# Apache HTTP Server 2.4.71 corrige une exécution de code à distance dans mod_http2

> CVE-2026-119618 touche les versions 2.4.55 à 2.4.70 lorsque HTTP/2 est actif. Red Hat annonce 9,8. Le catalogue des failles exploitées de la CISA, relu le 13 novembre, ne la contient pas.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/apache-httpd-2-4-71-cve-2026-119618
- Auteur : Kelvyn
- Publié le : 13 novembre 2026 (2026-11-13T00:11:44.163Z)
- Rubrique : Cybersécurité
- Sujets : Debian, Apache HTTP Server, mod_http2, CVE-2026-119618, Red Hat
- Langue : français

La fondation Apache a publié le 11 novembre 2026 **Apache HTTP Server 2.4.71**, qui corrige CVE-2026-119618, une faille critique de mod_http2 pouvant mener à une exécution de code à distance. L’avis vise les versions 2.4.55 à 2.4.70 du serveur, et les versions 2.0.8 à 2.0.42 du module mod_h2 publié à part. Le correctif du module est une version plus récente que 2.0.42.

La phrase de l’avis Apache parle d’une exécution concurrente sur une ressource partagée et d’une synchronisation insuffisante dans mod_http2. Red Hat précise que le scénario qu’il décrit ne vaut **que si HTTP/2 est activé**. L’avis Apache lu ne donne pas de contournement.

## Un score de 9,8, et une nuance sur Red Hat Enterprise Linux

La page Red Hat de CVE-2026-119618 annonce une sévérité critique et un score de base **9,8**, avec le vecteur CVSS 3.1 AV:N, AC:L, PR:N, UI:N, S:U, C:H, I:H, A:H. Dans le tableau lu, le score NVD et celui de cve.org étaient encore marqués non disponibles. Red Hat écrit qu’une recherche publique a montré un exploit fiable contre un serveur en configuration par défaut avec mod_http2.

Red Hat Enterprise Linux 9 et 10 sont classés importants, et non critiques, parce que chaque flux HTTP/2 y a son propre allocateur. Red Hat Enterprise Linux 8 et les versions antérieures ne sont pas affectés. Le code en cause est absent de mod_http2 avant 2.0.8. La ligne Bugzilla de Red Hat mentionne CWE-20. Ce n’est pas la formulation de l’avis Apache, et elle ne la remplace pas.

L’avis Apache remercie l’outil de recherche de code ouvert d’Anthropic, identifiant ANT-2026-MAPKT6MZ, pour un signalement du 26 octobre 2026, puis Anthony Weems et Simon Scannell, de Google Cloud Vulnerability Research, pour un signalement du 3 novembre 2026. La page Red Hat ne remercie que ces deux chercheurs.

## Pas d’exploitation signalée le jour du correctif, et un contournement côté Wiz

Merav Bar, chez Wiz, écrit le 11 novembre 2026 qu’au moment de la publication aucun exploit n’était disponible et qu’aucune exploitation n’était signalée. Les données de Wiz disent que 64 % des environnements d’informatique en nuage ont une ressource vulnérable, et que 51 % ont une instance exposée publiquement. **Ces deux pourcentages ne tiennent pas compte de la configuration**, donc pas du fait que HTTP/2 soit réellement actif.

Le corps du billet Wiz dit de passer à une version de mod_h2 plus récente que 2.0.42. Un tableau du même billet écrit « 2.0.24 et plus récent », ce qui reste dans la plage affectée annoncée par Apache, jusqu’à 2.0.42. Ce 2.0.24 n’est pas un correctif. En attendant la mise à jour, Wiz indique de retirer HTTP/2. Le bloc de configuration n’est pas recopié ici.

## Deux autres corrections dans la même version

La 2.4.71 emporte aussi CVE-2026-106023, classée importante : un plantage d’un processus enfant dans mod_md, pour les versions 2.4.30 à 2.4.70. Et CVE-2026-109163, classée basse, dans mod_vhost_alias, pour les versions 2.4.69 et 2.4.70 seulement.

## Debian : le correctif est dans sid, pas dans les versions stables lues

Le suivi Debian de CVE-2026-119618, lu pour cette version des paquets, marque apache2 comme vulnérable dans bookworm (2.4.68-1~deb12u1, et 2.4.67-1~deb12u3 côté sécurité), dans trixie (2.4.68-1~deb13u1, et 2.4.69-1~deb13u1 côté sécurité) et dans forky (2.4.69-1). Sid est corrigé avec 2.4.71-1. Les statuts Ubuntu et Amazon Linux n’ont pas été vérifiés.

Le catalogue des failles connues comme exploitées de la CISA, version 2026.11.10, publié le 10 novembre 2026 et relu le 13 novembre, compte 1 779 fiches. CVE-2026-119618 n’y figure pas, et aucune fiche n’a été ajoutée les 11, 12 ou 13 novembre.

> La mise à jour vers 2.4.71, ou vers un mod_h2 plus récent que 2.0.42, est la correction. Retirer HTTP/2 est le contournement décrit par Wiz tant que le paquet n’est pas là. Un serveur qui n’active pas HTTP/2 n’est pas dans le scénario que Red Hat décrit pour cette faille.

## À retenir

- Apache HTTP Server 2.4.71, publié le 11 novembre 2026, corrige CVE-2026-119618 dans mod_http2, pour les versions 2.4.55 à 2.4.70.
- Red Hat annonce 9,8 et un exploit fiable sur une configuration par défaut, seulement si HTTP/2 est activé. RHEL 9 et 10 sont classés importants, RHEL 8 non affecté.
- Wiz, le jour du correctif, ne voyait ni exploit public ni exploitation signalée. Ses 64 % et 51 % ignorent la configuration.
- Debian sid a 2.4.71-1. Les paquets bookworm, trixie et forky lus sur le suivi restaient vulnérables.
- Le catalogue CISA du 10 novembre 2026, relu le 13, ne contient pas CVE-2026-119618.

## Sources

Fondation Apache, [avis Apache HTTP Server 2.4](https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-119618), version 2.4.71 publiée le 11 novembre 2026.

Red Hat, [page CVE-2026-119618](https://access.redhat.com/security/cve/cve-2026-119618). Merav Bar, Wiz, [billet du 11 novembre 2026](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability).

Debian, [suivi de CVE-2026-119618](https://security-tracker.debian.org/tracker/CVE-2026-119618). CISA, [catalogue JSON relu le 13 novembre 2026](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json), version 2026.11.10.

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/apache-httpd-2-4-71-cve-2026-119618