Une faille critique d’APT, le gestionnaire de paquets utilisé par Debian et Ubuntu, pourrait permettre à un attaquant de remplacer le téléchargement d’un paquet par un fichier malveillant et d’exécuter du code en tant que root. La vulnérabilité, répertoriée sous le numéro CVE-2026-109518, a été détaillée dans des avis publiés par Debian, Ubuntu et les développeurs d’APT le 4 novembre.
L’attaque repose sur le fait qu’APT réessaie un téléchargement échoué, un paramètre activé par défaut dans Debian 12 et les versions ultérieures, ainsi que dans Ubuntu 22.04 et les versions ultérieures. Selon les développeurs d’APT, un attaquant capable de modifier le trafic HTTP entre un système et son serveur de paquets pourrait utiliser des redirections et des erreurs temporaires du serveur pour déclencher de nouvelles tentatives et substituer un paquet.
Debian a publié des versions corrigées d’APT. Ubuntu a également publié des versions mises à jour pour Ubuntu 26.10, 26.04 LTS, 24.04 LTS et 22.04 LTS. Ubuntu classe le problème comme hautement prioritaire et lui attribue un score CVSS 4.0 de 7,7. Son avis indique que les distributions basées sur Debian et Ubuntu sont également concernées, sans les nommer.
Les anciennes versions, notamment Debian 11 et Ubuntu 20.04, ne sont pas vulnérables par défaut, selon Ubuntu. Les développeurs d’APT avertissent toutefois que des scripts peuvent avoir activé le paramètre Acquire::Retries sur ces systèmes. Une version corrigée d’APT, la version 2.2.5, a été publiée pour Debian 11.
Ubuntu a indiqué que ses abonnés Ubuntu Pro peuvent obtenir un correctif pour Ubuntu 14.04. Les avis ne font état d’aucune exploitation connue et ne proposent aucune solution de contournement pour les systèmes qui ne peuvent pas être mis à jour. Ils évoquent des attaques via HTTP, mais ne précisent pas si les sources de paquets accessibles via HTTPS sont concernées. Max Justicz a signalé la vulnérabilité.
Sources: The Hacker News.