Apache corrige une faille HTTP/2 critique qui peut permettre l’exécution de code à distance

Ce qu’Apache a corrigé dans la version 2.4.71

Le 11 novembre 2026, Apache a publié HTTP Server 2.4.71 ainsi qu’un avis de sécurité concernant CVE-2026-119618, une faille dans mod_http2, la partie d’Apache qui traite les requêtes HTTP/2. Apache la juge critique. Les versions 2.4.55 à 2.4.70 sont concernées, de même que les versions autonomes de mod_h2 de 2.0.8 à 2.0.42, selon un résumé publié par Wordfence le 12 novembre.

La faille a été signalée à Apache le 26 octobre par l’OSS Scanner d’Anthropic, puis, de manière indépendante, le 3 novembre par des chercheurs de Google Cloud Vulnerability Research. Red Hat la décrit comme une exécution de code à distance qui ne nécessite aucune authentification lorsque HTTP/2 est activé. Un chercheur a publié des tests montrant des plantages sur la version 2.4.70, mais Wordfence n’a trouvé aucune démonstration publique d’exécution de code, et Wiz ne signalait aucune attaque connue en conditions réelles au 11 novembre.

Quels serveurs sont exposés

Apache est un logiciel de serveur web placé en amont de nombreux sites, dont des sites WordPress. Une attaque réussie pourrait permettre à quelqu’un d’exécuter son propre code avec les mêmes privilèges que le serveur web, et donc d’accéder aux sites et aux données hébergés sur cette machine.

Seuls les serveurs qui acceptent HTTP/2 via le module concerné sont exposés. Apache utilise HTTP/1.1 tant que HTTP/2 n’est pas activé dans sa configuration. Un site qui propose HTTP/2 à ses visiteurs peut se trouver derrière un CDN ou un répartiteur de charge qui communique avec Apache en HTTP/1.1 : ce qui compte, c’est la configuration d’Apache lui-même.

Mettre à jour WordPress, les extensions, les thèmes ou une extension de sécurité ne corrigera pas ce problème. Le correctif se situe dans le logiciel serveur, que votre hébergeur contrôle si vous êtes en hébergement mutualisé ou infogéré.

Ce qu’il faut demander dès maintenant à votre hébergeur ou à votre développeur

Les détails sont publics depuis le 11 novembre : traitez donc ce point comme urgent plutôt que d’attendre une mise à jour de routine.

• En hébergement mutualisé ou infogéré, demandez à votre hébergeur si le serveur Apache derrière votre site accepte HTTP/2 (h2 ou h2c), si le correctif de CVE-2026-119618 est installé et si Apache a été redémarré ensuite.
• Si vous ou votre développeur gérez le serveur, installez la version 2.4.71 ou le paquet corrigé de votre fournisseur, puis redémarrez Apache. Les fournisseurs de systèmes d’exploitation, de panneaux de contrôle et de conteneurs peuvent livrer le correctif sous un autre numéro de version : suivez leur avis plutôt que le seul numéro.
• Si aucun correctif n’est encore disponible, faites désactiver HTTP/2 dans Apache jusqu’à ce qu’il le soit, puis réactivez-le. Selon Red Hat, un serveur qui ne traite que du trafic HTTP/1.1 n’est pas exposé à cette faille.
• Assurez-vous de disposer d’une sauvegarde récente des fichiers du site et de sa base de données. Elle n’empêchera pas une attaque, mais elle facilite la remise en état.

Si vous ne savez pas qui est censé appliquer les correctifs serveur, vérifiez votre contrat de maintenance logicielle avant la prochaine faille de ce type. Cognivise propose un service de support et maintenance continus aux entreprises pour lesquelles personne n’est clairement responsable des serveurs.