Apache HTTP Server 2.4.71 a été publié le 11 novembre 2026 pour corriger trois vulnérabilités — une classée critique, une élevée et une faible — dont la plus dangereuse peut permettre l’exécution de code à distance (RCE). L’installation de la mise à jour est fortement recommandée, en particulier pour les infrastructures exposées à Internet et utilisant HTTP/2.
Apache HTTP Server : CVE-2026-119618 dans mod_http2
La vulnérabilité critique identifiée comme CVE-2026-119618 affecte le module mod_http2, responsable de la gestion des connexions HTTP/2. Le problème est lié à une condition de course lors de l’exécution de la fonction assign_headers(), à la suite d’un accès improprement asynchrone à une ressource partagée. Sur le plan technique, cela peut entraîner une corruption de la mémoire dans le tas (heap corruption) qui, dans certaines circonstances, peut être exploitée pour obtenir une exécution de code arbitraire. Sont concernées les versions Apache HTTP Server 2.4.55 à 2.4.70. Le même problème affecte également le projet mod_h2 sur GitHub, des versions 2.0.8 à 2.0.42.
La vulnérabilité a été découverte grâce au travail de l’outil Anthropic OSS Scanner et des chercheurs Anthony Weems et Simon Scannell de l’équipe Google Cloud Vulnerability Research. Le rapport a été transmis à l’équipe sécurité d’Apache entre le 26 octobre et le 3 novembre 2026 (rapporté par Anthropic le 2026-10-26, par Google le 2026-11-03). Le correctif a été appliqué dans la branche 2.4.x par le commit 824beab le 2026-11-11, date à laquelle la version 2.4.71 a été publiée.
Vulnérabilité élevée : CVE-2026-106023 (mod_md)
La deuxième faille, CVE-2026-106023, est classée à haut risque et concerne le module mod_md, dédié à la gestion automatique des certificats numériques. Il s’agit d’une vulnérabilité de type NULL pointer dereference qui se produit lors du traitement des requêtes HTTP. Cette erreur de gestion de pointeur nul peut provoquer le plantage des processus enfants du serveur, affectant la disponibilité du service et ouvrant la voie à des attaques par déni de service. Sont affectées les versions Apache HTTP Server de la 2.4.30 à la 2.4.70.
Faible impact : CVE-2026-109163 (mod_vhost_alias)
La troisième vulnérabilité, CVE-2026-109163, concerne le module mod_vhost_alias et correspond à un débordement de tampon sur la pile d’un octet. Elle touche les versions 2.4.69 et 2.4.70 et a été classée comme ayant un faible impact. Cette vulnérabilité a été découverte après l’application d’un correctif antérieur visant CVE-2026-63292.
Mise à jour recommandée
Les trois vulnérabilités sont corrigées dans Apache HTTP Server 2.4.71. Les administrateurs système doivent vérifier les versions installées et planifier la mise à jour dès que possible, en priorité sur les systèmes utilisant HTTP/2 et directement accessibles depuis Internet.
