Apache Traffic Server : plusieurs vulnérabilités de sécurité critiques (CVE-2026-111816, CVE-2026-111815, etc.)
Ce texte a été généré par l'intelligence artificielle (IA).Mise à jour 21.10.2026 : De plus, CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809 et CVE-2026-111811 (CVSS 10.0) ont été dévoilés. Détails ci-dessous.
La Apache Software Foundation décrit avec CVE-2026-111816 une vulnérabilité dans Apache Traffic Server. Des réponses 302 incorrectes peuvent être redirigées dans certaines conditions, bien qu'elles devraient être rejetées comme des erreurs de parsing. Cela permet à deux partenaires de communication concernés d'interpréter la même réponse HTTP différemment.
La vulnérabilité est classée avec CVSS 9,3 et sont classées comme CWE-444 Plusieurs versions d'Apache Traffic Server sont concernées. Des versions corrigées sont disponibles.
Traitement erroné des réponses 302 (CVE-2026-111816)
Selon la Apache Software Foundation, Apache Traffic Server peut rediriger une réponse 302 incorrecte, bien qu'elle devrait être rejetée comme une erreur de parsing. Le cas particulier Transfer-Encoding: chunked contourne le chemin de rejet prévu.
La conséquence est une interprétation différente de la même réponse par deux partenaires de communication. Si une telle réponse est stockée et livrée ultérieurement, cela peut permettre un cache poisoning ainsi qu'une désynchronisation du framing des réponses.
Le cache poisoning désigne dans ce contexte le stockage d'une réponse manipulée dans le cache. Des requêtes ultérieures peuvent alors recevoir le contenu stocké. En cas de désynchronisation du framing des réponses, les systèmes concernés définissent différemment les limites d'une réponse HTTP.
CVE-2026-111816 est lié à CVSS 9,3 évalué (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N).
Autres vulnérabilités critiques (CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809, CVE-2026-111811)
En plus de CVE-2026-111816, cinq autres vulnérabilités critiques dans Apache Traffic Server ont été annoncées. Celles-ci sont chacune évaluées et concernent les mêmes séries de versions : CVSS 10.0 Le vecteur CVSS publié pour ces vulnérabilités est
CVE-2026-111815
CVE-2026-111812
CVE-2026-111813
CVE-2026-111809
CVE-2026-111811
et décrit une attaque basée sur le réseau sans authentification préalable ni interaction utilisateur. Les vulnérabilités permettent potentiellement des attaques étendues sur la confidentialité et l'intégrité. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N Les cinq vulnérabilités sont corrigées dans les mêmes versions corrigées que CVE-2026-111816 :.
Les vulnérabilités sont corrigées dans les versions suivantes : 9.2.16, 10.1.5 et 10.2.1.
Plages de versions concernées et corrections
Selon la Apache Software Foundation, les plages de versions suivantes sont concernées:
Apache Traffic Server de 8.0.0 à 8.1.11
Apache Traffic Server de 9.0.0 à 9.2.15
Apache Traffic Server de 10.0.0 à 10.1.4
Apache Traffic Server 10.2.0
Pour la priorisation, les instances de reverse proxy et de cache accessibles publiquement qui reçoivent, stockent ou transmettent des réponses HTTP sont particulièrement pertinentes. Au moment de la publication, aucune exploitation active n'est connue.
9.2.16
10.1.5
10.2.1
Pour les vulnérabilités décrites ici, cette perspective peut être utilisée pour la priorisation : les services visibles liés à Apache Traffic Server peuvent être attribués aux équipes responsables pour vérifier l'état logiciel réel. Cependant, LocateRisk ne détermine pas nécessairement si une version vulnérable spécifique est installée.
Vérification et priorisation
La vérification devrait saisir l’état de patch et la réelle vulnérabilité des instances de serveurs Apache Traffic en service. Un ordre en fonction de l'accessibilité et du rôle du service dans le chemin de traitement HTTP est judicieux :
Capturer les services HTTP accessibles publiquement avec fonction de reverse proxy ou de mise en cache.
