CVE-2026-109518 peut permettre à un attaquant capable de manipuler le trafic HTTP entre un client APT et un serveur d’archives de faire installer un paquet qu’il contrôle, puis d’exécuter du code avec les privilèges root, si plusieurs conditions sont réunies. Le Debian Security Tracker décrit le mécanisme. Cybersecurity News a rapporté le 4 novembre 2026 que Debian avait annoncé cette faille.
Ce que CVE-2026-109518 peut permettre dans APT
L’attaque décrite suppose un adversaire placé sur le trajet entre APT et le serveur d’archives, capable de modifier les échanges HTTP. Un miroir ou un proxy malveillant en sont des exemples. Si le mécanisme aboutit, APT peut installer un paquet contrôlé par l’attaquant et permettre l’exécution de code à distance avec les privilèges root, ceux de l’administrateur système.
Les conditions nécessaires à l’attaque
La manipulation du trafic ne suffit pas à elle seule. Le scénario décrit par le tracker dépend aussi de la réunion de ces conditions côté client :
- APT réutilise des liens physiques ;
- le téléchargement suit une ou plusieurs redirections ;
- le téléchargement du fichier du paquet est relancé après un échec ;
Acquire::Retriesa une valeur supérieure à zéro.
Le suivi indique que Acquire::Retries vaut 3 par défaut à partir de Debian 12 (bookworm) et d’Ubuntu 22.04 LTS (Jammy). Il précise que les versions antérieures ne sont pas concernées dans leur configuration par défaut.
Versions APT répertoriées pour Debian
Le tracker classe les versions suivantes par branche Debian :
| Branche Debian | Version d’APT | État indiqué |
| bookworm | 2.6.1 | Vulnérable |
| bookworm (security) | 2.6.2 | Corrigée |
| trixie | 3.0.3 | Vulnérable |
| trixie (security) | 3.0.4 | Corrigée |
| forky et sid | 3.3.6 | Corrigée |
Pour vérifier la situation d’un système Debian, repérez sa branche et sa version d’APT, puis comparez-les à la ligne correspondante. Le suivi indique également Acquire::Retries à 3 par défaut pour Ubuntu 22.04 LTS (Jammy).
