What is Never-Ending Support (NES) for Apache CXF?

Une version maintenue d'Apache CXF 3.4.x et 3.5.x proposée par HeroDevs. Les correctifs de sécurité sont intégrés dans des branches dérivées des dernières versions en amont, à savoir les versions 3.4.10 et 3.5.11, et publiées sous les mêmes coordonnées org.apache.cxf avec une chaîne de version NES ; vous n'avez donc qu'à modifier une seule version dans la liste des composants (BOM) sans rien changer d'autre.

Which Apache CXF versions does NES support?

Deux branches : 3.4.x (dérivée de la version 3.4.10) et 3.5.x (dérivée de la version 3.5.11). Toutes deux nécessitent Java 8 et conservent l'espace de noms javax.*. Les versions CXF 3.6, 4.0, 4.1 et 4.2 ne font pas partie des branches NES.

What does drop-in replacement mean here?

Les identifiants de groupe et les identifiants d'artefacts ne changent pas. Vous importez org.apache.cxf:cxf-bom dans la version NES, ajoutez le registre HeroDevs, puis recompilez. Le code de l'application, la configuration et les contrats WSDL restent inchangés.

What does NES for Apache CXF actually patch?

Les CVE détectées dans le code propre à CXF, notamment au niveau des filtres OAuth2 et OIDC, du transport JMS, de WS-Security et STS, de l'analyse syntaxique XML et WSDL, de la gestion des pièces jointes et du client HTTP Netty. La liste actuelle, accompagnée des déclarations VEX pour chaque correctif, est disponible dans le répertoire des vulnérabilités et dans les notes de mise à jour sur docs.herodevs.com.

Why can't we just move to CXF 4.x?

CXF 4.0 a migré vers l'espace de noms jakarta.* et la version 4.1 a relevé la version minimale requise à Java 17 ; par conséquent, chaque importation javax et le runtime Java évoluent de concert. CXF 3.6 conserve javax mais nécessite Java 11. Si votre application est verrouillée sur Java 8, aucune version en amont ne convient sans migration.

Does NES for Apache CXF help with compliance?

Chaque correctif est fourni avec une déclaration VEX de HeroDevs et une chaîne de version NES reconnaissable par les scanners, ce qui constitue la preuve exigée par les auditeurs dans le cadre des normes PCI DSS, SOC 2, HIPAA, NIS2, DORA et de la CRA de l'UE. HeroDevs est une autorité de numérotation CVE.

Is NES a permanent alternative to upgrading?

NES assure la maintenance des versions 3.4 et 3.5 tant qu'elles sont en production. La migration vers CXF 4.x, lorsqu'elle aura lieu, partira d'une base sécurisée plutôt que d'un incident.

Apache CXF - Never-Ending Support (NES)

Sécurité, conformité et continuité : des défis à relever ensemble

Grâce à notre solution de remplacement sécurisée et prête à l'emploi pour les versions d'Apache CXF arrivées en fin de vie, vos scanners cesseront définitivement de signaler les vulnérabilités CVE présentes dans ces versions.

Sécurité

Les versions 3.4.x et 3.5.x d'Apache CXF ne bénéficient plus de correctifs de sécurité en amont. NES publie des versions maintenues afin que les nouvelles vulnérabilités (CVE) identifiées dans le framework soient corrigées au fur et à mesure, plutôt que de s'accumuler.

La mise à disposition des correctifs dans le cadre du SLA est liée au niveau de gravité

HeroDevs est une autorité de numérotation CVE agréée qui publie les vulnérabilités découvertes.

Conformité

Chaque version de NES pour Apache CXF est fournie avec des instructions VEX de HeroDevs, à raison d’une par CVE, indiquant précisément l’artefact et la version contenant le correctif.

SOC 2, PCI DSS, HIPAA, FedRAMP, ISO 27001, NIS2 et bien d'autres encore

Historique documenté des correctifs à l'intention des auditeurs

Continuité des activités

Chaque version prise en charge d'Apache CXF nécessite au minimum Java 11, et la version 4.x impose également le passage à l'espace de noms jakarta.*. Si votre application fonctionne sous Java 8, il n'existe aucune version en amont vers laquelle migrer. NES continue d'assurer la prise en charge de cette version pendant que vous effectuez la migration.

