Apache corrige une RCE critique dans HTTP Server (CVE-2026-119618) découverte par Anthropic et Google
📰 Source : SecurityWeek, publié le 12 novembre 2026 par Eduard Kovacs. 🔍 Contexte Apache a publié le 11 novembre 2026 la version 2.4.71 de son HTTP Server afin de corriger une vulnérabilité critique découverte indépendamment par des chercheurs d’Anthropic et de Google Cloud Vulnerability Research. ⚠️ Vulnérabilité principale : CVE-2026-119618 Type : Race condition dans le module mod_http2 Versions affectées : Apache HTTP Server 2.4.55 à 2.4.70 Score CVSS : 9.8 (attribué par Red Hat) Impact : Exécution de code arbitraire à distance (RCE) sans authentification, corruption mémoire, prise de contrôle du processus serveur Condition : Uniquement les serveurs avec HTTP/2 activé ; les serveurs HTTP/1.1 seuls ne sont pas vulnérables Découverte : Anthropic OSS Scanner (signalement le 26 octobre), Anthony Weems et Simon Scannell de Google Cloud (signalement indépendant le 3 novembre) 📊 Exposition Selon Wiz, 64 % des environnements cloud analysés contenaient des ressources exécutant des versions affectées d’Apache, et 51 % disposaient d’instances exposées publiquement. Ces chiffres ne tiennent pas compte de la configuration serveur et ne représentent pas nécessairement des installations exploitables. ...