CVE-2026-109518 touche le téléchargement de paquets par APT : un attaquant qui contrôle le trajet HTTP peut faire remplacer un paquet après vérification et entraîner l’exécution de code avec les privilèges root. L’attaque exige aussi que Acquire::Retries soit réglé sur une valeur non nulle. Debian et les responsables d’APT ont publié leurs avis le 4 novembre 2026; Canonical a annoncé ce jour-là que des correctifs Ubuntu étaient disponibles.
Comment APT peut remplacer un paquet après vérification
Dans son avis de sécurité, Debian décrit le remplacement d’un paquet après sa vérification. La notice des responsables d’APT, publiée par Julian Andres Klode, détaille le mécanisme : des redirections et des erreurs HTTP temporaires déclenchent de nouvelles tentatives; une faille dans la gestion des téléchargements repris permet alors d’écraser des liens physiques existants avec des données choisies par l’attaquant. Le paquet modifié peut ensuite entraîner l’exécution de code en root lors de son installation. Debian attribue la découverte de la faille à Max Justicz.
Les conditions nécessaires à cette attaque
Deux conditions se combinent : Acquire::Retries doit être non nul, et l’attaquant doit pouvoir manipuler le trafic HTTP, par exemple en contrôlant un miroir ou un proxy malveillant. Le réglage des reprises est devenu actif par défaut à partir d’APT 2.3.2. Le tracker Debian indique une valeur par défaut de 3 depuis Debian 12 (bookworm) et Ubuntu 22.04 LTS (Jammy); des scripts peuvent aussi l’avoir activée sur des versions plus anciennes.
Pour cette voie d’attaque, le réglage des reprises et le contrôle du trajet HTTP comptent ensemble.
Versions d’APT que le tracker Debian indique comme corrigées
Le tracker de sécurité Debian liste les versions suivantes comme corrigées. L’avis Debian du 4 novembre 2026 confirme notamment la correction de la branche stable trixie dans APT 3.0.4.
| Branche Debian | Version d’APT indiquée comme corrigée |
| bookworm | 2.6.2 |
| trixie | 3.0.4 |
| forky | 3.3.6 |
| sid | 3.3.6 |
Canonical a annoncé des correctifs pour Ubuntu le 4 novembre 2026.
Les correctifs APT laissés de côté
La notice des responsables d’APT décrit aussi des corrections pour plusieurs problèmes d’accès mémoire hors limites, d’analyse et de résolution, ainsi que pour un épuisement mémoire lors de nouvelles tentatives sur des éléments retardés dans APT 2.6, 2.8 et 3.0. Certains problèmes d’accès mémoire hors limites dans apt-ftparchive et l’analyseur des dépendances de construction n’ont pas été corrigés dans cette mise à jour. Les responsables d’APT invoquent leur complexité, le nombre limité d’essais pratiques ou le risque de régression.
