Skip to content
Hacker Posts

Apache Kafka : 12 CVE corrigées, patch en 4.3.2 et 4.2.2 (AVI-1415)

Le CERT-FR relaie l'AVI-1415 : 12 CVE dans Apache Kafka (atteinte à l'intégrité, à la confidentialité, contournement de politique, DoS). Correctifs en 4.3.2, 4.2.2 et 4.4.0.

Publié le 2 min de lecture
cveapachekafkaalerteanssi

Le CERT-FR a publié le 29 octobre 2026 l'avis CERTFR-2026-AVI-1415, qui relaie la liste CVE d'Apache Kafka du 28 octobre : douze vulnérabilités touchent le broker. Les impacts retenus par l'ANSSI : atteinte à l'intégrité des données, atteinte à la confidentialité des données, contournement de la politique de sécurité et déni de service à distance. Kafka motorisant une large part des pipelines de données en production, traitez la montée de version comme un correctif d'infrastructure prioritaire.

Versions concernées

  • Apache Kafka 4.3.x antérieures à 4.3.2
  • Apache Kafka antérieures à 4.2.2
  • Apache Kafka antérieures à 4.4.0 — pour la seule CVE-2026-110952

Correctifs

Mettez à jour vers 4.3.2 (branche 4.3) ou 4.2.2 (branches antérieures) ; 4.4.0 couvre spécifiquement CVE-2026-110952. Reportez-vous au bulletin éditeur pour le détail faille par faille et le mapping version.

Les douze CVE

CVE-2026-110952   CVE-2026-110985   CVE-2026-111073
CVE-2026-111108   CVE-2026-111115   CVE-2026-111496
CVE-2026-111551   CVE-2026-112375   CVE-2026-114349
CVE-2026-115644   CVE-2026-116593   CVE-2026-83525

L'avis CERT-FR ne décrit pas chaque CVE individuellement et ne fournit pas de score CVSS ; il renvoie au bulletin Apache pour l'analyse détaillée. Aucune exploitation active n'est mentionnée à ce stade.

Que faire

  1. Inventoriez vos brokers et identifiez la branche (4.2.x, 4.3.x) et la version exacte en production.
  2. Planifiez la montée en version vers 4.3.2 / 4.2.2 (ou 4.4.0 si vous êtes concerné par CVE-2026-110952), en tenant compte de la compatibilité clients/brokers lors d'un rolling upgrade.
  3. Priorisez les clusters exposés ou mutualisés entre plusieurs équipes : un contournement de politique de sécurité sur un bus de données partagé a un rayon d'impact large.
  4. Vérifiez les contrôles d'accès (ACL, authentification SASL/mTLS) en attendant le correctif, pour limiter la surface d'un contournement.

Pour mettre en perspective

C'est une salve nourrie — douze CVE d'un coup — sur un composant qui transporte souvent les données les plus sensibles d'un SI. L'écosystème Apache enchaîne les correctifs ce trimestre, après httpd 2.4.69, Struts (OGNL RCE) et Tomcat. Le point commun : ce sont des briques d'infrastructure que l'on patche rarement en urgence parce qu'elles « tournent ». C'est précisément pour ça qu'elles accumulent du retard.

Articles liés