// CLUBIC — LINUX & OPEN SOURCE
Debian et Ubuntu : une faille critique d'APT permet d'exécuter du code en root
Si vous lancez une mise à jour sur votre serveur ou ordinateur Debian ou Ubuntu, un pirate placé sur la route de vos téléchargements pourrait glisser à APT un paquet piégé, installé ensuite avec les droits root. Debian et Canonical ont publié les correctifs de la faille CVE-2026-109518.
APT est le gestionnaire de paquets de Debian, d’Ubuntu et de leurs dérivées, celui que vous appelez avec apt ou apt-get pour installer un logiciel ou appliquer vos mises à jour de sécurité. Debian et Ubuntu signent leurs archives pour qu’aucun fichier modifié en route ne soit installé sur votre machine. Le chercheur Max Justicz, qui avait révélé en 2019 une première faille d’APT exploitable par une redirection HTTP, a trouvé un nouveau moyen de contourner cette protection. Un attaquant placé entre votre serveur et le miroir de téléchargement, ou aux commandes d’un miroir ou d’un proxy malveillant, peut remplacer un paquet juste après sa vérification. Les scripts de ce paquet sont alors exécutés avec les droits root, ceux de l’administrateur qui a la main sur tout le système.
Pour réussir son coup, l’attaquant doit d’abord intercepter le trafic HTTP de votre serveur. Il renvoie alors de fausses redirections et de banales erreurs temporaires, et force APT à relancer le téléchargement d’un paquet. Sur le disque, un même fichier peut porter plusieurs noms grâce aux liens physiques, et la faille tient à la façon dont APT les réutilise. Au moment de ce nouvel essai, le pirate glisse son fichier à la place du paquet contrôlé quelques instants plus tôt. « La vulnérabilité permet à un attaquant de pousser APT à installer un paquet même si la vérification de sa signature échoue », souligne Luci Stanescu, qui signe l’avis de Canonical.
Pour que l’attaque fonctionne, votre serveur doit télécharger ses paquets en HTTP, et non en HTTPS. APT doit en outre être réglé pour retenter un téléchargement raté. Debian 12, Ubuntu 22.04 et toutes les versions suivantes sont configurées ainsi d’origine, et votre serveur est donc exposé sans la moindre modification de votre part. Sur les versions plus anciennes d’Ubuntu, le risque n’existe que si vous avez vous-même activé ces nouvelles tentatives dans la configuration d’APT, parmi les conditions d’exploitation listées par Canonical.
Que vous lanciez apt, apt-get, aptitude ou la logithèque graphique d’Ubuntu, le téléchargement passe par le module HTTP d’APT, commun à tous ces outils. Les applications installées en snap ne sont pas touchées, car Canonical les distribue par un autre système de paquets. Ubuntu a classé la faille au niveau de gravité élevé, avec une note CVSS de 7,7 sur 10. Julian Andres Klode, mainteneur d’APT, la classe critique dans l’avis de sécurité du projet.
Que vous utilisiez Ubuntu sur votre ordinateur ou que vous louiez un serveur virtuel (VPS) pour le site de votre entreprise, c’est à vous d’installer ce correctif. Sur un VPS, l’hébergeur vous fournit la machine, mais il vous laisse la charge des mises à jour du système
. Ubuntu active par défaut les mises à jour automatiques de sécurité depuis sa version 16.04, et le correctif sera installé dans les 24 heures si vous n’avez pas désactivé ce service.
Canonical conseille toutefois de lancer l’opération à la main, avec la commande sudo apt update && sudo apt upgrade -o Acquire::Retries=0. Avec cette dernière option, aucun téléchargement n’est retenté pendant la mise à jour, et un pirate ne peut donc pas exploiter la faille au moment où vous la corrigez. Pour connaître la version d’APT installée sur votre serveur, tapez apt list --installed ‘?source-package(^apt$)’. Sur Ubuntu 24.04, la version corrigée est la 2.8.4ubuntu0.1, et vous pouvez trouver les autres numéros de version corrigés sur la page de suivi de Canonical. Côté Debian, les développeurs ont livré APT 3.0.4 pour Debian 13, et l’équipe chargée du support à long terme a publié le correctif de Debian 12.
Si vous craignez qu’un tiers surveille la connexion de votre serveur, Canonical