Sommaire
Apache a publié le 11 novembre la version 2.4.71, qui corrige une faille critique du module HTTP/2 (mod_http2), référencée CVE-2026-119618. La faille, un problème de concurrence dans la gestion des en-têtes, peut corrompre la mémoire du serveur et permettre à un attaquant distant, sans compte, d’exécuter du code avec les droits du processus Apache. Elle touche les versions 2.4.55 à 2.4.70 — et uniquement les serveurs sur lesquels HTTP/2 est activé.
Red Hat, qui la note 9,8/10, précise qu’un serveur en HTTP/1.1 uniquement n’est pas concerné. Bonne nouvelle : aucune exploitation dans la nature n’a été signalée à ce stade, et la faille ne figure pas au catalogue KEV de la CISA. Mauvaise nouvelle : selon Wiz, 64 % des environnements cloud analysés font tourner une version vulnérable, dont la moitié exposée publiquement. Si votre site tourne sur Apache — c’est le cas de l’immense majorité de l’hébergement mutualisé — demandez à votre hébergeur si le correctif est installé, ou désactivez HTTP/2 en attendant.
Lento dit : Apache, c’est le moteur de la moitié du web mutualisé, et une faille notée 9,8/10 sans exploitation connue, c’est exactement le moment où il faut patcher — pas dans trois semaines, quand les bots auront fini de scanner tout l’internet. Votre hébergeur a eu 24 heures, pas 24 jours.
