Apache HTTP Server : une faille critique dans HTTP/2 peut mener à l'exécution de code – passez à la 2.4.71

Êtes-vous concerné ?

• Concernés : les serveurs sous Apache httpd 2.4.55 à 2.4.70 sur lesquels HTTP/2 est activé (protocole h2 ou h2c), ainsi que le module autonome mod_h2 2.0.8 à 2.0.42 de GitHub.
• Pas concerné si : vos sites tournent sous nginx, IIS ou un autre serveur web, si l'Apache fourni directement par le projet est antérieur à 2.4.55, ou si HTTP/2 est désactivé. Pour les paquets de votre distribution, fiez-vous à son avis de sécurité, pas au numéro de version. Si un hébergeur gère le serveur, la mise à jour lui revient ; lui poser la question vous revient.

Que faire

• Repérez chaque instance Apache que vous exploitez, conteneurs compris. apachectl -v (apache2ctl sous Debian et Ubuntu) affiche la version ; apachectl -M liste http2_module si HTTP/2 est chargé ; cherchez ensuite dans la configuration les lignes Protocols contenant h2 ou h2c.
• Installez la version 2.4.71 ou une version ultérieure. Apache fourni par votre distribution Linux : installez plutôt sa mise à jour de sécurité, qui peut garder un numéro de version plus ancien ; cherchez CVE-2026-119618 dans l'avis de la distribution.
• Module autonome mod_h2 de GitHub : passez à une version postérieure à 2.0.42.
• Impossible de mettre à jour aujourd'hui ? La solution provisoire de Wiz : retirez h2 et h2c de chaque ligne Protocols (configuration principale, fichiers de configuration de la distribution, chaque VirtualHost) pour ne garder que Protocols http/1.1, puis redémarrez Apache.
• Déjà compromis ? Aucune attaque n'est signalée, il n'y a donc pas encore de traces à rechercher.
• Si un hébergeur gère votre Apache, demandez-lui de confirmer que le correctif est installé.

Ce que l'on sait – et ce que l'on ignore

• Le projet Apache classe la faille comme critique et cite deux découvreurs : Anthropic OSS Scanner (signalement le 26 octobre) et Google Cloud Vulnerability Research (3 novembre) ; selon Wiz, ils l'ont trouvée indépendamment l'un de l'autre.
• L'enregistrement CVE ne donne pas de score CVSS, seulement « critical » ; la faiblesse est CWE-362 (synchronisation incorrecte).
• Wiz relève des versions vulnérables dans 64 % des environnements cloud qu'il observe et des instances vulnérables exposées à Internet dans 51 % ; ce décompte ne tient pas compte de la configuration, par exemple de l'activation de HTTP/2.
• La 2.4.71 corrige aussi deux failles moins graves, dans mod_md (« important ») et mod_vhost_alias (« low »).
• Inconnu : la difficulté d'exploiter en pratique la situation de concurrence et l'apparition éventuelle d'exploits fonctionnels.

Pourquoi c'est important

Apache fait encore tourner un très grand nombre de sites de petites entreprises et, à notre avis, beaucoup ont été installés une fois puis rarement retouchés depuis. Quand la désactivation tient en une ligne de configuration, un serveur exposé n'a pas à attendre une fenêtre de maintenance.