Raspbian is een afgeleide van Debian, en de versie van apache2 is om precies te zijn 2.4.38-3+deb10u5, dezelfde versie als in Debian "buster" (sinds zeer recent is dat niet meer de stabiele versie maar "oldstable", Debian "bullseye" is uitgekomen). Debian "buster" wordt nog zeker een jaar actief ondersteund. Wat Debian al tientallen jaren doet is om in een stabiele release in beginsel geen wijzigingen te introduceren die compatibiliteitsproblemen kunnen veroorzaken. Omdat er meestal ruwweg twee jaar zit tussen nieuwe major releases van Debian zie je verouderde pakketversies. Wat Debian wél actief doet doet is security fixes uit nieuwere versies overnemen in de versie die ze voeren. Dat betekent dat je niet zomaar uit (in dit geval) het apache-versienummer kan concluderen dat er kwetsbaarheden zijn, omdat de kwetsbaarheden uit upstream apache 2.4.38 in Debian gerepareerd zijn. Vandaar de Debian-eigen toevoegingen aan het versienummer, 2.4.38-3+deb10u5. Aangezien Raspbian "buster" hetzelfde versienummer ...