Vulnérabilité critique APT sous Debian et Ubuntu : échange de paquets par attaque MitM

Le 4 novembre 2026, une vulnérabilité critique affectant le gestionnaire de paquets APT de Debian et Ubuntu a été divulguée. Désignée sous le code CVE-2026-109518, cette faille permet à un attaquant positionné en MitM (Man-in-the-Middle) de remplacer un paquet légitime par un paquet malveillant lors du téléchargement, puis d’exécuter du code arbitraire avec les privilèges root. Avec plus de 60 % des serveurs web mondiaux reposant sur Debian ou Ubuntu (selon W3Techs, 2026), l’impact potentiel est considérable. Cet article détaille le fonctionnement de la vulnérabilité APT Debian Ubuntu attaque MitM, les systèmes concernés, les correctifs disponibles et les mesures à prendre immédiatement.

Une faille de sécurité critique dans le gestionnaire de paquets APT

APT (Advanced Package Tool) est le pilier de la gestion des logiciels sous les distributions Debian et Ubuntu. Il télécharge, vérifie et installe les paquets depuis des dépôts officiels ou des miroirs. La vulnérabilité identifiée réside dans le mécanisme de reprise des téléchargements après un échec temporaire. Par défaut, depuis Debian 12 et Ubuntu 22.04, APT active la fonctionnalité Acquire::Retries qui relance une tentative en cas d’erreur serveur (code 5xx) ou de redirection HTTP. Un attaquant peut exploiter ce comportement pour intercepter la connexion, renvoyer des erreurs HTTP, et forcer APT à réessayer la récupération du paquet. Lors de cette seconde tentative, l’attaquant peut rediriger vers un paquet modifié, qui sera ensuite installé sans contrôle supplémentaire.

Scénario d’attaque : comment un attaquant peut échanger un paquet légitime

L’attaque nécessite que l’attaquant puisse intercepter le trafic HTTP entre le client APT et le serveur de paquets. Cela peut être réalisé via un proxy malveillant, un point d’accès Wi-Fi compromis, ou une attaque de type DNS spoofing. Le processus se déroule en plusieurs étapes :

1. L’utilisateur lance une commande d’installation ou de mise à jour (apt install ou apt upgrade).
2. APT contacte le miroir et commence le téléchargement du paquet .deb.
3. L’attaquant, qui contrôle le flux réseau, répond avec une erreur HTTP 503 (Service Temporarily Unavailable) ou une redirection HTTP 302 vers un serveur qu’il contrôle.
4. APT, configuré pour réessayer, tente à nouveau le téléchargement.
5. L’attaquant sert alors un paquet corrompu, mais dont la signature GPG est toujours valide ? Non, car APT vérifie les signatures après téléchargement. La subtilité est que l’échange peut avoir lieu avant la vérification des checksums ? En réalité, la faille décrite par les développeurs indique que l’attaquant peut échanger un paquet après la vérification du hash, car APT ne re-vérifie pas l’intégrité lors de la seconde tentative. Ainsi, un paquet malveillant peut remplacer un paquet vérifié, et l’installation se poursuit avec les privilèges root.

« The attacker’s code then runs as root » - Avis de sécurité Debian, 4 novembre 2026.

Détails techniques de la vulnérabilité CVE-2026-109518

La faille a été découverte par le chercheur Max Justicz et rapportée aux équipes de sécurité de Debian et Ubuntu. Le score CVSS 4.0 attribué par Ubuntu est de 7,7 (sévérité haute). L’ANSSI, dans sa veille cyber, recommande de considérer cette vulnérabilité comme prioritaire pour les systèmes exposés à des réseaux non fiables. Le vecteur d’attaque est réseau (AV:N), la complexité est faible (AC:L), et l’intégrité est compromise (I:H) alors que la confidentialité est non impactée (C:N) car l’attaquant ne peut pas lire les données, seulement exécuter du code.

Versions concernées et correctifs disponibles

Selon les bulletins publiés par Debian, Ubuntu, et les développeurs d’APT, la vulnérabilité affecte les versions d’APT à partir de 2.2.5 (pour Debian 11 avec Acquire::Retries activé manuellement) jusqu’à la version 3.3.5 (Debian Testing). Ubuntu a identifié huit versions de sa distribution comme vulnérables, de 14.04 LTS à 26.10. Voici le détail :

« We encourage all users to upgrade their APT package as soon as possible. » - Développeurs APT.

Impact et sévérité : un score CVSS de 7,7

Le score CVSS 4.0 de 7,7 reflète un impact élevé sur l’intégrité et la disponibilité partielle, combiné à une exploitation réseau sans authentification. Bien que l’attaque nécessite une position d’homme du milieu, elle est réalisable dans de nombreux contextes : réseaux Wi-Fi publics, fournisseurs d’accès malveillants, ou encore miroirs APT non officiels. Le vecteur d’attaque est d’autant plus préoccupant que de nombreux scripts d’administration activent Acquire::Retries de manière implicite, même sur des systèmes où le paramètre est désactivé par défaut (Debian 11, Ubuntu 20.04). Selon une estimation du projet Debian, environ 15 % des installations d’Ubuntu 20.04 auraient modifié ce paramètre via des fichiers de configuration.

