Faille critique dans Apache HTTP/2 permet une prise de contrôle à distance

Le fait

Une vulnérabilité sérieuse a été découverte dans le module HTTP/2 du serveur Apache, un des serveurs web les plus utilisés dans le monde. Cette faille permet à un attaquant distant d'exécuter du code arbitraire sur le serveur sans authentification, pouvant conduire à une prise de contrôle complète du serveur vulnérable. Appelée CVE-2026-119618, la faille est liée à un problème de synchronisation sur une ressource partagée dans la fonction assign_headers(), causant une corruption du tas (heap). Apache a publié le 11 novembre un correctif dans la version 2.4.71 qui corrige aussi deux autres problèmes de sécurité. Toutes les versions d’Apache HTTP Server de la 2.4.55 à la 2.4.70, ainsi que les versions mod_h2 de 2.0.8 à 2.0.42 sont concernées. L’exploitation suppose que le protocole HTTP/2 soit activé sur le serveur. Les administrateurs sont fortement incités à appliquer rapidement la mise à jour pour prévenir toute exploitation.

Pourquoi ça compte

Ce type de vulnérabilité dans un composant aussi répandu qu’Apache HTTP Server présente un risque majeur pour la sécurité des infrastructures web et des données hébergées. Sa gravité élevée (score CVSS proche de 9,8 sur 10 selon Red Hat) souligne la facilité avec laquelle un pirate peut compromettre un serveur à distance sans mot de passe, ce qui en fait une menace critique. Dans un contexte où les attaques ciblant les infrastructures fondamentales se multiplient, il est impératif que les entreprises et opérateurs veillent à maintenir leurs serveurs à jour pour éviter des intrusions pouvant dérober, modifier des données ou servir de porte d’entrée vers d’autres systèmes sensibles.