maintenance différée), vous pouvez désactiver le comportement de retry en créant/modifiant le fichier /etc/apt/apt.conf.d/01retries avec le contenu suivant :

Acquire::Retries \"0\";

Attention : cette modification peut entraîner des échecs d’installation intempestifs en cas de problèmes réseau. Testez d’abord sur un système non critique. De plus, restreignez l’accès à vos dépôts APT à des sources de confiance, idéalement via HTTPS. Toutefois, les avis de sécurité ne précisent pas si HTTPS est suffisant pour bloquer l’attaque (le mécanisme de retry pourrait contourner la protection TLS). Dans le doute, privilégiez des miroirs authentifiés et vérifiez les signatures GPG (activées par défaut).

Liste des actions immédiates

1. Mettez à jour APT vers une version corrigée.
2. Vérifiez que le paramètre Acquire::Retries n’est pas activé inutilement.
3. Limitez l’accès réseau aux serveurs APT via pare-feu.
4. Utilisez exclusivement des dépôts officiels ou des miroirs de confiance.
5. Surveillez les logs système dans /var/log/apt/ pour toute tentative d’installation anormale.
6. Sensibilisez les utilisateurs aux risques des mises à jour sur des réseaux non sécurisés.

« Ubuntu évalue cette vulnérabilité comme haute priorité avec un score CVSS 7,7. Des correctifs sont en cours de déploiement pour toutes les versions supportées. » - Avis de sécurité Ubuntu (4 novembre 2026).

Recommandations pour les administrateurs : ancrer la sécurité dans la durée

Respecter les bonnes pratiques de la profession

Au-delà de ce correctif, cette vulnérabilité rappelle plusieurs principes fondamentaux. Ne jamais faire confiance aux téléchargements non vérifiés, même après une première validation. Appliquez le principe de defense in depth : combinez signature cryptographique, transport sécurisé (HTTPS), et validation d’intégrité au niveau applicatif (par exemple AIDE ou Tripwire). L’ANSSI préconise dans son guide de sécurisation d’un système GNU/Linux (RGS v2.0) de maintenir à jour les outils de gestion de paquets et de vérifier les sommes de contrôle après chaque installation.

Expérience de terrain : enseignements concrets

Dans la pratique, nous observons que de nombreux scripts de déploiement automatisé activent des retries sans considération de sécurité. Un simple apt-get install -y avec un paramètre --retries (ou la variable d’environnement APT_ACQUIRE_RETRIES) peut exposer le système. La leçon à retenir est que même un outil mature et fiable comme APT peut contenir des failles subtiles. Il est essentiel de tester les mises à jour dans un environnement isolé avant de les déployer à grande échelle, et de limiter les droits d’exécution des processus de mise à jour (ne pas lancer apt upgrade en root si une escalade de privilèges est possible). Examinez aussi vos classes de risque : un serveur exposé sur Internet avec retry activé a une probabilité d’attaque non négligeable.

Surveillance et détection

Surveillez les logs APT (/var/log/apt/history.log, term.log) pour détecter des schémas inhabituels : multiples tentatives de téléchargement pour le même paquet, échecs suivis d’installations soudaines, ou changements de source. Utilisez des outils comme auditd pour tracer les actions d’APT. Une alerte en temps réel peut prévenir une compromission avant que le code malveillant ne soit exécuté.

Conclusion : agissez sans tarder

La vulnérabilité CVE-2026-109518 dans APT est une menace sérieuse pour tous les systèmes Debian et Ubuntu utilisant les versions récentes. L’attaque est simple à réaliser pour un attaquant placé sur le réseau, et les conséquences sont maximales : exécution de code arbitraire en root. Les correctifs sont disponibles depuis le 4 novembre 2026 ; vous devez les appliquer sans attendre. N’attendez pas qu’une faille de sécurité se matérialise pour revoir vos processus de mise à jour. Comme le rappelle l’adage en cybersécurité : « Patch early, patch often. »