# Vulnérabilité APT : APT d’Ubuntu expose à l’exécution de code root

_Publié le 4 novembre 2026 — https://ip73.fr/2026/11/04/vulnerabilite-apt-apt-d-ubuntu-expose-a-l-execution-de-code-root/_

Une faille dans le gestionnaire de paquets APT d'Ubuntu, identifiée sous le numéro USN-8996-1, permet à un attaquant distant d'exécuter du code en tant que root sur une machine victime. Ce problème, découvert par Max Justicz, réside dans la manière dont APT gère les liens physiques (hard links) lorsqu'il rencontre des redirections et doit réessayer le téléchargement d'un paquet.

Les conséquences sont sérieuses : un attaquant positionné sur le chemin de la communication entre la machine et le serveur de paquets peut potentiellement inciter APT à installer un paquet non vérifié, menant à une exécution de code à distance avec les privilèges les plus élevés. L'attaque se déclenche lorsque le système tente d'installer un paquet.

L'urgence est donc de mettre à jour. Selon Ubuntu Security, des versions spécifiques ont été publiées pour couvrir cette brèche. Par exemple, les utilisateurs de la version 26.10 stonking doivent passer à `apt – 3.3.3ubuntu0.1`, tandis que sur la version 24.04 LTS noble, la version requise est `apt – 2.8.4ubuntu0.1`. La liste des versions critiques s'étend jusqu'à la série 14.04 LTS trusty, qui nécessite `apt – 1.0.1ubuntu2.24+esm4`.

Ce scénario repose sur la possibilité pour l'attaquant de modifier le trafic HTTP entre le système et le serveur de paquets, que ce soit via un miroir malveillant ou un proxy compromis. Les développeurs précisent que l'attaque exploite des redirections HTTP et des erreurs temporaires du serveur afin de contraindre APT à relancer le téléchargement.

Cette vulnérabilité partage des caractéristiques avec des alertes précédentes. The Hacker News confirme qu'un défaut dans APT, le gestionnaire utilisé par Debian et Ubuntu, permet à un attaquant en position de modifier le téléchargement de paquets de remplacer un paquet vérifié par le sien, exécutant le code avec des droits root. Les développeurs d'APT qualifient cette faille de critique.

Les informations disponibles montrent que, bien que les versions plus anciennes comme Ubuntu 20.04 LTS focal ne soient pas exposées par défaut, il est possible que des scripts utilisateurs aient activé le paramètre `Acquire::Retries`, rendant ces systèmes vulnérables par inadvertance. Ubuntu maintient à ce jour le statut de vulnérabilité pour l'ensemble des huit versions qu'il suit, de 14.04 LTS à 26.10.

Pour ceux qui gèrent de grands parcs de serveurs, la solution passe par la mise à jour rapide. Ubuntu Pro propose une couverture de sécurité sur dix ans pour plus de vingt-cinq mille paquets, et cette couverture est gratuite pour jusqu'à cinq machines.

Il faut surveiller attentivement si ces mécanismes d'attaque s'étendent aux sources de paquets accédées via HTTPS, une question que les rapports d'alerte n'ont pas éclaircie.

## Sources

- [USN-8996-1: APT vulnerability](https://ubuntu.com/security/notices/USN-8996-1), Ubuntu Security, 4 novembre 2026
- [Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root](https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html), The Hacker News, 4 novembre 2026
- [Debian's APT Affected By Man-In-The-Middle Attack For Arbitrary Code Execution As Root](https://www.phoronix.com/news/Debian-APT-MITM-RCE), Phoronix, 4 novembre 2026