Éditeur
Apache : failles activement exploitées
41 failles de produits Apache figurent au catalogue des failles activement exploitées de la CISA, dont 8 utilisées par des rançongiciels. Dernier ajout le 8 octobre 2026 : CVE-2016-3081 (Struts).
- 41 failles exploitées au catalogue
- 3 ajoutées ces 12 derniers mois
- 8 utilisées par des rançongiciels
- 21 produits concernés
Produits concernés
- Struts6
- Tomcat6
- HTTP Server4
- ActiveMQ3
- OFBiz3
- Log4j22
- Solr2
- Struts 12
- Airflow1
- Airflow's Experimental API1
- Apache1
- APISIX1
- CouchDB1
- Flink1
- HugeGraph-Server1
- Kylin1
- RocketMQ1
- Shiro1
- Spark1
- Struts 21
- Superset1
Alertes et avis du CERT-FR
Publications récentes du CERT-FR qui nomment cet éditeur (alertes : menace immédiate ; avis : correctifs publiés).
-
CERTFR-2026-AVI-1290Multiples vulnérabilités dans Apache Struts (09 octobre 2026)
Toutes les failles exploitées
Catalogue KEV de la CISA, de la plus récente à la plus ancienne : chaque entrée correspond à une exploitation constatée. Intitulés traduits à partir de ceux de la CISA.
2026 3 failles
-
CVE-2016-3081Injection de commandes dans Apache Struts
-
CVE-2026-34486Absence de chiffrement de données sensibles dans Apache Tomcat
-
CVE-2026-34197Validation insuffisante des entrées dans Apache ActiveMQ
2025 3 failles
-
CVE-2024-38475Vulnérabilité « Improper Escaping of Output » dans Apache HTTP Server
-
CVE-2025-24813Vulnérabilité « Path Equivalence » dans Apache Tomcat
-
CVE-2024-45195Vulnérabilité « Forced Browsing » dans Apache OFBiz
2024 5 failles
-
CVE-2024-27348Contrôle d’accès défaillant dans Apache HugeGraph-Server
-
CVE-2024-38856Contrôle d’autorisation incorrect dans Apache OFBiz
-
CVE-2024-32113Traversée de répertoires dans Apache OFBiz
-
CVE-2020-17519Contrôle d’accès défaillant dans Apache Flink
-
CVE-2023-27524Vulnérabilité « Insecure Default Initialization of Resource » dans Apache Superset
2023 5 failles
-
CVE-2023-46604Exploitée par des rançongicielsDésérialisation de données non fiables dans Apache ActiveMQ
-
CVE-2023-33246Exécution de commandes dans Apache RocketMQ
-
CVE-2016-8735Exécution de code à distance dans Apache Tomcat
-
CVE-2021-45046Exploitée par des rançongicielsDésérialisation de données non fiables dans Apache Log4j2
-
CVE-2022-33891Injection de commandes dans Apache Spark
2022 13 failles
-
CVE-2022-24706Vulnérabilité « Insecure Default Initialization of Resource » dans Apache CouchDB
-
CVE-2022-24112Contournement d’authentification dans Apache APISIX
-
CVE-2020-1956Injection de commandes système dans Apache Kylin
-
CVE-2017-12617Exécution de code à distance dans Apache Tomcat
-
CVE-2017-12615Exploitée par des rançongicielsExécution de code à distance (on Windows) dans Apache Tomcat
-
CVE-2013-2251Validation insuffisante des entrées dans Apache Struts
-
CVE-2020-1938Mauvaise gestion des privilèges dans Apache Tomcat
-
CVE-2017-9791Validation insuffisante des entrées dans Apache Struts 1
-
CVE-2016-3088Validation insuffisante des entrées dans Apache ActiveMQ
-
CVE-2012-0391Validation insuffisante des entrées dans Apache Struts 2
-
CVE-2006-1547Déni de service (ActionForm) dans Apache Struts 1
-
CVE-2020-13927Contournement d’authentification dans Apache Airflow's Experimental API
-
CVE-2020-11978Injection de commandes dans Apache Airflow
2021 12 failles
-
CVE-2021-44228Exploitée par des rançongicielsExécution de code à distance dans Apache Log4j2
-
CVE-2019-0193Injection de code (DataImportHandler) dans Apache Solr
-
CVE-2021-40438Exploitée par des rançongicielsFalsification de requête côté serveur (SSRF) (HTTP (SSRF)) dans Apache
-
CVE-2021-42013Exploitée par des rançongicielsTraversée de répertoires dans Apache HTTP Server
-
CVE-2021-41773Exploitée par des rançongicielsTraversée de répertoires dans Apache HTTP Server
-
CVE-2020-17530Exécution de code à distance dans Apache Struts
-
CVE-2019-17558Exécution de code à distance (VelocityResponseWriter Plug-) dans Apache Solr
-
CVE-2019-0211Élévation de privilèges dans Apache HTTP Server
-
CVE-2018-11776Exécution de code à distance dans Apache Struts
-
CVE-2017-9805Désérialisation de données non fiables dans Apache Struts
-
CVE-2017-5638Exploitée par des rançongicielsExécution de code à distance dans Apache Struts
-
CVE-2016-4437Exécution de code dans Apache Shiro
Que faire
Si votre parc contient l’un de ces produits, vérifiez que les correctifs de l’éditeur sont appliqués, en commençant par les failles les plus récentes et celles utilisées par des rançongiciels, puis recherchez des traces de compromission : une faille exploitée a souvent servi avant d’être corrigée.
Les ajouts de tous les éditeurs sont suivis dans la page Failles activement exploitées, mise à jour plusieurs fois par jour. Sources : catalogue KEV de la CISA (domaine public américain) et CERT-FR.