Il faudra des mois, voire des années, pour mener à bien cette migration

Une fraction du coût de la migration ou du coût d'une faille de sécurité.

Les versions 3.4 et 3.5 d'Apache CXF ne font plus l'objet de mises à jour en amont. Le dernier correctif pour la version 3.5 était le 3.5.11, publié en mars 2025 ; le dernier correctif pour la version 3.4 était le 3.4.10, publié en décembre 2022 ; et tous les avis de sécurité CXF publiés depuis lors ne contiennent des correctifs que pour les versions 3.6 et 4.x. Les deux branches comportent désormais des vulnérabilités CVE non corrigées dans leur dernière version en amont.

Chaque correctif que nous publions fait l'objet d'une entrée CVE publiée

HeroDevs est une autorité de numérotation CVE (CNA) agréée, habilitée par le programme CVE à identifier et à attribuer des identifiants CVE aux failles de sécurité découvertes par HeroDevs.

Chaque version de NES pour Apache CXF est fournie avec des déclarations VEX de HeroDevs, à raison d’une par CVE, indiquant précisément l’artefact et la version contenant le correctif.

Si vous utilisez actuellement des versions héritées d’Apache CXF, vos applications sont exposées aux vulnérabilités ci-dessous. NES for Apache CXF les corrige en quelques minutes.

17 vulnérabilités CVE corrigées — et ce n'est pas fini

Sévérité

CVE

Catégorie

Version(s) affectée(s)

Date de publication

Faible

CVE-2026-108039

Déni de service

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Faible

CVE-2026-86463

Déni de service par expression régulière

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Moyen

CVE-2026-78384

Déni de service

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Moyen

CVE-2026-100227

Falsification de signature

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-79650

URL Redirect/Open Redirect

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-97791

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Faible

CVE-2026-73179

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-107938

Validation incorrecte du certificat

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-97468

Authentification faible

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

9 octobre 2026

Faible

CVE-2026-71575

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

9 octobre 2026

Faible

CVE-2026-107937

Déni de service

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

9 octobre 2026

Haut

CVE-2026-57818

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Haut

CVE-2025-23184

Déni de service

<3.5.10, >=3.6.0 <3.6.5, >=4.0.0 <4.0.6

1er octobre 2026

Moyen

CVE-2024-32007

Déni de service

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

1er octobre 2026

Critique

CVE-2024-28752

Falsification de requête côté serveur

<3.5.8, >=3.6.0 <3.6.3, >=4.0.0 <4.0.4

1er octobre 2026

Haut

CVE-2026-65432

Restriction incorrecte des références à des entités externes XML

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Moyen

CVE-2026-44618

Restriction incorrecte des références à des entités externes XML

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

1er octobre 2026

Critique

CVE-2026-66909

Exécution de code à distance

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Moyen

CVE-2026-50634

Falsification de signature

>=3.0.3 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Critique

CVE-2026-68079

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Haut

CVE-2026-50631

Exécution concurrente utilisant une ressource partagée avec une synchronisation inadéquate

