La faille CVE-2026-109518 touche le gestionnaire de paquets APT, utilisé par Debian et Ubuntu. Elle permet à un attaquant qui peut manipuler le trafic HTTP de forcer le client à installer un paquet non vérifié contrôlé par lui, menant à une exécution de code à distance avec des privilèges root. C’est une attaque de l’homme du milieu (MITM) qui se déclenche lors d’une installation de paquet.

Le problème vient de la réutilisation de liens physiques (hard links). Pour que l’attaque fonctionne, le client APT doit suivre des redirections et réessayer le téléchargement des fichiers de paquets. Ce comportement est activé par une configuration spécifique : Acquire::Retries. Par défaut, cette valeur est de trois pour Debian 12 (bookworm) et Ubuntu 22.04 LTS (Jammy Jellyfish), ce qui signifie que les versions plus anciennes ne sont pas affectées par défaut.

Ce qui est touché et la gravité réelle

Ubuntu classe cette faille comme prioritaire, avec un score CVSS v4.0 de 7,7, ce qui est considéré comme « High ». Les systèmes Debian et Ubuntu, ainsi que leurs dérivés, sont exposés. À la date de l’alerte, le 4 novembre 2026, Ubuntu indiquait que huit de ses versions suivies, allant de 14.04 LTS à 26.10, restaient vulnérables.

L’attaquant doit pouvoir modifier le trafic HTTP entre le client APT et le serveur d’archives, par exemple via un miroir ou un proxy malveillant. Bien que les rapports ne précisent pas si les sources accédant en HTTPS sont exposées, l’exploitation passe par le trafic HTTP.

Pour les anciennes versions, l’exposition n’est pas automatique. Les systèmes comme Debian 11 ou Ubuntu 20.04 ne sont pas vulnérables par défaut, mais les développeurs soulignent que si un utilisateur active la configuration Acquire::Retries, ces versions peuvent être exposées.

Qui doit agir et comment

Des correctifs sont disponibles. Debian a publié des versions corrigées d’APT pour cette CVE. Ubuntu a également mis à jour ses builds d’APT pour plusieurs de ses versions. Par exemple, pour Ubuntu 26.10, la version 3.3.3ubuntu0.1 est disponible, et pour Ubuntu 22.04 LTS, on trouve la version 2.4.15ubuntu0.1.

Pour Debian 11, dont le support à long terme avait expiré le 31 août 2026, les développeurs ont publié une version corrigée de APT, la 2.2.5.

Il est nécessaire de vérifier non seulement la version de APT, mais aussi la configuration Acquire::Retries. Les développeurs d’Ubuntu ont noté que, malgré les correctifs, l’ensemble des huit versions suivies était listé comme vulnérable à 15h46 UTC le jour de l’annonce.

Il faut surveiller les avis de sécurité spécifiques à sa distribution. L’attaque se déroule sur HTTP, ce qui rend la sécurisation du trafic par HTTPS absolument nécessaire pour éviter l’exploitation.

Fiche technique

Données : NVD (NIST).

Sources

• CVE-2026-109518 | Ubuntu, ubuntu.com
• Debian “bullseye” Release Information, debian.org
• Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root, The Hacker News, 4 novembre 2026
• Debian’s APT Affected By Man-In-The-Middle Attack For Arbitrary Code Execution As Root, Phoronix, 4 novembre 2026
• CVE-2026-109518, NVD (NIST)