La fondation Apache a publié le 11 novembre 2026 la version 2.4.71 de son serveur web pour corriger CVE-2026-119618, une faille jugée critique dans le module HTTP/2 qui peut mener à l’exécution de code à distance. Toutes les versions de 2.4.55 à 2.4.70 sont concernées dès lors que HTTP/2 est activé. Aucune exploitation dans la nature n’était signalée par Wiz le 11 novembre, mais l’écart entre les évaluations publiées incite à ne pas attendre.
Une concurrence mal synchronisée au cœur de mod_http2
Le défaut se situe dans la fonction assign_headers() du module mod_http2, qui gère le protocole HTTP/2 dans Apache HTTP Server. D’après la page des vulnérabilités de la branche 2.4 tenue par le projet, il s’agit d’un problème d’accès concurrent à une ressource partagée sans synchronisation correcte, qui peut aboutir à une exécution de code à distance. Concrètement, deux traitements qui touchent la même zone mémoire au même moment peuvent la corrompre.
Selon l’analyse de Wiz, un attaquant distant et non authentifié pourrait ainsi corrompre le tas et, potentiellement, faire tourner ses propres commandes avec les droits du processus du serveur web. TheHackerWire nuance : une corruption non maîtrisée fait surtout tomber un processus, ce qui produit un déni de service ; pour aller jusqu’à l’exécution de code, il faut savoir agencer la mémoire afin d’écraser des pointeurs sensibles, ce qui suppose un attaquant aguerri.
Les serveurs qui ne parlent que HTTP/1.1 ne sont pas exposés, rappelle Rescana, qui cite l’évaluation de Red Hat. Le module mod_h2 distribué séparément sur GitHub est aussi touché, de la version 2.0.8 à la 2.0.42.
Une faille trouvée par deux équipes, dont un scanner d’IA
Le projet Apache crédite deux découvertes indépendantes. La première vient de l’outil OSS Scanner d’Anthropic, signalée le 26 octobre ; la seconde d’Anthony Weems et Simon Scannell, de l’équipe de recherche en vulnérabilités de Google Cloud, transmise le 3 novembre. Le correctif et la publication sont intervenus le même jour, le 11 novembre.
Ce détail compte : l’usage d’outils d’analyse automatisée, y compris fondés sur l’IA, pour fouiller les grands logiciels libres accélère la cadence des correctifs. LinuxCompatible relève que la version 2.4.70 n’avait que cinq jours, et que les versions 2.4.68 et 2.4.69 avaient corrigé respectivement 13 et 20 failles cette année. Le module HTTP/2 et les modules de proxy sont, selon le même site, ceux qui ont reçu le plus de correctifs en 2026.
La version 2.4.71 corrige aussi deux défauts moins graves : CVE-2026-106023, un déréférencement de pointeur nul dans mod_md, le module qui gère les certificats TLS, classé important et présent depuis la 2.4.30 ; et CVE-2026-109163, un débordement d’un octet dans mod_vhost_alias, de faible gravité.
Des évaluations qui divergent sur le risque réel
Le projet Apache qualifie la faille de critique sans donner de score chiffré. Rescana indique que Red Hat lui attribue 9,8 sur 10, tout en classant ses propres systèmes Enterprise Linux 9 et 10 en « important », car leur gestion de la mémoire par flux rendrait l’exploitation plus difficile.
Sur l’existence d’un code d’attaque, les sources ne s’accordent pas. Wiz affirmait le 11 novembre qu’aucun exploit n’était disponible. Rescana, qui cite SecurityWeek, rapporte qu’une preuve de concept publique reproduit une corruption mémoire et des plantages sans démontrer d’exécution de code, tandis que Red Hat évoque une recherche publique ayant obtenu une exploitation fiable sur une configuration par défaut. La faille n’était pas inscrite, au 13 novembre, au catalogue des vulnérabilités exploitées de l’agence américaine CISA.
L’exposition, elle, est large. Wiz estime que 64 % des environnements cloud qu’il observe contiennent des ressources vulnérables et que 51 % ont des instances exposées sur Internet, des chiffres qui ne tiennent pas compte de la configuration.
Ce que doivent faire les administrateurs
- Mettre à jour vers Apache 2.4.71, ou vers le paquet corrigé de sa distribution. Debian, Ubuntu et Red Hat ont publié des correctifs les 11 et 12 novembre, selon Rescana.
- Vérifier l’exposition : un serveur est concerné s’il tourne dans la plage vulnérable et charge le module http2. TheHackerWire propose de contrôler la version et la liste des modules chargés avec les commandes apache2ctl ou httpd.
- À défaut de correctif immédiat, limiter la directive Protocols à http/1.1 en retirant h2 et h2c, puis redémarrer, comme le recommandent Wiz et Red Hat. Ce n’est pas une solution validée par Apache, mais une mesure d’attente.
- Interroger ses prestataires : hébergeurs et éditeurs qui embarquent Apache doivent indiquer leur calendrier de mise à jour.
Attention aux numéros de version : les distributions rétroportent souvent les correctifs, si bien qu’un paquet affichant un numéro plus ancien peut être corrigé. C’est l’avis de sécurité de l’éditeur de la distribution qui fait foi.
Questions fréquentes
Mon site est-il vulnérable s’il n’utilise pas HTTP/2 ?
Non, selon l’évaluation reprise par Rescana : seuls les serveurs où HTTP/2 est activé sont concernés. Il faut toutefois vérifier la configuration réelle, avec les commandes de contrôle des modules indiquées plus haut.
La faille est-elle exploitée par des pirates ?
Wiz ne relevait aucune exploitation dans la nature le 11 novembre 2026, et la faille ne figurait pas au catalogue de la CISA le 13 novembre. Une preuve de concept provoquant des plantages circule, et l’existence d’une exploitation fiable fait débat entre les sources.
Quelle version corrige le module mod_h2 autonome ?
Les sources divergent : la page officielle d’Apache ne nomme aucune version corrigée, TheHackerWire cite la 2.0.43, et Rescana constatait le 13 novembre que la dernière version publiée sur GitHub restait la 2.0.42. Le plus sûr est de consulter le dépôt du projet avant de déployer.
Sources
- Apache HTTP Server 2.4 vulnerabilities — Apache Software Foundation, 2026-11-11
- Apache HTTP Server 2.4.71 releases critical HTTP/2 RCE fix — LinuxCompatible, 2026-11-11
- Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know — Wiz, 2026-11-11
- Critical alert: CVE-2026-119618 exposes Apache HTTP/2 servers to remote code execution — TheHackerWire, 2026-11-11
- Apache httpd mod_http2 CVE-2026-119618: patch now — Rescana, 2026-11-13