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Haut

CVE-2026-54225

Déni de service

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Haut

CVE-2026-57817

Vérification insuffisante de l'authenticité des données

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Haut

CVE-2026-64958

Déni de service

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Critique

CVE-2026-44930

Exposition à l'information

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

1er octobre 2026

Haut

CVE-2026-57819

Déni de service

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Moyen

CVE-2026-50629

Injection de journaux

>=3.1.7 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Critique

CVE-2026-50627

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Moyen

CVE-2026-50630

Usurpation de contenu

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Haut

CVE-2026-50645

Déni de service

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Critique

CVE-2026-61466

Contournement de l'autorisation

>=3.1.8 <3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

1er octobre 2026

Critique

CVE-2026-49875

Restriction incorrecte des références à des entités externes XML

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Haut

CVE-2026-50633

Exécution de code à distance

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

1er octobre 2026

Haut

CVE-2024-29736

Falsification de requête côté serveur

<3.5.9, >=3.6.0 <3.6.4, >=4.0.0 <4.0.5

29 septembre 2026

Haut

CVE-2026-50632

Exécution de code à distance

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

29 septembre 2026

Critique

CVE-2025-48913

Exécution de code à distance

<3.6.8, >=4.0.0 <4.0.9, >=4.1.0 <4.1.3

29 septembre 2026

Moyen

CVE-2026-50623

Contournement de l'autorisation

>=3.1.5 <3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

26 septembre 2026

Haut

CVE-2026-68481

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

26 septembre 2026

Critique

CVE-2026-65583

Authentification faible

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

26 septembre 2026

Haut

CVE-2026-44417

Exécution de code à distance

<3.6.11, >=4.0.0 <4.1.6, >=4.2.0 <4.2.1

26 septembre 2026

Critique

CVE-2026-50628

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.7, >=4.2.0 <4.2.2

26 septembre 2026

Critique

CVE-2026-63687

Contournement de l'autorisation

<3.6.12, >=4.0.0 <4.1.8, >=4.2.0 <4.2.3

26 septembre 2026

Sévérité

ID

Catégorie

Version(s) affectée(s)

Date de publication

Faible

CVE-2026-108039

Déni de service

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Faible

CVE-2026-86463

Déni de service par expression régulière

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Moyen

CVE-2026-78384

Déni de service

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Moyen

CVE-2026-100227

Falsification de signature

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-79650

URL Redirect/Open Redirect

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-97791

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Faible

CVE-2026-73179

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-107938

Validation incorrecte du certificat

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

14 octobre 2026

Haut

CVE-2026-97468

Authentification faible

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

9 octobre 2026

Faible

CVE-2026-71575

Contournement de l'autorisation

<3.6.13, >=4.0.0 <4.1.9, >=4.2.0 <4.2.4

9 octobre 2026

Obtenir de l'aide

Voir l'annuaire complet

Ce que publie NES pour Apache CXF

Tous les artefacts org.apache.cxf (exécution, transport, sécurité, outils et intégration) publiés par l'amont pour les versions 3.4.10 et 3.5.11 sont disponibles sous les coordonnées NES. Les harnais de test, les archétypes et les tests d'intégration OSGi ne sont pas destinés aux clients et ne sont donc pas affichés.

Noyau et transports

cxf-core

cxf-rt-transports-http

cxf-rt-transports-jms

cxf-rt-transports-http-netty-client

cxf-rt-transports-http-jetty

cxf-rt-transports-http-undertow

SOAP et WS-*

cxf-rt-frontend-jaxws

cxf-rt-bindings-soap

cxf-rt-databinding-jaxb

cxf-rt-wsdl

cxf-rt-ws-security

cxf-rt-ws-rm

cxf-rt-ws-transfer

cxf-services-sts-core

Sécurité REST et JAX-RS

cxf-rt-frontend-jaxrs

cxf-rt-rs-client

cxf-rt-rs-security-oauth2

cxf-rt-rs-security-sso-oidc

cxf-rt-rs-security-jose-jaxrs

cxf-rt-rs-security-xml

cxf-rt-rs-extension-search

Intégration

cxf-spring-boot-starter-jaxws

cxf-spring-boot-starter-jaxrs

cxf-spring-boot-autoconfigure

cxf-intégration-cdi

cxf-intégration-jca

Créer des outils

cxf-codegen-plugin

cxf-java2ws-plugin

cxf-wadl2java-plugin

cxf-wsdl-validator-plugin

Une réponse solide pour chaque norme, cadre ou réglementation.

Les logiciels en fin de vie (EOL) compromettent les attentes en matière de gestion des correctifs dans le cadre des réglementations internationales. NES vous propose une version maintenue et prise en charge par le fournisseur, assortie de contrats de niveau de service (SLA) garantis et d'un historique documenté des correctifs, afin de démontrer votre conformité aux auditeurs et aux autorités de régulation.

PCI DSS

États-Unis

La exigence 6.3.3 impose que les vulnérabilités connues de niveau « critique » et « haute gravité » soient corrigées dans un délai de 30 jours. L'utilisation d'Apache CXF en fin de vie (EOL) sans correctif en amont vous met en situation de non-conformité. NES rétablit la chaîne de correctifs.

HIPAA

États-Unis

Les infrastructures non prises en charge compliquent la mise en place de mesures de sécurité adéquates pour les systèmes traitant des données de santé électroniques protégées (ePHI). NES assure une maintenance active et une réduction des risques.

