Apache HTTP Server 2.4.71 corrige une faille critique de mod_http2

Ce qui est nouveau

Apache HTTP Server 2.4.71, publié le 11 novembre 2026, corrige CVE-2026-119618, une vulnérabilité classée critique par le projet Apache. Elle touche les versions 2.4.55 à 2.4.70 du serveur et les versions 2.0.8 à 2.0.42 du module mod_h2 distribué sur GitHub.

Le défaut se situe dans la fonction assign_headers() de mod_http2. Il peut provoquer une corruption du tas, une zone de mémoire du serveur, et conduire à une exécution de code à distance. Selon Red Hat, l'attaque ne nécessite aucune authentification, mais seuls les serveurs sur lesquels HTTP/2 est activé sont concernés. Ceux qui servent uniquement HTTP/1.1 ne sont pas vulnérables.

Ce qui change et pourquoi

La version 2.4.71 intègre le correctif de cette faille dans Apache HTTP Server. L'avis Apache mentionne aussi les versions affectées du module distribué séparément, sans préciser sa version corrigée.

Red Hat explique que HTTP/2 permet de traiter plusieurs requêtes simultanément sur une connexion. Le défaut de synchronisation autorise un fil d'exécution à écrire dans une mémoire appartenant à un autre, par l'intermédiaire d'un allocateur partagé sans verrouillage. Cette concurrence peut corrompre la mémoire interne du serveur.

Pourquoi c'est important

Selon Red Hat, des travaux publics ont démontré une exploitation fiable contre un serveur en configuration par défaut avec mod_http2 activé. Une attaque réussie peut donner le contrôle du processus serveur et permettre l'accès ou la modification de données sensibles. Cette démonstration ne constitue pas, à elle seule, la preuve d'attaques en cours.

La portée dépend toutefois du produit : Red Hat classe le risque comme important, plutôt que critique, pour Red Hat Enterprise Linux 9 et 10. Leurs modules utilisent un allocateur distinct pour chaque flux HTTP/2, ce qui complique sensiblement l'exploitation. Red Hat Enterprise Linux 8 et les versions antérieures ne sont pas affectés, d'après l'éditeur.