Faille critique dans Apache HTTP/2 permettant l'exécution de code à distance dans les versions 2.4.55 à 2.4.70

Une faille de sécurité grave a été identifiée dans le serveur Apache HTTP, plus précisément au sein de son module HTTP/2, mod_http2. Enregistrée sous la référence CVE-2026-119618, cette vulnérabilité permet à des attaquants non authentifiés d'exécuter du code arbitraire sur les serveurs affectés. Le problème concerne les versions 2.4.55 à 2.4.70 et a été corrigé avec la sortie de la version 2.4.71 hier.

Ce qui s'est passé

La vulnérabilité se trouve dans le module mod_http2, qui gère le trafic HTTP/2 pour le serveur web Apache. Selon Red Hat, un attaquant capable d'atteindre le serveur n'a pas besoin d'être authentifié pour exploiter cette faille. Une exploitation réussie pourrait donner à l'attaquant un contrôle total sur le processus du serveur. Red Hat évalue la sévérité à 9,8 sur 10 sur l'échelle CVSS, indiquant un niveau de menace critique. L'évaluation du fournisseur note que des recherches publiques ont démontré une méthode d'exploitation fiable contre les serveurs fonctionnant avec des configurations par défaut où mod_http2 est activé, bien qu'aucun article de recherche spécifique n'ait été lié.

Des rapports contradictoires existent concernant l'exploitation active. Alors que Red Hat a souligné l'existence d'une méthode d'exploitation fiable, la société de sécurité Wiz a déclaré plus tard dans la journée qu'aucun code d'exploitation public n'était disponible et qu'aucune exploitation en conditions réelles n'avait été observée. Cette divergence suggère que, bien que le risque théorique soit extrême et que des méthodes de preuve de concept existent, des attaques automatisées à grande échelle ne sont peut-être pas encore en cours. Les administrateurs doivent considérer la menace comme imminente compte tenu du score de sévérité élevé et de la facilité d'accès requise pour l'exploitation.

Le correctif est inclus dans Apache HTTP Server version 2.4.71, publiée hier. Cette mise à jour résout également un plantage dans le module mod_md, classé comme important, et une réécriture mémoire de pile d'un octet de faible sévérité dans mod_vhost_alias. Pour ceux qui utilisent des builds autonomes du module depuis GitHub sous le nom mod_h2, les versions 2.0.8 à 2.0.42 sont affectées. Aucune version corrigée n'a été publiée pour ces builds autonomes, et le dépôt est en lecture seule depuis le 9 juin.

Détails clés

• Identifiant CVE : CVE-2026-119618 affecte Apache HTTP Server versions 2.4.55 à 2.4.70.
• Version corrigée : Apache HTTP Server 2.4.71 résout le problème ; mod_h2 autonome reste non corrigé.
• Vecteur d'attaque : Des attaquants distants non authentifiés peuvent exécuter du code si HTTP/2 est activé via les protocoles h2 ou h2c.
• Statut Red Hat : Correctifs livrés pour RHEL 9 et 10 ; RHEL 8 et antérieurs ne sont pas affectés en raison d'une architecture de module différente.
• Statut Debian : Debian unstable (sid) est corrigé ; Debian bookworm, trixie et forky restent vulnérables sans correctif listé.
• Solution de contournement : Si le patching n'est pas immédiatement possible, retirez h2 et h2c de la directive Protocols pour désactiver HTTP/2.

Contexte

HTTP/2 est une révision majeure du protocole réseau HTTP utilisé par le World Wide Web. Il introduit des améliorations telles que le multiplexage, la compression des en-têtes et le push serveur pour améliorer les performances. Dans Apache, cette fonctionnalité est fournie par le module mod_http2. Les administrateurs l'activent en utilisant la directive Protocols dans leurs fichiers de configuration, en spécifiant h2 pour HTTP/2 sur TLS ou h2c pour HTTP/2 en clair. Parce que ce module traite des trames binaires complexes provenant des requêtes clients, toute erreur de gestion de la mémoire en son sein peut entraîner des vulnérabilités graves comme des dépassements de tampon ou des erreurs use-after-free, que les attaquants peuvent exploiter pour exécuter du code malveillant.

Les distributions Linux empaquettent souvent Apache différemment du projet amont. Par exemple, Red Hat Enterprise Linux (RHEL) modifie le module mod_http2 pour attribuer à chaque flux HTTP/2 son propre allocateur mémoire. Ce changement architectural rend l'exploitation des failles de corruption mémoire significativement plus difficile, c'est pourquoi Red Hat classe le problème comme Important plutôt que Critique pour RHEL 9 et 10. D'autres distributions comme Debian et Ubuntu peuvent proposer des paquets plus proches du code amont, les laissant plus exposées à la gravité brute de la faille.

Pourquoi cela compte

Pour les équipes gérant des infrastructures auto-hébergées, cette vulnérabilité représente une menace directe pour l'intégrité du serveur. Puisque l'attaque ne nécessite aucune authentification, tout serveur Apache accessible publiquement avec HTTP/2 activé est une cible potentielle. La compromission pourrait conduire au vol de données, à une interruption de service ou à l'utilisation du serveur comme point de pivot pour d'autres attaques réseau. Le score CVSS élevé reflète la facilité d'exploitation et l'impact total sur la confidentialité, l'intégrité et la disponibilité.

La situation est compliquée par le statut variable des correctifs selon les systèmes d'exploitation. Alors que les utilisateurs d'Apache amont peuvent simplement passer à la version 2.4.71, les utilisateurs des branches stables de Debian ou d'Amazon Linux pourraient devoir attendre des correctifs spécifiques aux fournisseurs. De plus, ceux qui utilisent la bibliothèque autonome archivée mod_h2 n'ont aucun chemin de correctif officiel, ce qui les force à compter sur des solutions de contournement de configuration qui désactivent entièrement HTTP/2, impactant potentiellement les performances pour les clients modernes.

Ce que vous pouvez faire

• Vérifiez votre version : Identifiez si votre serveur Apache fonctionne entre les versions 2.4.55 et 2.4.70, ou si vous utilisez mod_h2 2.0.8–2.0.42.
• Vérifiez l'état HTTP/2 : Examinez votre configuration pour la directive Protocols. Si h2 ou h2c est présent, HTTP/2 est actif.
• Appliquez les correctifs : Passez à Apache 2.4.71 immédiatement si vous utilisez les releases amont. Pour les utilisateurs RHEL, appliquez les paquets mod_http2 spécifiques listés dans les avis récents.
• Mettez en œuvre une solution de contournement : Si vous ne pouvez pas patcher immédiatement, éditez votre configuration Apache pour retirer h2 et h2c de la directive Protocols, désactivant ainsi HTTP/2 jusqu'à l'application d'un correctif.
• Surveillez les trackers des fournisseurs : Gardez un œil sur les trackers de sécurité de Debian, Ubuntu et Amazon Linux pour les correctifs à venir, car certains n'en listent actuellement aucun.
• Examinez les modules autonomes : Si vous utilisez le module mod_h2 archivé depuis GitHub, prévoyez de migrer vers le paquet Apache principal ou maintenez une désactivation stricte de HTTP/2.