Imaginez une porte déverrouillée depuis 2014 dans presque toutes les grandes distributions Linux. C’est la découverte fracassante de la Red Team de Deutsche Telekom : la faille « Pack2TheRoot » (CVE-2026-41651). Nichée dans PackageKit, un composant présent par défaut sur vos bureaux Ubuntu ou Fedora, elle permet à n’importe quel utilisateur local de devenir administrateur total (root) en quelques secondes, sans aucun mot de passe.

Annoncée ce 22 avril 2026, cette vulnérabilité nous rappelle que les vieux démons du code ne dorment jamais vraiment.

Le « bug de la pizza » débusqué par l’IA

Les chercheurs de Deutsche Telekom ont eu une intuition en remarquant que la commande pkcon install sur Fedora ne demandait parfois aucune authentification. Pour accélérer leurs recherches, ils ont utilisé Claude Opus d’Anthropic pour guider l’analyse du code source à partir de 2025.

Le résultat est une attaque de type TOCTOU (Time-of-Check Time-of-Use) : en manipulant les indicateurs de transaction au moment précis où l’autorisation est accordée, un attaquant peut forcer le système à installer ou supprimer n’importe quel paquet système.

Votre distribution est-elle vulnérable ?

La liste des systèmes affectés est impressionnante. Elle inclut même la toute nouvelle Ubuntu 26.04 LTS sortie il y a deux jours.

Attention : Si vous utilisez Cockpit pour gérer vos serveurs (très courant sur RHEL), PackageKit est souvent une dépendance installée. Vos serveurs d’entreprise pourraient donc être exposés.

Comment savoir si vous avez été « visité » ?

Bien que l’exploit soit ultra-rapide, il n’est pas tout à fait silencieux. Une attaque réussie provoque généralement le plantage du démon PackageKit. Vous pouvez vérifier vos journaux système avec cette commande :

Bash

journalctl -u packagekit | grep -i assertion

Si vous voyez une erreur de type assertion failed, il est temps de mener une enquête sérieuse.

Que faire pour se protéger ?

Matthias Klumpp, le mainteneur de PackageKit, a réagi immédiatement en publiant la version 1.3.5 qui corrige le problème. Les détails sur l’annonce OpenWall confirment que les patchs sont déjà disponibles dans les dépôts officiels.

Vérifiez votre version immédiatement :

• Sur Debian/Ubuntu : apt policy packagekit
• Sur Fedora/RedHat : rpm -qa | grep -i packagekit

Si votre version est comprise entre la 1.0.2 et la 1.3.4, mettez à jour votre système de toute urgence via le GitHub de Telekom Security

– Source :

https://goodtech.info/pack2theroot-faille-linux-packagekit-root-cve-2026-41651/