Retour

Apache Corrige une Vulnérabilité Critique d'Exécution de Code à Distance HTTP/2

Bureau de lite News 1 min de lecture

Le serveur HTTP Apache 2.4.71, publié le 11 novembre 2026, corrige la vulnérabilité CVE-2026-119618, selon le projet Apache HTTP Server. Apache classe la vulnérabilité mod_http2 comme critique et identifie les versions 2.4.55 à 2.4.70 comme affectées.

Red Hat a déclaré que la vulnérabilité peut permettre à un attaquant d'exécuter des commandes à distance sans authentification, à condition que le serveur ait HTTP/2 activé. Son évaluation exclut les serveurs configurés pour utiliser uniquement HTTP/1.1.

L'avis d'Apache localise le problème dans la gestion assign_headers() au sein de mod_http2. Selon Apache, l'accès à une ressource partagée par des opérations concurrentes sans synchronisation adéquate peut corrompre la mémoire du tas et permettre l'exécution de code à distance.

L'explication de Red Hat décrit comment mod_http2 utilise plusieurs threads pour traiter les requêtes HTTP/2 de manière concurrente. Avec cette vulnérabilité, un thread peut modifier la mémoire qu'un autre thread utilise, entraînant une corruption de la mémoire du serveur. Red Hat a déclaré que la gravité peut varier selon ses produits car ils utilisent différentes configurations d'allocation de mémoire.

L'avis d'Apache enregistre également des rapports de deux sources. Il attribue une date de rapport au 26 octobre 2026 au scanner OSS d'Anthropic. Pour Anthony Weems et Simon Scannell de Google Cloud Vulnerability Research, l'avis enregistre un rapport daté du 3 novembre 2026.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.

Plus d’articles de Cybersécurité

  1. Onapsis a signalé aucune exploitation observée dans la nature au 10 novembre 2026.

  2. La vulnérabilité affecte les systèmes Linux utilisant musl sans PAM dans des conditions spécifiques d'authentification par mot de passe et de compte.

  3. L'exploitation nécessite qu'un utilisateur ouvre un fichier de message spécialement préparé ; Outlook peut alors contacter une destination réseau contrôlée par un attaquant sans son avertissement habituel.

  4. N-able a conseillé aux clients utilisant N-central sur leurs propres locaux de déconnecter leurs serveurs jusqu'à nouvel ordre.

  5. Le conseil provisoire de D-Link est de désactiver DDP sur le commutateur et les interfaces applicables ; la société a déclaré que cela avait arrêté les chemins d'attaque DDP testés.