Apache a corrigé une vulnérabilité critique de son serveur HTTP qui pourrait permettre l’exécution de code à distance (RCE) sans authentification. La faille a été signalée de manière indépendante par des chercheurs d’Anthropic et de Google.
- Apache corrige une faille critique d’exécution de code à distance dans le module mod_http2 de HTTP Server.
- Les versions 2.4.55 à 2.4.70 sont touchées, et seuls les serveurs ayant HTTP/2 activé sont vulnérables.
- Anthropic et Google ont signalé la faille de manière indépendante, et Red Hat lui attribue un score CVSS de 9,8.
- Apache recommande la mise à jour vers la version 2.4.71, ou la désactivation temporaire de HTTP/2 si la mise à jour est impossible.
Une faille dans le module HTTP/2
Répertoriée sous le nom CVE-2026-119618, la faille touche les versions d’Apache HTTP Server de 2.4.55 à 2.4.70. Elle a été corrigée le 11 novembre avec la sortie de la version 2.4.71. Elle se situe dans mod_http2, le module chargé de traiter le trafic HTTP/2, un protocole de communication entre navigateurs et serveurs.
La vulnérabilité repose sur une condition de concurrence (ou « race condition »), situation dans laquelle plusieurs processus accèdent de façon inappropriée à une même ressource partagée, ce qui peut corrompre la mémoire du serveur. Selon Red Hat, un attaquant pourrait exploiter ce défaut à distance, sans authentification, pour exécuter des commandes arbitraires et prendre le contrôle du processus serveur. L’éditeur lui a attribué un score CVSS de 9,8, sur une échelle qui en compte 10. Red Hat précise que « seuls les serveurs qui ont HTTP/2 activé sont affectés ; les serveurs configurés pour ne servir que HTTP/1.1 ne sont pas vulnérables ».
Des signalements indépendants et des précautions
Apache a crédité le scanner OSS d’Anthropic d’avoir signalé la faille le 26 octobre. Anthony Weems et Simon Scannell, de Google Cloud Vulnerability Research, ont signalé la même vulnérabilité de leur côté, le 3 novembre.
De son côté, la société de sécurité cloud Wiz indique que 64 % des environnements cloud de ses données contenaient des ressources exécutant des versions d’Apache concernées, et que 51 % comptaient des instances exposées publiquement. Wiz met toutefois en garde : ces chiffres ne tiennent pas compte de la configuration des serveurs et ne correspondent donc pas nécessairement à des installations exploitables. Selon Wiz, lorsque son billet de blog a été publié le 11 novembre, aucun exploit n’était disponible et aucune exploitation dans la nature n’avait été signalée.
Red Hat affirme que des recherches publiques ont démontré l’existence d’un exploit fiable contre un serveur doté de mod_http2 activé, sans que son avis de sécurité n’identifie ces travaux. Une preuve de concept publiée sur GitHub fait état de la reproduction d’une corruption de mémoire et de plantages du processus Apache, mais ne démontre pas l’exécution de code à distance.
Apache recommande d’installer la version 2.4.71 ou les paquets fournis par les éditeurs de distributions. Si les mises à jour ne peuvent pas être déployées immédiatement, la désactivation de HTTP/2 peut empêcher temporairement l’exploitation. Un autre avertissement souligne que les mises à jour de sécurité de WordPress ne peuvent pas résoudre le problème, puisque la faille touche le serveur web sous-jacent.
La version 2.4.71 corrige aussi deux autres vulnérabilités : la CVE-2026-106023, jugée importante, qui peut provoquer le plantage de processus serveur, et la CVE-2026-109163, de faible gravité, un dépassement de tampon sur la pile.
