Apache HTTP Server 2.4.71 : faille critique CVE-2026-119618 dans mod_http2, mettez à jour vos serveurs

Le 11 novembre 2026, le projet Apache a publié la version 2.4.71 d'Apache HTTP Server. Elle corrige trois vulnérabilités, dont CVE-2026-119618, classée critique, dans mod_http2. Si vous exposez un site derrière Apache avec HTTP/2, cette mise à jour est prioritaire. Sur un VPS Linux ou un serveur dédié, vous appliquez vous-même la mise à jour du serveur web. Sur un hébergement géré, demandez à votre hébergeur quand la version corrigée sera installée. Les informations ci-dessous viennent de la page officielle des vulnérabilités d'Apache httpd 2.4.

Ce que corrige Apache 2.4.71

La version 2.4.71 règle trois failles :

Vocabulaire : serveur web, module, VirtualHost, pare-feu

Quelques notions utiles pour l'administrateur qui lit cet avis :

• Serveur web : logiciel qui répond aux requêtes HTTP et HTTPS. Apache httpd est un serveur web open source, utilisé notamment sous Unix et Linux.
• Module : extension chargée par Apache pour ajouter une fonction. mod_http2 gère le protocole HTTP/2.
• Directive : ligne de configuration, comme Protocols. Les directives se placent dans les fichiers de configuration d'Apache.
• VirtualHost (hôte virtuel) : bloc qui décrit un site servi par Apache. Un même serveur peut en porter plusieurs, chacun avec sa propre directive.
• Nom de domaine et DNS : le DNS relie le nom de domaine (par exemple exemple.fr) à l'adresse IP du serveur. Un test HTTP/2 sur ce nom passe donc par cette adresse IP.
• Pare-feu (firewall) : filtre les connexions selon le port et l'adresse IP. S'il autorise le port 443, il ne lit pas le contenu des requêtes HTTP/2 : il ne remplace pas la mise à jour.
• Proxy inverse (reverse proxy) : serveur placé devant d'autres services, qui relaie les requêtes vers eux.
• Paquet (package) : unité d'installation gérée par apt sur Debian et Ubuntu, ou par dnf sur RHEL et AlmaLinux.

Sur une pile LAMP (Linux, Apache, MySQL ou MariaDB, PHP), Apache sert les pages et PHP les produit. La base de données et phpMyAdmin sont des composants distincts, à mettre à jour séparément.

CVE-2026-119618 : la faille de mod_http2

Le défaut est une situation de concurrence (race condition) dans la fonction assign_headers() de mod_http2. Une ressource partagée est utilisée sans synchronisation correcte, ce qui corrompt le tas (heap) et peut mener à une exécution de code à distance (RCE).

Sont touchés Apache httpd 2.4.55 à 2.4.70, et le module mod_h2 distribué séparément sur GitHub, en versions 2.0.8 à 2.0.42. La page Apache n'indique pas de version corrigée pour ce module : consultez directement son projet si vous l'utilisez.

La faille a été signalée par l'OSS Scanner d'Anthropic et par Anthony Weems et Simon Scannell, de Google Cloud Vulnerability Research. Le signalement date du 26 octobre (Anthropic) et du 3 novembre (Google), le correctif est sorti le 11 novembre.

Vérifier si HTTP/2 est actif

Commencez par savoir si le module est chargé. Si vous n'êtes pas connecté en root, préfixez les commandes par sudo :

apachectl -v
apachectl -M | grep http2

Si la commande affiche http2_module, le module est présent. Regardez ensuite la directive Protocols dans les fichiers de configuration, qui active réellement HTTP/2 par hôte virtuel (VirtualHost) :

grep -Rni "protocols" /etc/apache2 /etc/httpd 2>/dev/null

Une ligne comme Protocols h2 http/1.1 signifie que HTTP/2 est proposé aux clients. Vérifiez chaque VirtualHost : la directive peut être définie globalement ou site par site. Vous pouvez aussi tester depuis un autre poste, sur votre nom de domaine (son enregistrement DNS doit pointer vers l'adresse IP de votre serveur), avec curl -sI --http2 https://votre-domaine : une réponse en HTTP/2 confirme qu'il est actif. Pour vérifier ce qui écoute sur votre machine, voyez lister les ports en écoute avec ss.

Couper HTTP/2 en attendant les paquets

Si votre distribution ne livre pas encore le correctif, désactivez HTTP/2. Deux méthodes :

Restreindre la directive Protocols

Protocols http/1.1

Placez-la dans la configuration globale et dans chaque VirtualHost qui la surcharge, puis testez et rechargez :

apachectl configtest
systemctl reload apache2   # ou httpd selon la distribution

Désactiver le module (Debian, Ubuntu)

a2dismod http2
systemctl restart apache2

Le coût est limité : les clients retombent sur HTTP/1.1, un peu moins efficace pour de nombreuses ressources en parallèle, mais le site reste accessible. Notez la mesure pour réactiver HTTP/2 après la mise à jour.

Comparer les mesures : mise à jour, désactivation, restriction

Ce tableau résume les options décrites plus haut. Aucune n'est un substitut complet à la mise à jour du serveur web.

Mettre à jour selon votre distribution

Debian

Le tracker de sécurité Debian a d'abord marqué bookworm et trixie comme vulnérables, seule sid étant corrigée en 2.4.71-1. À la date de rédaction, il liste désormais des paquets corrigés dans le dépôt de sécurité : 2.4.71-1~deb12u1 pour bookworm et 2.4.71-1~deb13u1 pour trixie. Vérifiez sur la fiche Debian de la CVE, puis :

apt update && apt install --only-upgrade apache2
apache2 -v

Cette commande ne met à jour que le paquet Apache : MySQL, MariaDB, PHP ou phpMyAdmin se mettent à jour séparément, avec leurs propres paquets.

Si vous êtes encore en Debian 12, le guide migrer de bookworm vers trixie reste utile.

Ubuntu

Consultez la fiche Ubuntu de la CVE et appliquez les mises à jour de sécurité. Pour ne plus y penser, voyez automatiser les mises à jour de sécurité sur Ubuntu.

RHEL et AlmaLinux

Ces distributions rétroportent souvent les correctifs : le paquet httpd garde un numéro de version ancien. Lisez le changelog (rpm -q --changelog httpd | grep CVE-2026-119618) et les avis de sécurité de l'éditeur avant de conclure, puis lancez dnf update httpd.

Plesk et cPanel

Ces panels utilisent l'Apache de la distribution ou leur propre build. Contrôlez la version installée et les annonces de l'éditeur, appliquez la mise à jour proposée et vérifiez que la configuration HTTP/2 par domaine n'a pas été réactivée par le panel.

Quoi surveiller après la mise à jour

• La version réellement chargée : redémarrez Apache (pas seulement un reload) et contrôlez apache2 -v.
• Les plantages de processus enfants dans error.log, qui peuvent trahir des tentatives d'exploitation ou le bug de mod_md.
• Les instances oubliées : conteneurs Docker, reverse proxies, environnements de test, avec une image Apache ancienne.
• Le cas de mod_md : si vous gérez les certificats avec lui, la mise à jour compte aussi pour le déni de service.

Comme pour d'autres alertes récentes, par exemple les failles critiques de nginx, la règle est de réduire la surface d'attaque tout de suite, puis de patcher. Accompagnez cela d'un accès SSH durci.

Pour appliquer ces correctifs vous-même, il faut un accès root : c'est le cas d'un VPS Linux ou d'un serveur dédié. Les serveurs de jeu se gèrent depuis le panel Pterodactyl, sans accès SSH root.