Apache corrige une faille critique d’exécution de code via HTTP/2

Apache a corrigé une faille critique de son serveur HTTP qui pourrait permettre à un attaquant non authentifié d’exécuter du code à distance. Dans une publication datée du 12 novembre 2026, BleepingComputer rapporte que la vulnérabilité, référencée CVE-2026-119618, concerne le module HTTP/2 d’Apache HTTP Server. Les administrateurs doivent appliquer le correctif ; à défaut, les chercheurs de watchTowr recommandent de désactiver HTTP/2 jusqu’à la mise à jour (BleepingComputer (ouvre bleepingcomputer.com dans un nouvel onglet)Aller vers bleepingcomputer.com).

Les versions concernées

La faille touche Apache HTTP Server dans les versions 2.4.55 à 2.4.70. Elle concerne aussi le module autonome mod_h2 dans les versions 2.0.8 à 2.0.42, selon BleepingComputer. Le problème se trouve dans mod_http2 et résulte d’une condition de concurrence : des opérations simultanées sur une ressource partagée peuvent provoquer une corruption de la mémoire du tas.

Si l’exploitation réussit, l’attaquant pourrait exécuter du code avec les privilèges du processus du serveur web. Cela peut lui donner la capacité de lancer des commandes sur la machine hébergeant le service, sans authentification préalable. La faille a été découverte par l’OSS Scanner d’Anthropic et les équipes de recherche en vulnérabilités de Google Cloud, indique le média.

HTTP/2 doit être activé

La présence d’une version vulnérable ne suffit pas, à elle seule, à rendre le serveur exploitable : HTTP/2 doit également être activé. BleepingComputer précise que cette option est désactivée par défaut. Il faut donc vérifier à la fois la version installée et la configuration du serveur.

Les données de télémétrie de Wiz citées par BleepingComputer montrent que 64 % des environnements cloud analysés disposent de ressources vulnérables. Environ la moitié de ces environnements auraient des instances exposées publiquement. Ces chiffres ne tiennent toutefois pas compte de l’activation de HTTP/2 et ne permettent donc pas d’établir combien de serveurs sont effectivement exploitables.

Appliquer le correctif ou désactiver le module

BleepingComputer rapporte que la Fondation Apache a corrigé la faille et recommande une mise à jour. Les chercheurs de watchTowr conseillent de corriger le système rapidement ou de désactiver HTTP/2 dans l’intervalle. Le média indique que Wiz ne connaissait alors aucun exploit public ni aucune attaque visant cette vulnérabilité, tout en avertissant que la situation pouvait évoluer.

La version la plus récente d’Apache HTTP Server corrige aussi deux autres problèmes, selon BleepingComputer : CVE-2026-106023, une erreur de pointeur nul dans mod_md, et CVE-2026-109163, une faille de faible gravité liée à l’écrasement de données dans mod_vhost_alias.