Comparer l'état de version installé avec les séries de versions affectées et corrigées.
Prioriser les systèmes affectés et appliquer les corrections fournies.
Documenter les systèmes non clairement attribués comme tâche de vérification.
La visibilité d'un service ne suffit pas à déterminer si une version vulnérable est utilisée. La vérification des versions reste nécessaire.
Pour les organisations en Allemagne et en Autriche soumises à la directive NIS-2 — mise en œuvre en Allemagne par la NIS2UmsuCG, en Autriche par la NISG — il est raisonnable de vérifier les composants d'infrastructure exposés tels qu'Apache Traffic Server parmi les mesures de protection technique appropriées. Les organisations suisses sont tenues de respecter des obligations de diligence comparables conformément à la loi révisée sur la sécurité de l'information (ISG) et aux exigences de la BACS. Dans la mesure où des données personnelles sont transmises via des instances affectées, l'obligation de déclaration dans les 72 heures selon l'article 33 du RGPD peut également être pertinente.
Visibilité des services externes et des risques fournisseurs
Apache Traffic Server peut être exploité en tant que service HTTP accessible publiquement sous un domaine client. LocateRisk aide à capturer les systèmes visibles depuis l'extérieur et les logiciels utilisés. Les en-têtes HTTP, les caractéristiques du serveur et d'autres indices visibles publiquement peuvent soutenir une attribution technique pour la vérification ultérieure.
Apache Traffic Server dans les versions mentionnées ci-dessus est concerné ; les vulnérabilités ont été corrigées dans 9.2.16, 10.1.5, 10.2.1. Qui veut savoir si Apache Traffic Server est visible dans son infrastructure externe peut utiliser le.
De plus, le suivi continu des risques fournisseurs peut aider à garder un œil sur les alertes de sécurité critiques des fournisseurs de technologie et les dépendances. La vérification technique de ses propres services accessibles publiquement reste distincte et devrait être orientée vers l'état de patch respectif.
Suis-je concerné ?
Betroffen ist Apache Traffic Server in den oben genannten Versionen; behoben wurden die Schwachstellen in 9.2.16, 10.1.5, 10.2.1. Wer wissen will, ob Apache Traffic Server in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
CVE-2026-111816 désigne une vulnérabilité dans Apache Traffic Server où une réponse 302 erronée est redirigée alors qu'elle aurait dû être rejetée comme une erreur de parse. Le cas particulier Transfer-Encoding: chunked contourne le chemin de rejet prévu, ce qui peut permettre le empoisonnement du cache et une désynchronisation du framing de la réponse. La vulnérabilité est classée critique avec un score CVSS de 9.3 et est classifiée comme CWE-444.
En plus de CVE-2026-111816, cinq autres vulnérabilités critiques ont été publiées : CVE-2026-111815, CVE-2026-111812, CVE-2026-111813, CVE-2026-111809 et CVE-2026-111811. Chacune est évaluée à CVSS 10.0 et concerne les mêmes séries de versions. Toutes les vulnérabilités ont été corrigées dans les versions 9.2.16, 10.1.5 et 10.2.1.
Ce sont les versions Apache Traffic Server de 8.0.0 à 8.1.11, de 9.0.0 à 9.2.15, de 10.0.0 à 10.1.4 ainsi que la version 10.2.0 qui sont concernées. Les vulnérabilités ont été corrigées dans les versions 9.2.16, 10.1.5 et 10.2.1. Les systèmes concernés doivent être mis à jour vers l'une de ces versions.
Au moment de la publication, aucune utilisation active n'est connue. Cependant, comme il s'agit d'attaques basées sur le réseau sans authentification requise ni interaction avec l'utilisateur, la mise à jour des instances concernées doit être effectuée dans les meilleurs délais.
Stand: 21.10.2026. Cet article est à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action pour un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; le lien vers l'avis du fabricant est toujours déterminant. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Une estimation approximative en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-111816
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English