# Apache HTTP Server : faille critique HTTP/2, passez en 2.4.71

_Publié le 12 novembre 2026 — https://ip73.fr/2026/11/12/apache-http-server-faille-critique-http-2-passez-en-2-4-71/_

Une faille critique vient d'être corrigée dans le module HTTP/2 du serveur Apache HTTP. Référencée CVE-2026-119618, elle permet à un attaquant distant, sans identifiants, d'exécuter du code sur la machine. Toutes les versions de la 2.4.55 à la 2.4.70 sont touchées ; le correctif tient dans la 2.4.71, publiée le 11 novembre.

## Ce qui est touché

Le défaut se trouve dans mod_http2, plus précisément dans la fonction assign_headers(). Il s'agit d'une situation de concurrence : plusieurs fils d'exécution se partagent une ressource sans synchronisation correcte, ce qui peut corrompre la mémoire du tas. D'après Wiz, cette corruption peut être exploitée pour lancer des commandes avec les droits du processus du serveur web.

L'avis de sécurité du projet Apache indique la plage de versions 2.4.55 à 2.4.70. Les builds autonomes du module, publiés sur GitHub sous le nom mod_h2, sont aussi concernés, de la 2.0.8 à la 2.0.42. Or ce dépôt est archivé et en lecture seule depuis le 9 juin, et sa liste de versions s'arrête à la 2.0.42, la dernière affectée. D'après The Hacker News, aucune version corrigée n'y a été publiée. Wiz mentionne bien une « 2.0.24 et plus » comme version corrigée, un chiffre qui contredit sa propre plage de versions affectées : on ne s'y fiera pas.

Seuls les serveurs où HTTP/2 est activé sont exposés, précise Red Hat. L'activation passe par la directive Protocols (h2 pour HTTP/2 sur TLS, h2c pour HTTP/2 en clair), qui peut être réglée pour tout le serveur ou pour un seul hôte virtuel. Il faut donc vérifier la configuration globale et chaque hôte virtuel.

## Une gravité qui dépend de la distribution

Red Hat attribue la note de 9,8 sur 10 à la faille, sans authentification requise. Elle ajoute, selon The Hacker News, que des « recherches publiques ont démontré un exploit fiable » contre un serveur en configuration par défaut où mod_http2 est activé, sans nommer ni lier ces travaux. Wiz affirme de son côté, le même jour, qu'aucun exploit n'est disponible et qu'aucune exploitation n'a été signalée. Les deux positions sont difficiles à concilier : dans le doute, mieux vaut traiter la faille comme exploitable.

Selon Wiz, 64 % des environnements cloud qu'elle observe contiennent des ressources vulnérables, et 51 % ont des instances exposées publiquement. L'éditeur prévient que ces chiffres ne tiennent pas compte de la configuration. Il souligne aussi qu'une instance Apache compromise dans un conteneur ou une machine virtuelle peut servir de point d'entrée vers d'autres services.

Tout le monde ne court pas le même risque. Red Hat a livré des correctifs pour RHEL 9 et 10 et classe la faille « Importante » plutôt que « Critique » sur ces versions : ses paquets donnent à chaque flux HTTP/2 son propre allocateur mémoire, ce qui rend l'attaque bien plus difficile. RHEL 8 et les versions antérieures ne contiennent pas le code vulnérable.

La situation est moins nette ailleurs, d'après le tableau de The Hacker News :

- Debian : la version instable (sid) est corrigée avec apache2 2.4.71-1 ; bookworm, trixie et forky restent vulnérables, sans correctif listé.
- Amazon Linux 2, 2023 et 2027 Preview : correctif en attente.
- Ubuntu : aucune page de suivi pour cette faille lorsque The Hacker News a consulté son tracker.
- Red Hat JBoss Core Services et Red Hat Hardened Images : affectés, sans correctif indiqué.

## Que faire maintenant

Si vous utilisez les versions du projet Apache, passez en 2.4.71. Cette version corrige aussi un plantage dans mod_md, jugée importante, et un dépassement d'un octet sur la pile dans mod_vhost_alias, jugé faible. Sous RHEL, installez les paquets des avis Red Hat, par exemple mod_http2-2.0.26-7.el9_9.1 pour RHEL 9. Sur Debian stable, Amazon Linux ou Ubuntu, surveillez les trackers de sécurité : aucun correctif n'y est encore publié.

Le projet Apache ne propose aucun contournement. Wiz recommande, si la mise à jour est impossible, de retirer h2 et h2c de la directive Protocols pour ne garder que « Protocols http/1.1 ». La même mesure vaut pour les serveurs qui reposent sur mod_h2. Elle coûte les performances de HTTP/2, mais ferme la porte d'entrée.

Un point de vigilance : les serveurs déjà passés en 2.4.67, qui corrigeait la faille HTTP/2 CVE-2026-23918 en mai, ou dans une version ultérieure jusqu'à la 2.4.70, restent vulnérables à celle-ci.

La faille a été signalée le 26 octobre par l'OSS Scanner d'Anthropic, un service gratuit d'analyse de projets open source qui s'appuie sur des modèles d'IA, puis le 3 novembre par Anthony Weems et Simon Scannell, de l'équipe Google Cloud Vulnerability Research. Reste à voir si les distributions encore sans correctif publieront rapidement, et si l'exploit évoqué par Red Hat sort du bois.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-111497 | Google Brotli | Critique (CVSS 9,2) | Oui (KEV, 27 octobre 2026) | brotli 1.2.1, brotlicffi 1.2.1.0 |
| CVE-2026-119618 | — | unknown | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-23918 | — | Élevée (CVSS 8,8) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST), [catalogue KEV de la CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) (CC0) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [Releases · icing/mod\_h2](https://github.com/icing/mod_h2/releases), github.com
- [The Apache HTTP Server Project](https://httpd.apache.org/security/vulnerabilities_24.html), httpd.apache.org
- [Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability), Wiz, 11 novembre 2026
- [Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely](https://thehackernews.com/2026/11/critical-apache-http2-flaw-could-let.html), The Hacker News, 12 novembre 2026
- [GHSA-9v8h-qqgm-4m35](https://github.com/advisories/GHSA-9v8h-qqgm-4m35) : Brotli: Out-of-bounds write in the Brotli decoder ("Node2Shell") also affects the PyPI…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-111497](https://nvd.nist.gov/vuln/detail/CVE-2026-111497), NVD (NIST)
- [CVE-2026-111497 dans le catalogue KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-111497), CISA
- [GHSA-hjhf-gpg9-qqfj](https://github.com/advisories/GHSA-hjhf-gpg9-qqfj) : Concurrent Execution using Shared Resource with Improper Synchronization vulnerability in…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-119618](https://nvd.nist.gov/vuln/detail/CVE-2026-119618), NVD (NIST)
- [GHSA-p8fm-9c82-pw4g](https://github.com/advisories/GHSA-p8fm-9c82-pw4g) : Double Free and possible RCE vulnerability in Apache HTTP Server with the HTTP/2…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-23918](https://nvd.nist.gov/vuln/detail/CVE-2026-23918), NVD (NIST)