Vulnérabilité critique dans Apache HTTP Server

Produits concernés

• Apache HTTP Server version 2.4.55 à 2.4.70

• Module mod_h2 (distribution autonome) version 2.0.8 à 2.0.42

Prérequis

• Accès réseau au serveur web Apache

• Module mod_http2 chargé et protocole HTTP/2 activé (h2 ou h2c dans la directive Protocols)

Risques

• Exécution de code arbitraire

• Déploiement de malware sur l'actif

• Exfiltration de données sensibles

• Accès au réseau interne de l'entreprise

Résumé

Une vulnérabilité critique de type "Exécution de code arbitraire" affectant Apache HTTP Server a récemment été publiée par l'Apache Software Foundation le 11 novembre 2026.

Le niveau de criticité initial de cette vulnérabilité est de 9.8 (score CVSSv3.1 attribué par Red Hat).

Apache HTTP Server est l'un des serveurs web les plus utilisés au monde, chargé de délivrer les sites et applications web aux utilisateurs.

• CVE-2026-119618 : Une vulnérabilité de type "race condition" dans la fonction assign_headers() du module mod_http2 pourrait permettre à un attaquant distant non authentifié de provoquer une corruption de la mémoire du serveur. L'exploitation de cette CVE pourrait permettre à l'attaquant d'exécuter du code arbitraire avec les privilèges du processus du serveur web, puis de rebondir vers le réseau interne.

À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants ou d'exploit public n'a été remontée.

Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.

Solutions

Détection de la compromission :

Afin de vérifier si un serveur est concerné ou compromis, vous pouvez :

• Vérifier si le module mod_http2 est chargé : httpd -M | grep http2 (RHEL et dérivés) ou présence du paquet libapache2-mod-http2 (Debian et Ubuntu)

• Surveiller dans les journaux Apache les plantages inhabituels ou redémarrages répétés de processus enfants, qui peuvent signaler des tentatives d'exploitation

Aucun indicateur de compromission public n'est disponible à l'heure de l'émission de ce bulletin.

Remédiation

Mettre à jour Apache HTTP Server vers la version :

• 2.4.71 et supérieures

Pour les serveurs installés via les paquets d'une distribution Linux, vérifier dans l'avis de sécurité de l'éditeur de la distribution que le correctif a été rétroporté, le numéro de version pouvant rester inchangé.

Mitigation

Aucune mitigation officielle n'est communiquée par l'éditeur. En attendant le déploiement du correctif :

• Désactiver HTTP/2 en limitant les protocoles à HTTP/1.1 avec la directive Protocols http/1.1, après avoir vérifié l'impact sur les clients et les performances