Pourquoi les systèmes HTTPS ne sont pas protégés ?

Les avis de sécurité se concentrent sur le protocole HTTP. Cependant, de nombreux dépôts officiels utilisent HTTPS, ce qui empêche une interception directe du trafic. Mais si le miroir ne supporte pas HTTPS, ou si le client APT est configuré pour utiliser HTTP par défaut (c’est le cas pour certains miroirs officiels de Debian), l’attaque est possible. De plus, une attaque par déclassement TLS (downgrade) ou certificat frauduleux n’est pas exclue, bien que non décrite dans les bulletins. En pratique, les administrateurs doivent vérifier la configuration de leurs sources : grep -r 'http:' /etc/apt/sources.list /etc/apt/sources.list.d/ permet d’identifier les dépôts en HTTP.

Recommandations et mesures correctives immédiates

Face à cette vulnérabilité, l’ANSSI et les développeurs d’APT recommandent d’appliquer le correctif sans délai. Voici la démarche à suivre pour les systèmes sous Debian ou Ubuntu.

Mise à jour du paquet APT

La priorité est de mettre à jour le gestionnaire de paquets lui-même avec les versions corrigées. Exécutez les commandes suivantes en tant que root :

sudo apt update
sudo apt install --only-upgrade apt

Vérifiez ensuite la version installée avec apt --version. Pour Ubuntu, les builds corrigés sont disponibles dans l’archive de sécurité (security archive). Sous Ubuntu Pro, les correctifs sont également déployés. Pour Debian Testing (trixie), le paquet était encore vulnérable au moment de la divulgation ; vérifiez régulièrement les mises à jour.

Configuration d’Acquire::Retries

Si la mise à jour immédiate n’est pas possible, désactivez le comportement de reprise automatique qui est à l’origine de l’attaque. Créez ou modifiez le fichier /etc/apt/apt.conf.d/99no-retries :

Acquire::Retries "0";

Attention : cela désactivera la récupération automatique après un échec temporaire, ce qui peut entraîner des échecs d’installation en cas de problèmes réseau passagers. Il s’agit d’une mesure palliative.

Vérification des sources HTTP

Passez en revue vos fichiers de sources (/etc/apt/sources.list et /etc/apt/sources.list.d/*.list) et remplacez les URL http:// par https:// quand c’est possible. Les miroirs officiels supportent tous HTTPS. Pour les dépôts tiers, assurez-vous qu’ils utilisent une connexion sécurisée.

Liste de contrôle pour les équipes sécurité

Après application du correctif, voici les actions à réaliser pour valider la correction :

• Mettre à jour le paquet apt sur tous les serveurs et postes de travail.
• Vérifier que le numéro de version correspond à la version corrigée (tableau ci-dessus).
• Scripter la désactivation de Acquire::Retries si la version ne peut être mise à jour.
• Basculer tous les dépôts APT vers HTTPS.
• Surveiller les logs système (/var/log/apt/history.log) pour détecter des installations suspects.
• Réaliser un audit des paquets installés récemment sur les systèmes critiques.
• Envisager de n’utiliser que des miroirs approuvés via un proxy cache interne contrôlé.

« L’attaquant peut être toute personne capable de modifier le trafic HTTP entre APT et le serveur. » - Bulletin Ubuntu.

Enseignements pour la sécurisation des chaînes logicielles

Cette vulnérabilité illustre les risques inhérents aux mécanismes de reprise et de tolérance aux pannes dans les gestionnaires de paquets. Le code d’APT a été audité, mais la faille a échappé aux contrôles pendant des années. Elle souligne l’importance de la validation continue des paquets, même lors de téléchargements multiples. Les projets Debian et Ubuntu collaborent étroitement avec les chercheurs pour corriger ce type de défaut. En attendant, les administrateurs doivent renforcer la sécurité de leurs dépôts en privilégiant HTTPS, en désactivant les fonctionnalités non essentielles, et en maintenant leurs systèmes à jour.

Conclusion : agir sans délai

La vulnérabilité APT Debian Ubuntu attaque MitM (CVE-2026-109518) est une menace sérieuse pour toute infrastructure utilisant Debian ou Ubuntu. Grâce aux correctifs d’urgence publiés, les équipes techniques peuvent protéger leurs systèmes. Ne pas mettre à jour le paquet APT expose l’ensemble des installations de nouveaux logiciels à un risque de compromission totale. Nous vous recommandons vivement d’exécuter les commandes de mise à jour dès que possible, de vérifier la version d’APT, et d’auditer vos sources. La cybersécurité est l’affaire de toutes et tous ; chaque action compte pour réduire la surface d’attaque.