Apache HTTP Server 2.4.71 corrige une exécution de code à distance dans mod_http2

La fondation Apache a publié le 11 novembre 2026 Apache HTTP Server 2.4.71, qui corrige CVE-2026-119618, une faille critique de mod_http2 pouvant mener à une exécution de code à distance. L’avis vise les versions 2.4.55 à 2.4.70 du serveur, et les versions 2.0.8 à 2.0.42 du module mod_h2 publié à part. Le correctif du module est une version plus récente que 2.0.42.

La phrase de l’avis Apache parle d’une exécution concurrente sur une ressource partagée et d’une synchronisation insuffisante dans mod_http2. Red Hat précise que le scénario qu’il décrit ne vaut que si HTTP/2 est activé. L’avis Apache lu ne donne pas de contournement.

Un score de 9,8, et une nuance sur Red Hat Enterprise Linux

La page Red Hat de CVE-2026-119618 annonce une sévérité critique et un score de base 9,8, avec le vecteur CVSS 3.1 AV:N, AC:L, PR:N, UI:N, S:U, C:H, I:H, A:H. Dans le tableau lu, le score NVD et celui de cve.org étaient encore marqués non disponibles. Red Hat écrit qu’une recherche publique a montré un exploit fiable contre un serveur en configuration par défaut avec mod_http2.

Red Hat Enterprise Linux 9 et 10 sont classés importants, et non critiques, parce que chaque flux HTTP/2 y a son propre allocateur. Red Hat Enterprise Linux 8 et les versions antérieures ne sont pas affectés. Le code en cause est absent de mod_http2 avant 2.0.8. La ligne Bugzilla de Red Hat mentionne CWE-20. Ce n’est pas la formulation de l’avis Apache, et elle ne la remplace pas.

L’avis Apache remercie l’outil de recherche de code ouvert d’Anthropic, identifiant ANT-2026-MAPKT6MZ, pour un signalement du 26 octobre 2026, puis Anthony Weems et Simon Scannell, de Google Cloud Vulnerability Research, pour un signalement du 3 novembre 2026. La page Red Hat ne remercie que ces deux chercheurs.

Pas d’exploitation signalée le jour du correctif, et un contournement côté Wiz

Merav Bar, chez Wiz, écrit le 11 novembre 2026 qu’au moment de la publication aucun exploit n’était disponible et qu’aucune exploitation n’était signalée. Les données de Wiz disent que 64 % des environnements d’informatique en nuage ont une ressource vulnérable, et que 51 % ont une instance exposée publiquement. Ces deux pourcentages ne tiennent pas compte de la configuration, donc pas du fait que HTTP/2 soit réellement actif.

Le corps du billet Wiz dit de passer à une version de mod_h2 plus récente que 2.0.42. Un tableau du même billet écrit « 2.0.24 et plus récent », ce qui reste dans la plage affectée annoncée par Apache, jusqu’à 2.0.42. Ce 2.0.24 n’est pas un correctif. En attendant la mise à jour, Wiz indique de retirer HTTP/2. Le bloc de configuration n’est pas recopié ici.

Deux autres corrections dans la même version

La 2.4.71 emporte aussi CVE-2026-106023, classée importante : un plantage d’un processus enfant dans mod_md, pour les versions 2.4.30 à 2.4.70. Et CVE-2026-109163, classée basse, dans mod_vhost_alias, pour les versions 2.4.69 et 2.4.70 seulement.

Debian : le correctif est dans sid, pas dans les versions stables lues

Le suivi Debian de CVE-2026-119618, lu pour cette version des paquets, marque apache2 comme vulnérable dans bookworm (2.4.68-1~deb12u1, et 2.4.67-1~deb12u3 côté sécurité), dans trixie (2.4.68-1~deb13u1, et 2.4.69-1~deb13u1 côté sécurité) et dans forky (2.4.69-1). Sid est corrigé avec 2.4.71-1. Les statuts Ubuntu et Amazon Linux n’ont pas été vérifiés.

Le catalogue des failles connues comme exploitées de la CISA, version 2026.11.10, publié le 10 novembre 2026 et relu le 13 novembre, compte 1 779 fiches. CVE-2026-119618 n’y figure pas, et aucune fiche n’a été ajoutée les 11, 12 ou 13 novembre.

Sources

Fondation Apache, avis Apache HTTP Server 2.4, version 2.4.71 publiée le 11 novembre 2026.

Red Hat, page CVE-2026-119618. Merav Bar, Wiz, billet du 11 novembre 2026.

Debian, suivi de CVE-2026-119618. CISA, catalogue JSON relu le 13 novembre 2026, version 2026.11.10.