Apache a corrigé une vulnérabilité critique dans Apache HTTP Server. Le bug se trouve dans le module HTTP/2 et peut permettre à un attaquant d’exécuter son propre code sur le serveur.
Apache corrige un bug qui concerne un grand nombre de serveurs web dans le monde. Selon W3Techs, Apache HTTP Server est le serveur web de 20,9 pour cent des sites dont le serveur web est connu. Seuls Cloudflare Server (33,7 pour cent) et Nginx (30 pour cent) sont plus répandus. Le correctif figure dans la version 2.4.71, qu’Apache a publiée le 11 novembre.
La faille porte la référence CVE-2026-119618 et la mention critique, le score de gravité le plus élevé qu’utilise Apache. Elle a été signalée par l’OSS Scanner d’Anthropic ainsi que par Anthony Weems et Simon Scannell de Google Cloud Vulnerability Research.
Requêtes simultanées
HTTP/2 est une version du protocole par lequel les navigateurs et les serveurs web communiquent entre eux. Il permet de traiter plusieurs requêtes à la fois via une seule connexion. C’est lors de ce travail simultané que le problème survient. Plusieurs tâches accèdent à la même zone de mémoire, sans que le module ne régule correctement qui peut la modifier et quand.
Des criminels qui provoquent cette situation de manière ciblée peuvent corrompre la mémoire du serveur. Selon Apache, un attaquant peut ainsi exécuter son propre code sur le serveur à distance.
Versions vulnérables
Les versions 2.4.55 à 2.4.70 sont touchées, et uniquement si le module HTTP/2 (mod_http2) est actif. Le module autonome mod_h2 sur GitHub est lui aussi vulnérable, dans les versions 2.0.8 à 2.0.42.
Les 20,9 pour cent de W3Techs constituent donc un plafond. Les serveurs dont la version est antérieure à 2.4.55 ou qui n’utilisent pas HTTP/2 ne sont pas touchés par cette faille. On ignore combien de serveurs Apache remplissent ces deux conditions.
Les administrateurs qui utilisent une version touchée peuvent passer à la version 2.4.71. Celle-ci corrige aussi deux autres failles, dont Apache juge l’une importante. Apache ne mentionne pour aucune des trois qu’elles sont déjà exploitées. Si une mise à jour rapide est impossible, il suffit de désactiver temporairement le module HTTP/2.