Plusieurs vulnérabilités touchant Apache HTTP Server ont été récemment mises au jour, affectant des versions variées du logiciel. Les problèmes varient, allant de dénis de service potentiels à des fuites d’informations sensibles, selon les rapports. Il ne s’agit pas d’un seul bug, mais d’une série de failles documentées à la fois par des équipes de recherche externes et par les mainteneurs du projet.

L’un des problèmes notoires concerne la gestion des cookies de session. Selon les données techniques, la faille CVE-2026-47360 permet à un attaquant distant d’exfiltrer des données confidentielles si le module mod_session_cookie n’est pas correctement géré lors des redirections internes. Cette vulnérabilité affecte les installations allant de la version 2.4.0 jusqu’à 2.4.68.

En parallèle, d’autres failles mettent en lumière des faiblesses dans les mécanismes d’authentification. La CVE-2026-48005 expose un manque de vérification d’authentification dans mod_auth_digest. Un client distant non authentifié peut provoquer un déni de service en forçant une ré-authentification si le Digest authentication est actif avec AuthDigestNcCheck. Cette faille, également présente sur les versions de 2.4.0 à 2.4.68, est classée de sévérité élevée (CVSS 7.5).

Les risques de stabilité et d’exécution de code

Au-delà des fuites de données, la stabilité des serveurs est directement menacée. Des failles liées à la gestion de mémoire, typiques des problèmes de type Use After Free ou de dépassement de tampon, sont également en jeu. Par exemple, une vulnérabilité de type Stack-based buffer overflow dans mod_vhost_alias permettrait à un client distant de provoquer un déni de service, voire potentiellement d’exécuter du code arbitraire, si la taille de l’en-tête Host dépasse 8192 octets, sous conditions spécifiques de configuration.

Par ailleurs, Ubuntu Security a signalé des failles spécifiques à son écosystème, liées notamment au non-traitement correct de certaines opérations mémoire ou au problème de gestion des cookies de session. Ces problèmes affectent des versions LTS telles qu’Ubuntu 14.04, 16.04, 18.04, 20.04, 22.04, 24.04 et 26.04, via la CVE-2026-46729.

Qui doit agir et comment

Le champ d’application est vaste, car ces failles touchent des couches différentes du logiciel, que ce soit les modules d’authentification ou le traitement des requêtes HTTP. Les versions affectées dans le cadre des rapports d’Apache HTTP Server s’étendent de 2.4.0 jusqu’à 2.4.68 pour les problèmes listés.

La recommandation la plus claire, et la plus urgente, est la mise à jour. Pour les utilisateurs d’Apache HTTP Server, les développeurs du projet recommandent de passer à la version 2.4.69 ou plus récente pour corriger l’ensemble des failles majeures mentionnées.

Il faut surveiller les mises à jour de la communauté Apache, car si les correctifs sont appliqués en branche développement « -dev », cela signifie qu’ils seront intégrés lors d’une prochaine version complète.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• USN-9016-1: Apache HTTP Server vulnerabilities, Ubuntu Security, 10 novembre 2026
• Avis de sécurité (httpd.apache.org), httpd.apache.org, 1 octobre 2026
• GHSA-539q-64×2-q4mg : NULL Pointer Dereference vulnerability in Apache HTTP Servers mod_heartmonitor over…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-46729, NVD (NIST)
• GHSA-fcx9-3q3q-wmf9 : Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache HTTP…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-47360, NVD (NIST)
• GHSA-cf5c-qxgw-xx3p : Missing authentication checks in mod_auth_digest in Apache Software Foundation Apache…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-48005, NVD (NIST)