SOC 2

Mondial

Les critères relatifs aux services de confiance exigent une correction rapide des vulnérabilités et une gestion efficace des correctifs. Les dépendances en fin de vie (EOL) donnent lieu à des constatations significatives lors des audits, à moins qu’il n’existe une solution de remplacement. NES constitue cette solution de remplacement.

NIS2

UE

L'article 21 traite de la gestion des correctifs, des vulnérabilités et de la chaîne d'approvisionnement. L'utilisation de logiciels en fin de vie (EOL) sans support technique continu présente un risque que la directive NIS2 attend des opérateurs qu'ils s'efforcent activement d'atténuer.

DORA

UE

DORA considère les logiciels en fin de vie (EOL) comme une faille de résilience pour les actifs informatiques financiers. NES vous propose une version maintenue et un programme documenté de gestion des correctifs.

Loi sur la cyber-résilience

UE

Assure la sécurité tout au long du cycle de vie logiciel des produits comportant des éléments numériques. NES vous fournit une version maintenue et corrigée de votre gamme Apache CXF en fin de vie (EOL) pendant toute la durée de couverture.

NIST CSF 2.0

États-Unis

La directive PR.PS-02 impose aux organisations de maintenir activement à jour ou de supprimer les logiciels vulnérables en fonction des risques. NES permet de se conformer à cette directive sans mise à jour forcée.

FedRAMP

États-Unis

La surveillance continue implique la correction des failles selon une fréquence définie. Une version corrigée et prise en charge par le fournisseur fournit à votre responsable de la sécurité des systèmes d'information (ISSO) la procédure de correction documentée nécessaire pour justifier le maintien d'Apache CXF en fin de vie (EOL) dans le périmètre d'autorisation.

Contrats commerciaux

MONDIAL

Les mesures de gestion des vulnérabilités et des configurations impliquent d'identifier les vulnérabilités techniques et de veiller à ce que les logiciels respectent les normes de sécurité. NES rétablit cette conformité pour les logiciels en fin de vie.

Nous collaborons avec des ingénieurs spécialisés dans l'open source et des contributeurs de l'écosystème afin de garantir que nos produits « Never-Ending Support » offrent la même qualité que celle à laquelle vous êtes habitués avec les versions originales.

En faisant appel à des ingénieurs possédant une expertise approfondie du projet, nous établissons une nouvelle norme en matière de maintenance des logiciels open source afin de garantir que NES pour Apache CXF soit aussi fiable que la technologie en amont sur laquelle il repose.

Nous contribuons à l'open source

Les responsables de projets open source accomplissent un travail essentiel, mais sont rarement rémunérés pour cela.

HeroDevs investit 20 millions de dollars pour changer la donne : l'organisation finance les créateurs et les projets qui assurent le bon fonctionnement de l'écosystème, grâce à des subventions allant de 2 500 à 250 000 dollars.

Nous avons écrit des correctifs pour des bases de code non maintenues, identifié des vulnérabilités que personne d’autre n’avait repérées et assuré le fonctionnement sécurisé de systèmes critiques sans avoir à les réécrire à la hâte. Ce fonds s’appuie sur ce travail afin que les mainteneurs puissent continuer à faire ce qu’ils font le mieux.

En savoir plus →

Questions fréquemment posées

Ressources

Voir tous les articles

Conformité

6 novembre 2026

Du RGPD à la CRA de l'UE : l'époque du « mieux possible » est révolue pour les logiciels libres

Le délai de déclaration prévu par la loi européenne sur la cyber-résilience a débuté le 11 septembre 2026. Les outils PHP2Shell et HTTP2Shell ont montré ce que cela implique pour les logiciels développés à partir de logiciels libres.

Conformité

11 novembre 2026

Directive européenne sur la responsabilité du fait des produits : le problème de l'open source en fin de vie

Ce que toute entreprise commercialisant des logiciels dans l’Union européenne doit savoir avant le 9 décembre 2026. Découvrez comment la directive PLD traite les logiciels open source en fin de vie et les mesures concrètes à prendre.

Annonces

5 novembre 2026

Présentation d'Evergreen : correction des vulnérabilités CVE dans l'ensemble de votre application

HeroDevs lance Evergreen, une solution permettant de corriger les vulnérabilités CVE dans l'ensemble de votre application. Lorsqu'une dépendance ne bénéficie d'aucun correctif en amont, vous disposez d'un remplacement prêt à l'emploi.