Veille sécuritéBackend & données
P4Non déterminée
Apache Axis 1.x désérialise certaines données de faute SOAP entrantes et peut charger puis instancier une classe contrôlée par l’entrée avant de vérifier qu’il s’agit d’une AxisFault. Si une classe appropriée est présente dans le classpath, cela peut conduire à une exécution de code à distance sans authentification, et les gestionnaires d’authentification configurés au niveau du service ne protègent pas contre ce traitement préalable.
Java
IdentifiantCVE-2026-90436
GravitéNon déterminée
Exploitationnon connue / non déterminée
CorrectifAucun correctif Axis 1.x prévu ; la source recommande la migration vers un autre moteur SOAP, par exemple Axis 2, ou l’application du correctif du commit 41f3b4e8d04e310ca81f86b92630ab2c11d608bd.
Source : NVD — CVE-2026-90436
Analyse technique
La faille concerne la désérialisation d’une faute SOAP entrante ; le chargement de classe peut exécuter son initialiseur statique. Apache Axis 1 est en fin de vie.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.
ImpactExécution de code à distance possible sans authentification si une classe appropriée est disponible dans le classpath.
Versions affectéesToutes les versions Apache Axis 1.x jusqu’à 1.4 incluses.
Version corrigéeAucun correctif Axis 1.x prévu ; la source recommande la migration vers un autre moteur SOAP, par exemple Axis 2, ou l’application du correctif du commit 41f3b4e8d04e310ca81f86b92630ab2c11d608bd.
ContournementMigrer vers un autre moteur SOAP, par exemple Apache Axis 2, ou utiliser une version construite avec le correctif du commit indiqué.
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-11-06T16:18:59.763Z
Mise à jour2026-11-06T19:17:58.880Z
Action recommandée
Migrer hors d’Axis 1.x ou appliquer le correctif mentionné par le projet ; ne pas compter sur l’authentification configurée au niveau du service comme protection contre ce chemin.
Sources
Priorisation DFS : P4 · 1 source(s).