Vulnérabilité · critique
Faille critique dans le module mod_http2 d'Apache HTTP Server
Niveau A · Corriger aujourd'hui – Avant la fin de la journée
Qui est exposé : Serveurs Apache HTTP Server utilisant le module mod_http2
Niveau A, parce que : Infrastructure de base ou outil répandu ET à distance, sans identifiants ET compromission totale
Portée
Attaque
Dégâts
Correctif
Outil répandu · À distance, sans identifiants · Compromission totale
Que faire
- Appliquer le correctif publié par Apache pour le module mod_http2
L’essentiel
- Apache a publié le 11 novembre 2026 un correctif pour une faille critique du module mod_http2 de son serveur web.
- Si elle est exploitée, la faille peut permettre une prise de contrôle du serveur à distance, sans mot de passe.
- La faille est identifiée par le CVE-2026-119618.
Pourquoi c’est important
Apache HTTP Server compte parmi les serveurs web les plus utilisés : les équipes qui exploitent un serveur Apache avec mod_http2 doivent appliquer le correctif sans attendre.
La check-list derrière le niveau
Check-list · 4 oui sur 10
| Oui | Touche les équipes tech | Serveur web Apache HTTP utilisé par les équipes d'exploitation et de développement pour leurs services. |
| Non | Infrastructure de base | Produit d'un seul éditeur, très répandu mais non classé infrastructure de base comme OpenSSH ou le noyau Linux. |
| Oui | Outil répandu | Next : Apache HTTP Server est « un des serveurs web les plus » utilisés, donc outil très répandu. |
| Non | Activement exploitée | Next : la faille est décrite comme exploitable, sans mention d'attaques observées. |
| Non | Exploit public | Aucune des sources ne mentionne la publication d'un exploit ou d'une preuve de concept. |
| Oui | À distance, sans identifiants | Next : la prise de contrôle du serveur est possible à distance, « sans nécessiter de mot de passe ». |
| Oui | Compromission totale | Next : la faille peut permettre une « prise de contrôle du serveur à distance ». |
| Non | Secrets exposés | Aucune des sources ne mentionne le vol ou l'exposition d'identifiants, de données ou de code. |
| Non | Chaîne d'approvisionnement | Il s'agit d'une faille de code dans le serveur, sans compromission de canal de distribution signalée. |
| Non | Pas encore de correctif | Next : Apache a publié le 11 novembre un correctif pour cette faille. |
Les données officielles
D’après CVE.org, le catalogue Known Exploited Vulnerabilities de la CISA, FIRST EPSS et la GitHub Advisory Database. Quand ces sources répondent à un critère de la check-list, elles priment sur les articles.
Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers
- Exploitée
- Absente du catalogue d’exploitation de la CISA
- Faiblesse
- CWE-362
Chronologie
CERT-FR
Multiples vulnérabilités dans Apache HTTP Server (09 novembre 2026)
Apache publie un correctif pour la faille critique de mod_http2
LinuxFr.org : les contenus étiquetés avec « sécurité »
Faille critique dans le mod_http2 Apache CVE-2026-119618
Next - Flux Complet
Une faille critique dans Apache HTTP/2 permet la prise de contrôle à distance
Toute la couverture · 3 sources
- il y a 3 h ↗
- il y a 8 h ↗
LinuxFr.org : les contenus étiquetés avec « sécurité »
Faille critique dans le mod_http2 Apache CVE-2026-119618 - il y a 4 jours ↗
Repéré le · 3 sources · Page complète de l’article · Comment les niveaux sont attribués