CVE-2026-119618 affecte Apache HTTP Server 2.4.55 à 2.4.70 et les builds standalone de mod_h2 2.0.8 à 2.0.42 ; Apache a corrigé le problème dans la version 2.4.71 publiée le 11 novembre. Il s’agit d’une condition de concurrence (race condition) dans la fonction assign_headers() de mod_http2 pouvant corrompre le tas et conduire à une exécution de code à distance avec les privilèges du processus Apache. Seuls les serveurs ayant HTTP/2 activé sont concernés.
Ce qu’il s’est passé
Apache a publié un avis identifiant CVE-2026-119618 comme une vulnérabilité critique de corruption de mémoire et d’exécution de code à distance dans mod_http2 affectant les versions 2.4.55 à 2.4.70, corrigée en 2.4.71. Les releases standalone de mod_h2 2.0.8 à 2.0.42 sont aussi impactées. Anthropic’s OSS Scanner a signalé le problème à Apache le 26 octobre. Apache a diffusé le correctif le 11 novembre. Red Hat attribue un score CVSS 3.1 de 9,8 et indique que des recherches publiques ont démontré un exploit fiable contre un serveur configuré par défaut avec mod_http2 activé. Des signalements tiers indiquent l’apparition d’un dépôt GitHub contenant des outils de reproduction de crash, sans que cela ne prouve qu’il s’agit d’un exploit RCE fonctionnel.
CVE-2026-119618 : comment fonctionne la faille
mod_http2 traite les requêtes HTTP/2 de façon concurrente sur plusieurs threads. La vulnérabilité est un défaut de sûreté des threads dans la fonction assign_headers(), où un thread worker peut écrire dans de la mémoire appartenant au thread de connexion via un allocateur partagé sans verrou. Cette course peut corrompre le tas du serveur et permettre l’exécution de commandes avec les privilèges du processus Apache. L’attaquant n’a pas besoin d’authentification mais doit pouvoir atteindre le serveur vulnérable en HTTP/2. Les serveurs configurés pour servir uniquement HTTP/1.1 ne sont pas affectés.
Gravité et exposition
Apache classe la vulnérabilité comme Critique. Red Hat donne un score CVSS 3.1 de 9,8, avec vecteur réseau, complexité faible, sans privilèges requis et sans interaction utilisateur. Bitsight lui attribue un score DVE de 8,23/10. Red Hat qualifie toutefois l’impact comme Important plutôt que Critique pour RHEL 9 et RHEL 10, car ces packages utilisent un allocateur séparé pour chaque flux HTTP/2, ce qui augmente substantiellement la complexité d’exploitation. RHEL 8 et les versions antérieures ne sont pas affectées. Il est recommandé de consulter l’avis et l’état des paquets de sa distribution plutôt que de se fier uniquement au numéro de version upstream d’Apache.
Correctifs et mesures d’atténuation
Apache HTTP Server 2.4.71 corrige CVE-2026-119618. Il faut mettre à jour les serveurs affectés vers 2.4.71 ou vers un paquet fournisseur incluant le correctif, puis redémarrer Apache pour charger le code corrigé. Pour les builds standalone de mod_h2, suivre les recommandations du mainteneur ou du fournisseur. Si un correctif immédiat n’est pas possible, désactivez temporairement HTTP/2 et servez uniquement HTTP/1.1 : vérifiez les directives globales et spécifiques aux hôtes virtuels, redémarrez Apache et confirmez que HTTP/2 n’est plus proposé. La segmentation réseau et les contrôles d’accès peuvent réduire les systèmes capables d’atteindre le serveur, mais n’éliminent pas la vulnérabilité sous-jacente. Priorisez la mise à jour des instances exposées à Internet et des serveurs internes acceptant HTTP/2 depuis des réseaux non fiables.
Comment Bitsight peut aider
Bitsight External Attack Surface Management aide à identifier l’infrastructure web exposée sur Internet et à évaluer l’exposition dans les environnements et écosystèmes fournisseurs. Le mécanisme propriétaire Dynamic Vulnerability Exploit (DVE) de Bitsight prévoit la probabilité de ciblage actif d’une vulnérabilité sur une période de 90 jours. Bitsight Beacon est un outil de gestion de l’exposition de la chaîne d’approvisionnement permettant de relier renseignement sur les menaces et risque tiers.
En résumé, CVE-2026-119618 est une condition de concurrence critique dans le module HTTP/2 d’Apache susceptible d’entraîner une exécution de code à distance. Apache l’a corrigée dans la version 2.4.71 ; seules les instances avec HTTP/2 activé sont exposées. Red Hat indique que des recherches publiques ont démontré un exploit fiable. Les équipes doivent appliquer le correctif dès que possible et désactiver temporairement HTTP/2 sur les systèmes non mis à jour.
