Apache MINA : une faille critique sans correctif prévu dans la branche 3 inactive
Le 31 octobre 2026, le projet Apache MINA a publié un avis concernant CVE-2026-118636, une vulnérabilité de désérialisation Java évaluée à 9,8 sur 10 en CVSS 3.1. MINA est une bibliothèque utilisée pour construire des applications réseau ; le problème ne concerne donc pas indistinctement tous les serveurs portant le nom Apache.
Le défaut se trouve dans le décodeur de messages Java natifs de la branche 3, dont l’avis vise les versions jusqu’à 3.0.0-M2. Une application qui utilise ce composant face à un interlocuteur non fiable peut être exposée à une exécution de code à distance. L’exposition dépend donc de l’usage réel du composant dans l’application.
La particularité est la réponse des mainteneurs : la branche 3 est inactive et aucun correctif n’y est prévu. Ils recommandent de passer à la dernière version de la branche 2.2.x. Au moment de cette vérification, le site officiel propose MINA 2.2.10 comme version stable de cette branche.
L’avis ne fait état d’aucune campagne d’exploitation active. La gravité annoncée n’établit pas qu’une installation donnée a été compromise. Pour les responsables techniques, attendre une mise à jour de la branche abandonnée n’est toutefois pas une solution : la migration vers une branche maintenue doit être évaluée avec ses contraintes de compatibilité.
Sources :
