CVE-2026-119618 : Apache HTTP/2 mod_http2 RCE pré-auth CVSS 9.8

Les faits

CVE-2026-119618 est une vulnérabilité critique dans le module mod_http2 d'Apache HTTP Server, le serveur web le plus déployé au monde. La faille, notée CVSS 9.8 selon le score attribué par Red Hat (vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), permet à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur via une condition de course (race condition) conduisant à une corruption de la mémoire tas (heap). Le correctif, intégré dans Apache HTTP Server 2.4.71, a été publié le 11 novembre 2026.

La root cause est une race condition dans le code de traitement des requêtes HTTP/2 du module mod_http2. Dans certaines conditions de timing, deux threads concurrents peuvent accéder et modifier simultanément une structure de données partagée sans synchronisation correcte, entraînant une corruption de la mémoire heap. Cette corruption peut être exploitée par un attaquant contrôlant le contenu des requêtes HTTP/2 entrantes pour écraser des pointeurs ou des métadonnées de gestion de la mémoire, et ultimement détourner le flux d'exécution du processus serveur vers du code injecté.

La découverte a été créditée conjointement à des chercheurs d'Anthropic et de Google, selon plusieurs sources secondaires. Cette attribution inhabituelle — deux des principaux acteurs de l'IA contribuant à la sécurité d'une infrastructure web open-source majeure — illustre une tendance émergente où les capacités d'analyse automatisée de code développées pour l'IA sont réutilisées pour la recherche de vulnérabilités à grande échelle. L'Apache Software Foundation a qualifié la faille de "critique" dans ses propres communications, cohérent avec le score CVSS 9.8.

Les versions affectées couvrent Apache HTTP Server 2.4.55 à 2.4.70, soit une plage de versions couvrant environ deux années de déploiements. Le module standalone mod_h2 est affecté dans ses versions 2.0.8 à 2.0.42, avec le correctif dans la version 2.0.43. La condition sine qua non d'exploitation est que le serveur serve du trafic HTTP/2 — ce qui est devenu la configuration par défaut dans de nombreuses distributions et hébergeurs modernes, rendant la surface d'attaque particulièrement étendue.

Red Hat a confirmé dans ses bulletins de sécurité que des exploits fiables ont été démontrés dans des recherches publiques contre des configurations par défaut avec mod_http2 activé. Cette confirmation de la faisabilité pratique de l'exploit — même si aucune exploitation dans la nature n'a été confirmée au moment de la divulgation — place cette vulnérabilité dans la catégorie des menaces imminentes nécessitant une réponse d'urgence de la part des équipes d'administration système.

Du côté des distributions Linux, l'état des packages varie selon les éditeurs : Debian unstable dispose déjà du package apache2 2.4.71-1 ; Red Hat a publié des packages corrigés pour RHEL 9 (mod_http2-2.0.26-7.el9_9.1) et RHEL 10 (mod_http2-2.0.29-5.el10_3.1) ; d'autres distributions comme Debian stable (Bookworm, Bullseye) n'avaient pas encore mis à jour leurs packages au moment de la divulgation, créant un risque significatif pour les déploiements qui dépendent uniquement des packages système sans compilation depuis les sources.

La version 2.4.71 d'Apache HTTP Server corrige également deux autres vulnérabilités : CVE-2026-106023, un déréférencement de pointeur null dans mod_md pouvant provoquer un crash des processus enfants (déni de service), et CVE-2026-109163, un débordement de pile de faible criticité dans mod_vhost_alias. Ces corrections accessoires sont importantes mais n'atteignent pas le niveau de criticité de CVE-2026-119618.

Apache HTTP Server est utilisé sur une proportion significative des serveurs web mondiaux, incluant des infrastructures gouvernementales, bancaires, de e-commerce et d'applications critiques. La combinaison d'une surface d'attaque massive (toute instance avec HTTP/2 activé, donc la plupart des serveurs modernes), d'un vecteur réseau sans authentification, et d'un impact total (confidentialité, intégrité, disponibilité) en fait l'une des vulnérabilités les plus dangereuses de novembre 2026.

Impact et exposition

Sont exposés tous les serveurs Apache HTTP Server versions 2.4.55 à 2.4.70 sur lesquels HTTP/2 est activé via la directive Protocols h2 http/1.1 ou Protocols h2c http/1.1 dans la configuration. La majorité des configurations modernes d'Apache active HTTP/2 par défaut pour les performances. Les fournisseurs d'hébergement mutualisé, les CDN utilisant Apache comme origin server, et les environnements de déploiement automatisé (Docker, Kubernetes avec ingress Apache) sont particulièrement exposés.

L'exploitation ne requiert aucune authentification, aucun compte, aucun cookie valide — une simple requête HTTP/2 malformée envoyée au bon moment peut déclencher la race condition. La nature temporelle de la race condition signifie que l'exploitation peut nécessiter plusieurs tentatives, mais les recherches publiées confirment qu'elle est fiable dans des configurations standard. Des outils d'exploitation automatisés sont susceptibles d'émerger rapidement suite à la publication des recherches.

L'impact d'une exploitation réussie est un contrôle complet du processus Apache (généralement exécuté sous un utilisateur dédié comme www-data ou apache), donnant accès à tous les fichiers lisibles par ce processus — notamment les fichiers de configuration contenant des credentials de bases de données, les fichiers d'application, les clés privées TLS si elles sont accessibles au processus web. Sur des systèmes mal configurés où Apache dispose de privilèges excessifs, l'escalade vers root peut être possible.

Recommandations immédiates

• Mettre à jour Apache HTTP Server vers la version 2.4.71 — vérifier auprès de votre distribution (Red Hat, Debian, Ubuntu, CentOS) la disponibilité du package corrigé
• Si la mise à jour n'est pas immédiatement possible, désactiver HTTP/2 en modifiant la directive Protocols pour retirer h2 et h2c, et redémarrer Apache
• Vérifier la version Apache installée : apache2 -v ou httpd -v ; pour mod_http2 : apache2 -M | grep http2
• Surveiller les logs Apache (/var/log/apache2/error.log) pour des patterns anormaux indiquant des tentatives d'exploitation (segfaults, messages de corruption mémoire)
• Pour les distributions Red Hat/CentOS : appliquer les packages mod_http2-2.0.26-7.el9_9.1 (RHEL 9) ou mod_http2-2.0.29-5.el10_3.1 (RHEL 10)