En bref

  • Faille RCE sans authentification CVSS 9.8 dans Apache HTTP Server 2.4 avec HTTP/2 activé
  • Versions touchées : Apache HTTP Server 2.4.55 à 2.4.70 — soit plusieurs années de déploiements
  • Action requise : mise à jour immédiate vers Apache 2.4.71 ou désactivation du module HTTP/2

Les faits

La vulnérabilité CVE-2026-119618 affecte Apache HTTP Server dans sa gestion du protocole HTTP/2. L'Apache Software Foundation a publié le correctif début novembre 2026 après une divulgation coordonnée. La faille reçoit un score CVSS 3.1 de 9.8, soit le niveau maximal hors 10, ce qui en fait l'une des vulnérabilités serveur web les plus critiques de l'année.

Le vecteur d'attaque est réseau, sans authentification préalable, sans interaction utilisateur requise. Un attaquant distant peut envoyer des requêtes HTTP/2 spécialement forgées pour déclencher une exécution de code arbitraire avec les privilèges du processus Apache. Sur la majorité des déploiements Linux, ce processus tourne sous un utilisateur dédié (www-data ou apache), mais les conséquences d'un RCE restent sévères : exfiltration de données, déploiement de backdoor, pivot vers les backends applicatifs.

Les versions concernées couvrent la branche 2.4 de la version 2.4.55 à 2.4.70 incluse. Apache 2.4.55 est sorti en janvier 2023, ce qui signifie que l'ensemble des serveurs n'ayant pas été mis à jour depuis presque quatre ans sont vulnérables. D'après les données de Netcraft et Shodan agrégées par plusieurs chercheurs, Apache HTTP Server représente toujours environ 23 % des serveurs web exposés sur Internet, soit plusieurs dizaines de millions d'instances. Même en ne comptant que celles avec HTTP/2 activé, l'exposition reste massive.

La vulnérabilité réside dans la gestion des flux HTTP/2 multiplexés. Le protocole HTTP/2 permet d'envoyer plusieurs requêtes simultanées sur une même connexion TCP, via un mécanisme de streams. Apache HTTP Server dispose d'un module mod_http2 pour gérer ce protocole. La faille se situe dans la façon dont ce module traite certaines combinaisons de frames RST_STREAM et DATA en séquence rapide : un traitement incorrect de l'état interne des streams entraîne une corruption mémoire exploitable par un attaquant.

Selon l'analyse publiée par BitSight Research, l'exploitation n'est pas triviale mais ne requiert pas non plus de capacités d'attaquant étatique. Le développement d'un exploit fonctionnel est estimé à quelques jours pour un attaquant expérimenté. À l'heure où ces lignes sont rédigées, aucun PoC public n'a été confirmé, mais la communauté de recherche en offensive anticipe une exploitation dans les deux à quatre semaines suivant la publication du patch — délai classique pour ce type de vulnérabilité réseau à fort impact.

La faille touche HTTP/2 dans sa configuration par défaut sur les distributions modernes : Ubuntu 22.04 LTS, Debian 12, Rocky Linux 9 et AlmaLinux 9 intègrent tous Apache en version 2.4.57 ou supérieure mais antérieure à 2.4.71. Les packages système n'ont pas encore tous été mis à jour dans les dépôts officiels au moment de la divulgation, ce qui crée un risque supplémentaire pour les administrateurs qui s'appuient uniquement sur les mises à jour automatiques du système d'exploitation.

Le CERT-FR n'a pas encore publié d'avis dédié à CVE-2026-119618 au moment de la publication de cet article, mais son bulletin hebdomadaire CERTFR-2026-ACT-047 du 9 novembre 2026 signalait déjà plusieurs vulnérabilités critiques dans des composants d'infrastructure réseau à patcher en urgence. Plusieurs honeypots actifs surveillent déjà des tentatives de scan ciblant les en-têtes HTTP/2 sur les versions vulnérables.

Cette vulnérabilité s'inscrit dans une tendance lourde : les protocoles réseau modernes — HTTP/2, QUIC, TLS 1.3 — introduisent une complexité de gestion d'état qui génère régulièrement des vulnérabilités de ce type. La surface d'attaque du serveur web a fondamentalement changé avec l'adoption massive de HTTP/2 depuis 2016. L'industrie commence à en mesurer le coût en termes de sécurité.

Impact et exposition

Toute organisation exposant un Apache HTTP Server en version 2.4.55 à 2.4.70 avec le module mod_http2 actif est directement exposée. Les cas les plus à risque sont les reverse proxies Apache devant des applications critiques, les serveurs d'API REST et GraphQL, les portails d'authentification web, et les CDN self-hosted utilisant Apache comme frontend. Les hébergeurs mutualisés utilisant Apache en frontal pour des centaines de sites clients présentent un risque de compromission en masse particulièrement préoccupant.

En France, Apache HTTP Server reste très présent dans les administrations publiques, les collectivités territoriales et les PME industrielles dont les DSI n'ont pas nécessairement les ressources pour suivre les CVE en temps réel. Ces environnements constituent une cible de choix pour des acteurs opportunistes exploitant des vulnérabilités publiquement connues.

Recommandations

  • Patcher immédiatement vers Apache HTTP Server 2.4.71 — disponible sur le site officiel de l'Apache Software Foundation
  • Mitigation d'urgence si le patch ne peut pas être appliqué immédiatement : désactiver mod_http2 dans la configuration Apache (Protocols http/1.1) et redémarrer le service
  • Vérifier la version Apache déployée : apache2 -v ou httpd -v
  • Surveiller les logs Apache pour des patterns inhabituels de requêtes HTTP/2 avec réinitialisation de flux en rafale
  • Vérifier les packages système : les distributions majeures devraient proposer un backport sécurisé sous 48 à 72h
  • Inventorier tous les points d'exposition Apache dans votre SI, y compris les instances dans les conteneurs Docker et les déploiements Kubernetes

Alerte critique

CVSS 9.8 — RCE sans authentification sur Apache HTTP Server. Si votre organisation expose des instances Apache 2.4.55 à 2.4.70 sur Internet, désactivez HTTP/2 maintenant et planifiez le patch dans les 24 heures. L'exploitation active est anticipée dans les prochaines semaines.

Notre WAF nous protège-t-il contre CVE-2026-119618 ?

Pas nécessairement. Les attaques exploitant des anomalies dans la gestion des streams HTTP/2 peuvent être difficiles à filtrer au niveau WAF car elles utilisent des requêtes syntaxiquement valides. Certains WAF disposent de règles spécifiques pour détecter les patterns RST_STREAM anormaux, mais ces règles ne sont pas universellement déployées. Le WAF ne remplace pas le patch — il peut ralentir l'exploitation, pas l'empêcher de façon fiable.

Votre infrastructure Apache est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit