# Faut-il mettre à jour Apache2 **URL:** \ **Category:** Support Debian\ **Tags:** buster, installation, apache\ **Created:** [Mars 8, 2021, 9:24 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179 "2021-03-08T09:24:38Z")\ **Posts on this page:** 5\ **Page:** 1
**Author:** ![Titum](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/t/a9adbd/32.png) [@Titum](https://www.debian-fr.org/u/Titum)\ **Post date:** [Mars 8, 2021, 9:24 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179/1 "2021-03-08T09:24:38Z")
Bonjour à tous, Je gère un VPS avec Debian 10. Il héberge un site pour un client. Le client a fait intervenir une entreprise pour réaliser un pentest et des vérifications de sécurité. Un des éléments ressortis est que la version d’Apache est 2.4.38 et qu’elle contient des problèmes de sécurité (plusieurs CVE) et je dois mettre à jour pour la dernière version (2.4.46). Or, apt ne me propose pas de mise à jour vers 2.4.46. De plus, cette discussion [https://unix.stackexchange.com/questions/404036/how-do-i-update-apache2-to-the-latest-version-on-debian-jessie](https://unix.stackexchange.com/questions/404036/how-do-i-update-apache2-to-the-latest-version-on-debian-jessie) indique que les patchs de sécurité sont réalisés par Debian sans changer le n° de version d’Apache donc il n’y aurait rien à faire. Pour finir, `apt-cache policy apache2` me sort : ``` apache2: Installed: 2.4.38-3+deb10u4 Candidate: 2.4.38-3+deb10u4 Version table: 2.4.46-4~bpo10+1 100 100 http://deb.debian.org/debian buster-backports/main amd64 Packages *** 2.4.38-3+deb10u4 500 500 http://deb.debian.org/debian buster/main amd64 Packages 500 http://security.debian.org buster/updates/main amd64 Packages 100 /var/lib/dpkg/status ``` Donc il y a bien une source pour la 2.4.46 mais elle n’est pas proposée. Que faire donc, à ce stade ? Je vous remercie pour vos éclairages ---
**Author:** ![anon70622873](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/278dde/32.png) [@anon70622873](https://www.debian-fr.org/u/anon70622873)\ **Post date:** [Mars 8, 2021, 9:37 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179/2 "2021-03-08T09:37:15Z")
Bonjour, Tu réponds toi-même à la question, les correctifs de sécurité ont été appliqués. Il n’y a donc rien à faire si ce n’est maintenir le système à jour. Un audit de sécurité cela ne consiste pas simplement à regarder les failles connues d’une version d’un logiciel lambda (CVE) et à recopier les recommandations de certains sites (changer de version). Il faut regarder le changelog des paquets installés pour voir si les correctifs des CVE concernés ont été appliqués : ```auto apt changelog apache2 ``` ---
**Author:** ![Titum](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/t/a9adbd/32.png) [@Titum](https://www.debian-fr.org/u/Titum)\ **Post date:** [Mars 8, 2021, 10:01 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179/3 "2021-03-08T10:01:22Z")
Ma question était d’avoir la certitude qu’au niveau sécurité, je fais ce qu’il faut. Le `apt changelog` me donne exactement ce dont j’avais besoin car en effet ça détaille les CVE mis à jour. Je vais pouvoir pleinement rassurer le client ! Merci beaucoup pour ta réponse et cette commande fort intéressante ! ---
**Author:** ![yatta](https://www.debian-fr.org/user_avatar/www.debian-fr.org/yatta/32/12132_2.png) [@yatta](https://www.debian-fr.org/u/yatta)\ **Post date:** [Mars 8, 2021, 10:54 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179/4 "2021-03-08T10:54:08Z")
> [@anon70622873](#): > > `apt changelog apache2` je ne connaissais pas cette commande 😃 je n’ai pas l’impression qu’elle soit documentée 😕 ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Mars 8, 2021, 12:25 UTC](https://www.debian-fr.org/t/faut-il-mettre-a-jour-apache2/84179/5 "2021-03-08T12:25:47Z")
super ! j’avais pratiquement la même question - mais sur d’aurtes paquets- > [@yatta](#): > > je n’ai pas l’impression qu’elle soit documentée elle l’est dans apt-get > changelog > changelog tente de télécharger le journal des modifications d’un paquet et l’affiche > avec sensible-pager. Par défaut, c’est le journal des modifications de la version > installée du paquet qui est affiché. Cependant, il est possible d’utiliser les mêmes > options que pour la commande install.