Apache HTTP Server 2.4.71 corrige une faille critique de son module HTTP/2

Apache HTTP Server, le serveur web libre de la fondation Apache, est passé le 11 novembre 2026 à la version 2.4.71. Elle corrige trois failles, dont une classée critique : CVE-2026-119618. Ce défaut du module HTTP/2 peut mener à l’exécution de code à distance, c’est-à-dire permettre à un attaquant de lancer ses propres commandes sur le serveur. Les versions 2.4.55 à 2.4.70 sont touchées. Tout administrateur d’un serveur Apache où HTTP/2 est activé doit donc appliquer le correctif.

HTTP/2 est la deuxième version du protocole qui transporte les pages web : elle fait circuler plusieurs requêtes en parallèle sur une même connexion. Dans Apache, c’est le module mod_http2 qui la prend en charge. L’avis de sécurité du projet situe la faille dans sa fonction assign_headers(). Plusieurs traitements simultanés y partagent des ressources sans synchronisation correcte. Le module distribué à part sur GitHub sous le nom mod_h2 est lui aussi touché, de la version 2.0.8 à la 2.0.42.

Selon la société de sécurité Wiz, un attaquant distant, sans aucun identifiant, peut ainsi corrompre la mémoire du serveur jusqu’à y exécuter du code. La mise à jour traite aussi une faille jugée importante du module mod_md, présente depuis la version 2.4.30. Elle peut faire planter l’un des processus qui traitent les requêtes. Une troisième faille, de gravité faible, touche le module mod_vhost_alias des seules versions 2.4.69 et 2.4.70.

Des avis divergents sur l’exploit

Les sources ne s’accordent pas sur la maturité des attaques. Red Hat, qui distribue Apache dans ses systèmes, affirme que des recherches publiques ont démontré un exploit fiable contre un serveur en configuration par défaut où mod_http2 est activé. Un exploit est un programme d’attaque ; fiable, il fonctionne de façon reproductible. Wiz écrivait au contraire le 11 novembre 2026, en publiant son analyse, qu’aucun exploit n’était disponible et qu’aucune attaque n’était signalée.

Le site spécialisé SecurityOnline ne relevait pas davantage, le 11 novembre 2026, d’attaque en cours ni de code d’exploitation public pour ces trois failles. À notre avis, la prudence s’impose malgré tout. Sur l’échelle de gravité d’Apache, le niveau critique désigne une faille qu’un attaquant distant pourrait exploiter pour faire exécuter du code arbitraire au serveur. Le projet ajoute que ces failles pourraient être exploitées automatiquement par des vers, ces programmes qui se propagent seuls de machine en machine.

Un outil d’analyse d’Anthropic, l’OSS Scanner, a signalé la faille à l’équipe de sécurité d’Apache le 26 octobre 2026. Anthony Weems et Simon Scannell, chercheurs de Google Cloud, l’ont découverte de leur côté et transmise le 3 novembre 2026. Ce correctif s’ajoute à une série chargée : la version 2.4.69, sortie en octobre 2026, corrigeait 20 failles référencées, contre 13 pour la 2.4.68, publiée en juin 2026.

Seuls les serveurs où HTTP/2 est activé sont concernés ; les serveurs configurés pour ne servir que HTTP/1.1 ne sont pas vulnérables.

Qui est exposé

Selon les données de Wiz, 64 % des environnements cloud hébergent des ressources vulnérables, et 51 % comptent des instances exposées publiquement. Ces chiffres ne tiennent pas compte de la configuration. Or une version touchée ne suffit pas à rendre un serveur attaquable : HTTP/2 doit aussi y être activé. Red Hat Enterprise Linux (RHEL) 8 et ses versions antérieures ne sont pas concernés. Red Hat juge la faille critique, mais retient le niveau Important pour RHEL 9 et 10 : chaque flux HTTP/2 y dispose d’une réserve de mémoire distincte, ce qui complique nettement l’exploitation.

Vérifier sa distribution

Les distributions Linux livrent leurs propres paquets corrigés. Pour s’assurer que le correctif est en place, CloudLinux conseille de chercher la référence CVE-2026-119618 dans le journal des modifications du paquet : une ligne qui la mentionne signifie que le paquet installé est corrigé. Si la mise à jour doit attendre, Wiz recommande de désactiver temporairement HTTP/2, en limitant à HTTP/1.1 la directive Protocols de la configuration. Les logiciels qui se connectent au site passent alors par HTTP/1.1. SecurityOnline suggère aussi de couper mod_http2 et mod_md quand ces modules ne servent pas.

Une TPE, une association ou un particulier peut confier son site à un hébergeur mutualisé, qui fait tourner de nombreux sites sur un même serveur. La mise à jour relève alors de ce prestataire : il suffit de lui demander s’il a appliqué le correctif. Ceux qui administrent leur propre serveur doivent installer sans attendre la version 2.4.71 ou les paquets corrigés de leur distribution. À notre avis, les machines exposées sur Internet où HTTP/2 est activé passent en premier. Comme l’ont montré les failles php2shell en octobre 2026, un serveur web laissé sans mise à jour devient vite une porte d’entrée.