Le projet Debian vient de publier une alerte de sécurité concernant son gestionnaire de paquets APT. Répertoriée sous l’identifiant CVE-2026-109518, une faille permettait à un tiers malveillant de substituer un paquet après son contrôle d’intégrité, ouvrant la voie à une exécution de code arbitraire avec les privilèges root.
Signalée par le chercheur Max Justicz et formalisée dans le bulletin DSA-6607-1, la brèche repose sur une mauvaise gestion des téléchargements interrompus et repris via HTTP.
Lorsqu’une redirection réseau survient et que deux flux distincts convergent vers la même destination, APT peut fusionner les paquets de manière incorrecte. Si un attaquant dispose d’un accès en position d’interception sur le réseau, il peut injecter un fichier modifié juste après la phase de vérification cryptographique.
Pour contrer ce risque, les responsables de la distribution ont mis en ligne la version 3.0.4 d’APT destinée à la branche stable Trixie.
Cette mise à jour ne se limite pas au colmatage de cette brèche de substitution. Elle corrige également plusieurs anomalies liées à des accès mémoire hors limites. Les administrateurs système et utilisateurs de Debian Trixie doivent lancer une mise à jour des listes de paquets et appliquer les correctifs sans délai via la commande de mise à jour habituelle.
Cet article a été modifié pour la dernière fois le 5 novembre 2026 8h52