Aller au contenu

Linux Faille Moyenne

Apache HTTP Server : 2.4.69 corrige 19 failles, Debian 12 (bookworm) encore vulnérable

Apache HTTP Server 2.4.69 (1er octobre) corrige 19 failles, de gravité faible à modérée (mod_dav, mod_auth_digest, mod_heartmonitor, CGI…). Debian 13 est corrigée (DSA-6569-1) ; Debian 12 reste vulnérable à ce jour : à surveiller.

par Frédéric Vagner · publié le

Sévérité
Moyenne
CVE
CVE-2026-42356 CVE-2026-42528 CVE-2026-46729 CVE-2026-47360 CVE-2026-48005 CVE-2026-56153 CVE-2026-56154 CVE-2026-56449 CVE-2026-57941 CVE-2026-58415 CVE-2026-59797 CVE-2026-63045 CVE-2026-63292 CVE-2026-63686 CVE-2026-63718 CVE-2026-73636 CVE-2026-73637 CVE-2026-79768 CVE-2026-93546
Produits
DebianApache
Versions touchées
Jusqu'à 2.4.68 (selon la faille, dès 2.4.0)
Versions corrigées
2.4.69 ; Debian 13 (trixie) : 2.4.69-1~deb13u1 ; Debian 12 : en attente
Correctif
Correctif disponible
Source
httpd.apache.org ↗

Qui est concerné ?

Tous les serveurs exécutant Apache HTTP Server 2.4.68 ou antérieur. Les failles les plus notables selon l'avis de l'éditeur : CVE-2026-42528 (mod_dav, dépassement mémoire lié aux verrous partagés, gravité modérée, nécessite le droit de verrou WebDAV), CVE-2026-42356 (redirections internes depuis un CGI, exécution limitée de fichiers non-CGI, gravité faible), CVE-2026-46729 (mod_heartmonitor, déni de service), CVE-2026-47360 (mod_session) et CVE-2026-48005 (mod_auth_digest).

Risque

Gravité faible à modérée selon l'éditeur pour les cinq failles détaillées ; les 14 autres CVE figurent dans l'avis Debian DSA-6569-1 et leur score reste à confirmer. Aucune exploitation active connue à ce jour.

État des correctifs

  • Éditeur : 2.4.69 publiée le 1er octobre 2026.
  • Debian 13 (trixie) : corrigée en 2.4.69-1~deb13u1 (DSA-6569-1).
  • Debian 12 (bookworm) : le security tracker indique le paquet vulnérable (2.4.67-1~deb12u3) ; correctif en attente.
  • Plesk : en attente de confirmation (apache fourni par la distribution).

Corriger

apt update && apt install --only-upgrade apache2
apache2ctl -v

Contournement

Si WebDAV n'est pas utilisé : a2dismod dav dav_fs dav_lock puis recharger Apache. Désactiver aussi mod_heartmonitor s'il est inutile.

Vérifier

Contrôler la version avec apache2ctl -v et le suivi de Debian : security-tracker.debian.org/tracker/source-package/apache2.

À lire aussi