v2.4.69.3

Correctif Version de sécurité Publié le 28 octobre 2026

Apache recompilé avec APR-util 1.6.5 et les mises à jour de sécurité de six bibliothèques intégrées

Apache reste en version 2.4.69 et les 94 modules se chargent comme auparavant. Le paquet a été vérifié sur les neuf systèmes d’exploitation pris en charge. Son application, son retour à une version précédente et sa réapplication ont été testés sur un serveur hébergeant des sites actifs.

APR-util passe de la version 1.6.3 à la version 1.6.5. La version 1.6.4 corrige un débordement de tampon sur le tas dans le client memcached (CVE-2026-34502), un débordement de tampon sur le tas dans le client Redis (CVE-2026-34501), un plantage dû à une récursion sur la pile lors de l’analyse de XML provenant d’une source non fiable (CVE-2026-32327) et une faille temporelle dans la validation des mots de passe (CVE-2025-49506).
Le paquet a été recompilé dans une image de compilation mise à jour. Les bibliothèques curl, libevent, xz, nghttp2 et PCRE2 qu’il contient incluent désormais les correctifs de sécurité de leurs éditeurs. Ce sont les copies chargées par Apache ; il s’agit des mêmes fichiers que ceux inclus dans les paquets PHP actuels.