Le serveur web libre, open source et multiplateforme Apache corrige une faille critique dans HTTP/2 permettant l'exécution de code à distance sur les serveurs Web

Apache corrige une faille critique dans HTTP/2 permettant l'exécution de code à distance sur les serveurs Web. La faille est répertoriée sous le numéro CVE-2026-119618 et affecte mod_http2. Le correctif a été publié le 11 novembre 2026 dans la version 2.4.71 du serveur HTTP Apache. En termes simples, deux parties du code peuvent accéder simultanément à la même zone de mémoire. Cela peut endommager le tas (heap), c’est-à-dire la zone de mémoire utilisée par un programme pendant son exécution, et conduire à l’exécution de code à distance. Apache a publié le correctif le 11 novembre, environ deux semaines après le premier signalement.

Le serveur HTTP Apache est un serveur web libre, open source et multiplateforme, distribué sous licence Apache 2.0. Il est développé et maintenu par une communauté de développeurs, sous l'égide de l'Apache Software Foundation. La grande majorité des instances d'Apache fonctionnent sur une distribution Linux, mais les versions actuelles fonctionnent également sous Microsoft Windows, OpenVMS, et sur une grande variété de systèmes de type Unix. Les versions antérieures fonctionnaient également sous NetWare, OS/2 et d'autres systèmes d'exploitation, y compris des portages sur des ordinateurs centraux.

Récemment, Apache a corrigé un bug critique dans son module HTTP/2 qui pouvait permettre à un attaquant distant d'exécuter du code sur un serveur web. La faille est répertoriée sous le numéro CVE-2026-119618 et affecte mod_http2. Le correctif a été publié le 11 novembre 2026 dans la version 2.4.71 du serveur HTTP Apache. Le bogue se trouve dans une fonction appelée assign_headers(). Apache explique qu’il s’agit d’un problème de concurrence, dans lequel des ressources partagées sont utilisées sans verrouillage approprié.

En termes simples, deux parties du code peuvent accéder simultanément à la même zone de mémoire. Cela peut endommager le tas (heap), c’est-à-dire la zone de mémoire utilisée par un programme pendant son exécution, et conduire à l’exécution de code à distance. Selon l’échelle d’impact d’Apache, la mention « Critique » est réservée aux failles qu’un attaquant distant pourrait exploiter pour exécuter du code sur un serveur. Il s’agit du type de failles susceptibles de se propager de manière autonome, à l’instar d’un ver.

L’entrée CVE est toujours marquée comme « réservée » ; il n’existe donc pas encore de score CVSS public ni de description technique détaillée. Les administrateurs ne doivent pas attendre ces informations avant d’appliquer le correctif. Les versions 2.4.55 à 2.4.70 du serveur HTTP Apache sont concernées. Les utilisateurs qui exécutent le module autonome mod_h2 disponible sur GitHub doivent vérifier les versions 2.0.8 à 2.0.42. Les serveurs traitant du trafic HTTP/2 sont les plus exposés, car la faille réside dans ce module.


L’OSS Scanner d’Anthropic a détecté la faille et l’a signalée à l’équipe de sécurité d’Apache le 26 octobre 2026. Anthony Weems et Simon Scannell, de Google Cloud Vulnerability Research, l’ont signalée de leur propre initiative le 3 novembre. Apache a publié le correctif le 11 novembre, environ deux semaines après le premier signalement. Le fait que deux équipes aient découvert le même bug en l’espace de quelques jours montre à quel point les chercheurs s’intéressent au code HTTP/2.

Cette même version corrige deux autres failles. La faille CVE-2026-106023 est classée « importante » et se trouve dans mod_md. Une erreur de pointeur NULL à cet endroit peut provoquer le plantage d’un processus fils lors du traitement d’une requête ; elle affecte les versions 2.4.30 à 2.4.70. La faille CVE-2026-109163, classée « faible », correspond à un débordement de pile d’un octet dans mod_vhost_alias. Elle n’affecte que les versions 2.4.69 et 2.4.70. Cela s’inscrit dans une longue série de correctifs Apache cette année. La version 2.4.69, sortie en octobre, a corrigé 20 CVE, tandis que la version 2.4.68, sortie en juin, en a corrigé 13. Cyber Security News a couvert la mise à jour d’octobre dans son rapport sur plusieurs failles du serveur HTTP Apache pouvant permettre l’exécution de code.

Le protocole HTTP/2 a également constitué un point faible. En juin, l’exploit de déni de service « HTTP/2 Bomb » a touché les configurations HTTP/2 par défaut de plusieurs serveurs web populaires, dont Apache. De nombreux administrateurs qui avaient appliqué le correctif en octobre doivent désormais le faire à nouveau, quelques semaines seulement plus tard. C’est fastidieux, mais ce bogue est suffisamment grave pour justifier cette mesure. La mesure de prévention la plus appropriée consiste à passer à la version 2.4.71 du serveur HTTP Apache dès que possible. Commencez par les serveurs accessibles au public sur lesquels HTTP/2 est activé.

De nombreuses distributions Linux fournissent des correctifs de sécurité sans modifier le numéro de version ; vérifiez donc l’avis de sécurité de votre fournisseur et le journal des modifications du paquet avant de supposer qu’un serveur est toujours vulnérable. Apache n’a pas proposé de solution de contournement pour cette faille. Si vous ne pouvez pas effectuer la mise à jour immédiatement, une option consiste à limiter le serveur à HTTP/1.1 jusqu’à ce que la mise à jour soit effectuée. Testez d’abord cette modification, car elle peut affecter les performances et les clients. Surveillez également vos journaux à la recherche de plantages inhabituels ou de redémarrages des processus de travail, car ceux-ci peuvent indiquer que quelqu’un tente de sonder le serveur.

Ce rapport intervient alors que mi-octobre, l'équipe PHP a émis une alerte urgente concernant deux failles de sécurité critiques qui menacent des millions de sites Web dans le monde. Elles sont répertoriées sous les noms de CVE-2026-109618 et CVE-2026-109619, et évaluées à 9,2 sur 10 sur l'échelle de gravité. Une source a présenté un outil d'exploitation appelé PHP2Shell permettant d'exécuter du code à distance sur des serveurs vulnérables. Face à la menace de cyberattaques massives imminentes, les administrateurs sont invités à appliquer les correctifs en urgence. Un pan d'Internet est paralysé et les administrations publiques françaises ont mis leurs sites hors ligne par mesure de précaution.

Source : Rapport d'Apache

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Apocalypse des bogues : l'IA détecte les failles logicielles plus rapidement que les équipes de sécurité de Microsoft ne parviennent à les corriger. La dette technique du code hérité suscite des inquiétudes

Des experts en cybersécurité signalent une exploitation active de la faille *SSHole permettant aux pirates d'accéder à des appareils Linux via SSH. Les attaquants déploient des portes dérobées

Des centaines de sites Web mis hors ligne alors que deux failles de sécurité majeures dans PHP sèment la panique dans le monde : « mettez-les hors ligne si vous n'avez pas encore installé le correctif »