Faille APT CVE-2026-109518 : que faire sur les serveurs Ubuntu et Debian

Le 4 novembre 2026, Canonical a publié des correctifs pour CVE-2026-109518, une vulnérabilité de gravité élevée (CVSS 4.0 : 7.7) dans APT, le gestionnaire de paquets de Debian, Ubuntu et dérivées. Un attaquant situé sur le chemin réseau (on-path) capable de manipuler le trafic HTTP vers l’archive de paquets, ou un miroir ou proxy malveillant, peut amener APT à installer un paquet .deb non vérifié. Comme les paquets s’installent avec des privilèges d’administrateur, il en résulte une exécution de code en tant que root.

Contrairement au contournement OpenSSH sur Alpine publié le même jour, qui concerne surtout les systèmes musl sans PAM, cette faille touche précisément les serveurs les plus répandus dans les PME tessinoises : VPS Ubuntu (par exemple chez Infomaniak), serveurs Debian, machines virtuelles et postes Linux basés sur APT.

Ce que disent Ubuntu et Debian

Selon le blog sécurité d’Ubuntu et l’avis USN-8996-1, la faille a été découverte et signalée de manière responsable par Max Justicz. Elle se situe dans le backend HTTP d’APT, dans la gestion des liens physiques (hard links) lorsqu’un téléchargement est redirigé puis relancé. Elle concerne toute interface basée sur APT : apt, apt-get, aptitude et les outils graphiques d’Ubuntu.

Trois conditions sont déterminantes pour l’exposition :

• Nouvelles tentatives de téléchargement. L’exploitation exige qu’APT relance un téléchargement échoué, c’est-à-dire Acquire::Retries différent de 0. La valeur 3 est par défaut depuis Ubuntu 22.04 LTS et Debian 12 : les versions plus anciennes ne sont concernées que si le paramètre a été modifié.
• Transport HTTP. Il faut pouvoir manipuler du trafic HTTP en clair. HTTPS protège contre un attaquant sur le chemin réseau, mais Canonical recommande quand même la mise à jour.
• Installation d’un paquet. L’attaque ne se déclenche que lorsque le système télécharge et installe un .deb, par exemple lors d’une mise à jour.

Les paquets snap ne sont pas concernés, car ils utilisent un autre système de gestion. Le security tracker Debian indique aussi des versions corrigées pour Debian 12 et 13.

Versions corrigées

Versions du paquet apt indiquées comme corrigées par Ubuntu et Debian au 5 novembre 2026 (à vérifier toujours sur les sources officielles, qui peuvent évoluer) :

Pour Ubuntu 20.04, 18.04, 16.04 et 14.04, les correctifs sont disponibles via ESM avec Ubuntu Pro (pour 16.04 et 14.04 avec l’add-on Legacy).

Que faire sur les serveurs Ubuntu et Debian

1. Inventaire. Lister VPS, serveurs, VM et postes qui utilisent APT, avec version et fournisseur. Ubuntu 22.04, 24.04 et 26.04 sont concernés en configuration par défaut.
2. Mettre à jour sans nouvelles tentatives. Canonical recommande de fixer temporairement Acquire::Retries à zéro pendant l’installation du correctif, afin que la faille ne puisse pas être exploitée pendant la mise à jour elle-même :

   sudo apt update && sudo apt upgrade -o Acquire::Retries=0

   Si une mise à jour complète n’est pas possible, mettre à jour APT seulement :

   sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

3. Vérifier la version installée et la comparer au tableau :

   apt list --installed '?source-package(^apt$)'

4. Préférer HTTPS dans les sources. Dans /etc/apt/sources.list et /etc/apt/sources.list.d/, remplacer les adresses http:// de l’archive Ubuntu par https:// et vérifier que sudo apt update s’exécute sans erreur : certains miroirs communautaires ne prennent pas en charge HTTPS. C’est une précaution utile, pas un substitut au correctif.
5. Contrôler les mises à jour automatiques. Avec unattended-upgrades actif (par défaut depuis Ubuntu 16.04), les correctifs de sécurité sont en principe appliqués en 24 heures environ. Il reste utile de vérifier la version et les journaux, surtout sur des serveurs gérés par des tiers.
6. Fournisseurs et miroirs. Demander à qui gère l’hébergement, les images cloud ou les miroirs internes si les systèmes sont déjà à jour et quelles sources APT ils utilisent.

Nous ne publions pas d’étapes d’exploitation : l’objectif est de fermer l’exposition. Pour d’autres failles récentes sur serveurs et piles web, voir notre bilan de fin octobre.

Questions fréquentes

Notre VPS Ubuntu chez Infomaniak est-il concerné ?

S’il tourne sous Ubuntu 22.04 ou plus récent avec la configuration par défaut, oui : le paquet apt doit être mis à jour. Le risque concret dépend de la possibilité de manipuler le trafic HTTP vers les miroirs, mais le correctif est simple et doit être appliqué.

Nous utilisons déjà HTTPS pour les dépôts : cela suffit-il ?

HTTPS protège contre un attaquant sur le chemin réseau, mais pas contre un miroir malveillant. Canonical recommande dans tous les cas d’installer la mise à jour.

Les applications installées via snap sont-elles à risque ?

Non. Selon Canonical, snap utilise un autre système de gestion de paquets et n’est pas touché par cette vulnérabilité.

Quelle différence avec le problème OpenSSH sur Alpine ?

Le contournement OpenSSH concerne les systèmes musl sans PAM, typiquement Alpine, et Ubuntu/Debian sont hors périmètre. La faille APT concerne au contraire Debian et Ubuntu. Ce sont deux interventions distinctes.

Notre approche

ElaraTeq Sagl aide les PME et cabinets au Tessin à inventorier leurs serveurs, planifier les mises à jour et configurer de manière sûre VPS et hébergement en Suisse (hébergement, conseil). Pour vérifier vos systèmes, vous pouvez nous contacter.

Sources

• Ubuntu, CVE-2026-109518 APT vulnerability fixes available, 4 novembre 2026
• Ubuntu, CVE-2026-109518, 4 novembre 2026
• Ubuntu, USN-8996-1: APT vulnerability, 4 novembre 2026
• Debian, Security tracker CVE-2026-109518