Une condition de course dans le module HTTP/2 du serveur HTTP Apache offre à un attaquant distant non authentifié un moyen d'exécuter du code sur les serveurs concernés. La vulnérabilité, répertoriée sous CVE-2026-119618, affecte le module mod_http2 dans les versions 2.4.55 à 2.4.70.

Selon LavX News, la faille permet à un attaquant distant non authentifié de corrompre la mémoire heap du serveur HTTP Apache par le biais d'une faille dans le module HTTP/2. Cette corruption peut entraîner l'exécution de code arbitraire avec les privilèges du processus du serveur web.

Aucun exploit public n'existe et aucun rapport ne montre une exploitation dans la nature.

Versions affectées et corrigées

Exposition dans les environnements cloud

Une instance Apache compromise peut donner à un attaquant une position de départ à l'intérieur de charges de travail conteneurisées ou virtualisées. À partir de là, l'attaquant peut se déplacer vers des microservices adjacents ou accéder aux points de terminaison des métadonnées cloud.

Les données de recherche montrent l'ampleur de l'exposition : 64 % des environnements cloud contiennent des ressources vulnérables à CVE-2026-119618, et 51 % des environnements cloud exécutent des instances exposées publiquement. Ces chiffres ne tiennent pas compte des détails de configuration.

Étapes pour les équipes de sécurité

Mettre à niveau les déploiements. Mettez à jour les installations du serveur HTTP Apache vers la version 2.4.71 ou une version ultérieure. Les équipes qui gèrent des builds autonomes de mod_h2 depuis GitHub doivent mettre à niveau le module vers une version supérieure à 2.0.42.

Désactiver HTTP/2 comme mesure temporaire. Si les équipes ne peuvent pas appliquer le correctif, elles peuvent supprimer le vecteur d'attaque en restreignant les serveurs à HTTP/1.1. Modifiez le fichier de configuration (tel que httpd.conf) pour supprimer les références à h2 et h2c :

Restreindre les protocoles à HTTP/1.1

Protocols http/1.1

Après avoir apporté cette modification, redémarrez le serveur et confirmez que les clients reviennent à HTTP/1.1. Les équipes doivent considérer cette étape comme une solution de contournement et planifier la mise à niveau vers une version corrigée.

Source : Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog, par Merav Bar, wiz.io, 11 nov. 2026

---

Sources (en anglais)

• gbhackers.com: Critical Apache Airflow Flaw CVE-2026-68982 Enables Unauthenticated Remote Code Execution
• news.lavx.hu: Race condition in Apache HTTP Server HTTP/2 module exposes servers to remote code execution | LavX News

Traduction réalisée par IA de l’article original en anglais, vérifiée automatiquement pour dire la même chose que l’original. Les sources ont été vérifiées en anglais.