Passer au contenu principal
Publié le 13 novembre 2026
CVE-2026-119618 — Apache HTTP Server, module mod_http2. Apache classe la faille comme critique. Elle est exploitable à distance, sans authentification, sur tout serveur Apache qui sert du HTTP/2. Si c’est votre cas, appliquez la mise à jour de votre distribution dès aujourd’hui.

Le problème en deux phrases

La fonction assign_headers() du module mod_http2 manipule une ressource partagée entre threads sans synchronisation correcte. Une requête HTTP/2 bien construite peut corrompre le tas mémoire du serveur et mener à une exécution de code avec les droits du processus Apache. Versions touchées :
  • Apache HTTP Server 2.4.55 à 2.4.70, corrigé en 2.4.71 (publié le 11 novembre 2026) ;
  • mod_h2 distribué sur GitHub, versions 2.0.8 à 2.0.42.
Les scores divergent selon les éditeurs : 8.1 dans le score publié sur cve.org et NVD (complexité d’attaque élevée), 9.8 chez Red Hat. Ubuntu classe la faille en priorité haute.
À la date de publication, aucun exploit public ni exploitation active n’est signalé. La faille a été découverte indépendamment par l’OSS Scanner d’Anthropic et par l’équipe Vulnerability Research de Google Cloud.

Évaluer son exposition

La question à se poser : votre Apache parle-t-il HTTP/2 ? Seuls les serveurs où la directive Protocols contient h2 ou h2c sont exposés. Un serveur qui ne sert que du HTTP/1.1 ne l’est pas. Pour savoir si HTTP/2 est actif :
Une ligne Protocols active contenant h2 ou h2c signifie que HTTP/2 est activé.
Ne vous fiez pas au seul numéro de version d’Apache. Les distributions rétroportent des versions récentes de mod_http2 : Ubuntu 22.04 livre Apache 2.4.52 et figure pourtant parmi les versions concernées. Seul le bulletin de votre distribution fait foi.

Mettre à jour par distribution

Le correctif définitif est la mise à jour du paquet, suivie d’un redémarrage d’Apache.

Debian

Ubuntu

Bulletin : USN-9090-1 du 12 novembre 2026.

RHEL, AlmaLinux, Rocky Linux

Red Hat indique que RHEL 9 et RHEL 10 sont concernés. Sur ces versions, mod_http2 est livré dans un paquet séparé d’httpd : mettez les deux à jour.
Comparez le résultat avec l’avis de sécurité de votre distribution avant de considérer le serveur comme corrigé.

Mitigation en attendant le correctif

Si vous ne pouvez pas mettre à jour tout de suite, Red Hat recommande de désactiver HTTP/2 : retirez h2 et h2c de chaque directive Protocols pour ne garder que HTTP/1.1. Les clients basculent automatiquement en HTTP/1.1.
Appliquez la modification dans chaque fichier où Protocols apparaît (configuration globale et virtual hosts), puis redémarrez :

Vérifier la mitigation

  • première ligne HTTP/1.1 200 OK : HTTP/2 est désactivé ;
  • première ligne HTTP/2 200 : HTTP/2 est toujours actif.
Relancez aussi le grep de la section « Évaluer son exposition » : plus aucune ligne Protocols active ne doit contenir h2 ou h2c.

Réactiver HTTP/2 après la mise à jour

Une fois le paquet corrigé installé, vous pouvez rétablir HTTP/2 :

Et après ?

La désactivation de HTTP/2 n’est qu’un palliatif : la cible reste le paquet corrigé de votre distribution. Pour toute question technique, ouvrez un ticket depuis votre espace client OnetSolutions.