📰 Source : SecurityWeek, publiĂ© le 12 novembre 2026 par Eduard Kovacs.

🔍 Contexte Apache a publiĂ© le 11 novembre 2026 la version 2.4.71 de son HTTP Server afin de corriger une vulnĂ©rabilitĂ© critique dĂ©couverte indĂ©pendamment par des chercheurs d’Anthropic et de Google Cloud Vulnerability Research.

⚠ VulnĂ©rabilitĂ© principale : CVE-2026-119618

  • Type : Race condition dans le module mod_http2
  • Versions affectĂ©es : Apache HTTP Server 2.4.55 Ă  2.4.70
  • Score CVSS : 9.8 (attribuĂ© par Red Hat)
  • Impact : ExĂ©cution de code arbitraire Ă  distance (RCE) sans authentification, corruption mĂ©moire, prise de contrĂŽle du processus serveur
  • Condition : Uniquement les serveurs avec HTTP/2 activĂ© ; les serveurs HTTP/1.1 seuls ne sont pas vulnĂ©rables
  • DĂ©couverte : Anthropic OSS Scanner (signalement le 26 octobre), Anthony Weems et Simon Scannell de Google Cloud (signalement indĂ©pendant le 3 novembre)

📊 Exposition Selon Wiz, 64 % des environnements cloud analysĂ©s contenaient des ressources exĂ©cutant des versions affectĂ©es d’Apache, et 51 % disposaient d’instances exposĂ©es publiquement. Ces chiffres ne tiennent pas compte de la configuration serveur et ne reprĂ©sentent pas nĂ©cessairement des installations exploitables.

đŸ§Ș État de l’exploitation

  • Red Hat indique qu’une recherche publique a dĂ©montrĂ© un exploit fiable contre un serveur avec mod_http2 activĂ©
  • Un proof of concept (PoC) public sur GitHub reproduit la corruption mĂ©moire et des crashs du processus Apache, mais ne dĂ©montre pas de RCE complĂšte
  • Au moment de la publication du blog de Wiz (11 novembre), aucun exploit disponible publiquement et aucune exploitation dans la nature signalĂ©e

🔧 Autres vulnĂ©rabilitĂ©s corrigĂ©es dans la version 2.4.71

  • CVE-2026-106023 : Crash du processus serveur (sĂ©vĂ©ritĂ© importante)
  • CVE-2026-109163 : Stack buffer overflow (faible sĂ©vĂ©ritĂ©)

📌 Note additionnelle Defiant a prĂ©cisĂ© que les mises Ă  jour de sĂ©curitĂ© WordPress ne peuvent pas rĂ©soudre ce problĂšme car il affecte le serveur web sous-jacent.

đŸ—‚ïž Type d’article : Patch de sĂ©curitĂ© — cet article vise Ă  informer les Ă©quipes techniques de la disponibilitĂ© d’un correctif critique pour Apache HTTP Server et de l’Ă©tat de l’exploitation connue.

🧠 TTPs et IOCs dĂ©tectĂ©s

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)

IOC

  • CVEs : CVE-2026-119618 — NVD · CIRCL
  • CVEs : CVE-2026-106023 — NVD · CIRCL
  • CVEs : CVE-2026-109163 — NVD · CIRCL

⚠ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 13 novembre 2026 et n’ont pas fait l’objet d’une vĂ©rification externe. Un indicateur peut avoir Ă©tĂ© rĂ©attribuĂ© depuis : une IP de C2 peut redevenir un service lĂ©gitime, un domaine sinkholĂ© peut changer de propriĂ©taire. Aucune garantie d’exactitude ni d’actualitĂ© — contrĂŽlez leur validitĂ© avant tout usage opĂ©rationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟱 Indice de vĂ©rification factuelle : 68/100 (haute)

  • ✅ securityweek.com — source reconnue (liste interne) (20pts)
  • ✅ 8990 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 3 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vĂ©rifiĂ© (0pts)
  • ✅ 2 TTP(s) MITRE (8pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommĂ© (0pts)
  • ✅ 3/3 CVE(s) confirmĂ©e(s) (CIRCL) (5pts)

🔗 Source originale : https://www.securityweek.com/apache-patches-critical-http-server-rce-found-by-anthropic-google