Apache HTTP Server avec HTTP/2 : faille critique dans mod_http2 permettant l'exécution de code à distance

Ce qui s'est passé

Le 11 novembre 2026, le projet Apache HTTP Server a publié CVE-2026-119618 et la version 2.4.71. Le projet classe la faille comme critique. Elle se trouve dans le module HTTP/2 mod_http2, dans la fonction assign_headers(). Les ressources partagées ne sont pas correctement synchronisées lorsque des requêtes s'exécutent en même temps. Selon l'avis de sécurité du projet, cela provoque une corruption du tas (heap) pouvant conduire à une exécution de code à distance.

Red Hat attribue à la faille une note de 9,8 sur 10 selon l'échelle CVSS. Selon Red Hat, un attaquant qui peut atteindre le serveur n'a besoin d'aucune authentification et pourrait prendre le contrôle complet du processus serveur. Red Hat indique aussi que des recherches publiques ont démontré un exploit fiable contre une configuration par défaut avec mod_http2 activé, sans nommer ces recherches. La société de sécurité Wiz a déclaré par la suite qu'aucun exploit n'était disponible et qu'aucune attaque n'avait été signalée. La vulnérabilité ne figure pas dans le catalogue des vulnérabilités exploitées de la CISA, et aucune source consultée ne signale d'attaque.

La version 2.4.71 corrige également deux autres failles :

• CVE-2026-106023 (classée importante) : un plantage dans mod_md.
• CVE-2026-109163 (classée faible) : un dépassement d'un octet sur la pile dans mod_vhost_alias.

Systèmes concernés

• Apache HTTP Server 2.4.55 à 2.4.70, uniquement lorsque HTTP/2 est activé. HTTP/2 ne fonctionne que lorsque la directive Protocols inclut h2 (HTTP/2 sur TLS) ou h2c (HTTP/2 sur TCP en clair). Cette directive peut être définie pour l'ensemble du serveur ou pour un seul hôte virtuel.
• Les serveurs ayant installé la version 2.4.67 pour la faille HTTP/2 précédente CVE-2026-23918 restent concernés. Cela s'applique à toutes les versions de 2.4.67 à 2.4.70.
• Compilations autonomes du module (mod_h2 depuis GitHub), versions 2.0.8 à 2.0.42. Aucune version corrigée de mod_h2 n'est encore disponible, et le dépôt du projet a été archivé.

Ces systèmes ne sont pas concernés :

• Les versions d'Apache antérieures à 2.4.55.
• Les serveurs sur lesquels ni h2 ni h2c n'est activé dans une directive Protocols.
• Red Hat Enterprise Linux 6, 7 et 8, qui ne contiennent pas le code vulnérable.

État des paquets des distributions, au 12 novembre 2026 :

• RHEL 9 : corrigé dans mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10 : corrigé dans mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Versions RHEL EUS et SAP : des correctifs sont disponibles dans des avis distincts. Red Hat classe la faille comme importante et non critique sur RHEL 9 et 10, car leurs compilations rendent une attaque beaucoup plus difficile.
• Red Hat JBoss Core Services et Red Hat Hardened Images : signalés comme concernés, sans correctif pour l'instant.
• Debian : la branche instable (sid) est corrigée avec apache2 2.4.71-1. Le suivi de Debian indique que bookworm, trixie et forky sont vulnérables, sans paquet corrigé pour l'instant.
• Amazon Linux 2, Amazon Linux 2023 et Amazon Linux 2027 Preview : un correctif est en attente.
• Ubuntu : aucun état n'avait encore été publié.

Les panneaux d'hébergement et autres produits qui livrent leur propre compilation d'Apache sont concernés si leur compilation se situe dans cette plage de versions et si HTTP/2 est activé. Pour connaître leur état, consultez l'avis de l'éditeur.

Que faire maintenant

1. Identifiez votre version d'Apache avec apachectl -v ou httpd -v. Vérifiez ensuite si HTTP/2 est activé (voir la section suivante).
2. Mettez à jour.
   • Apache compilé localement ou version amont : passez à la version 2.4.71.
   • RHEL 9 et 10 : installez les mises à jour, par exemple avec dnf update mod_http2.
   • Autres distributions : installez le paquet apache2 ou httpd corrigé dès que votre distribution en publie un. Consultez les avis des éditeurs liés ci-dessous.
3. Redémarrez complètement Apache, par exemple avec systemctl restart httpd ou systemctl restart apache2. Un redémarrage complet garantit le chargement du module mis à jour. Vérifiez ensuite que vos sites répondent.
4. Si vous ne pouvez pas encore mettre à jour : l'avis d'Apache ne propose aucune solution de contournement. Wiz recommande de retirer h2 et h2c de chaque directive Protocols, en ne laissant que Protocols http/1.1. Vérifiez le paramètre global du serveur et chaque hôte virtuel. Testez ensuite la configuration avec apachectl configtest et redémarrez Apache. Les clients repasseront en HTTP/1.1. C'est aussi la seule protection disponible pour l'instant pour les serveurs qui utilisent les compilations autonomes de mod_h2.
5. Vérifiez vos autres serveurs, y compris les reverse proxies et les serveurs que vous exploitez pour vos clients, s'ils utilisent Apache 2.4.55 ou une version ultérieure avec HTTP/2 activé.

Comment vérifier si vous êtes concerné

• Version : exécutez apachectl -v (ou httpd -v). Les versions 2.4.55 à 2.4.70 sont concernées. Pour les paquets des distributions, comparez avec les versions de paquets corrigées indiquées ci-dessus, car les distributions utilisent leur propre numérotation.
• Module chargé : apachectl -M 2>/dev/null | grep http2 indique si mod_http2 est chargé.
• HTTP/2 activé : exécutez grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null et recherchez h2 ou h2c. Incluez tous les autres répertoires qui contiennent des fichiers de configuration.
• Depuis l'extérieur : curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' affiche 2 si le site répond en HTTP/2.

Si aucun de vos serveurs n'a h2 ou h2c dans une directive Protocols, cette faille ne les affecte pas. Installez tout de même la version 2.4.71 ou la mise à jour de votre distribution lors de la maintenance normale, car elle corrige aussi les deux autres failles.

Sources

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html