Le 4 novembre 2026, Debian et Ubuntu ont publié des informations sur CVE-2026-109518, une faille d’APT permettant, sous certaines conditions, de substituer un paquet téléchargé et d’exécuter du code avec les droits root. Pour une petite entreprise qui utilise Linux, le contrôle utile consiste à vérifier le paquet APT réellement installé sur chaque poste et serveur, puis la façon de récupérer sa mise à jour.
Une nouvelle tentative peut rompre la vérification
L’attaque suppose de manipuler le trafic HTTP entre APT et son serveur de paquets, par exemple sur le trajet réseau ou au niveau d’un miroir malveillant. Les redirections et les nouvelles tentatives de téléchargement interviennent dans le mécanisme. Debian précise que le paramètre Acquire::Retries doit être non nul. Un poste n’est donc pas compromis par sa seule présence sur le réseau, mais l’installation d’un paquet dans ces conditions peut donner les droits root.
Comparer les versions dans la bonne branche
Le suivi Debian marque 2.6.2 comme corrigée pour bookworm et 3.0.4 pour trixie. Ubuntu publie ses propres versions. ComputingForGeeks montre pourquoi comparer tous les postes à une seule version amont produit de faux diagnostics. Relevez la distribution, sa version et le paquet installé, puis comparez-les à son avis officiel. Une ancienne numérotation peut contenir le correctif de sécurité attendu.
Préparer le téléchargement du correctif
La publication Ubuntu explique comment passer les sources APT à HTTPS et propose de désactiver temporairement les nouvelles tentatives pendant l’installation du correctif. Faites adapter ces mesures par l’administrateur aux sources réellement utilisées. Un miroir privé ou un dépôt supplémentaire peut demander une vérification distincte. Le chiffrement du trajet et la correction d’APT répondent à deux questions complémentaires : récupérer la mise à jour et rétablir la vérification attendue.
Vérifier les machines après la mise à jour
The Hacker News documente la chronologie initiale des correctifs; le suivi courant de la distribution reste la référence pour décider aujourd’hui. Contrôlez le paquet installé après intervention, y compris dans les images de base et les postes rarement connectés. Si une installation suspecte a eu lieu avant correction, conservez les traces et faites examiner la machine. L’installation du correctif n’établit pas qu’aucun paquet malveillant n’a été exécuté auparavant.
Le lien avec Soclyde
Une compromission root peut atteindre les comptes utilisés depuis le poste. Renouvelez les accès jugés exposés depuis un appareil sain, après analyse. Soclyde permet d’organiser des mots de passe distincts dans un coffre chiffré local et de retrouver les accès à traiter. Il ne vérifie pas les paquets APT et ne protège pas un coffre ouvert sur un système déjà compromis.
À retenir
Documentez trois éléments : la branche Linux, la version APT corrigée et le résultat du contrôle après installation. Pour les comptes potentiellement exposés par un paquet suspect, suivez le guide mot de passe piraté : que faire depuis un poste sain.
