Apache corrige une RCE critique dans HTTP Server (CVE-2026-119618) découverte par Anthropic et Google

Fri, 13 Nov 2026 00:00:00 +0100

📰 Source : SecurityWeek, publié le 12 novembre 2026 par Eduard Kovacs.

🔍 Contexte Apache a publié le 11 novembre 2026 la version 2.4.71 de son HTTP Server afin de corriger une vulnérabilité critique découverte indépendamment par des chercheurs d’Anthropic et de Google Cloud Vulnerability Research.

⚠️ Vulnérabilité principale : CVE-2026-119618

Type : Race condition dans le module mod_http2
Versions affectées : Apache HTTP Server 2.4.55 à 2.4.70
Score CVSS : 9.8 (attribué par Red Hat)
Impact : Exécution de code arbitraire à distance (RCE) sans authentification, corruption mémoire, prise de contrôle du processus serveur
Condition : Uniquement les serveurs avec HTTP/2 activé ; les serveurs HTTP/1.1 seuls ne sont pas vulnérables
Découverte : Anthropic OSS Scanner (signalement le 26 octobre), Anthony Weems et Simon Scannell de Google Cloud (signalement indépendant le 3 novembre)

📊 Exposition Selon Wiz, 64 % des environnements cloud analysés contenaient des ressources exécutant des versions affectées d’Apache, et 51 % disposaient d’instances exposées publiquement. Ces chiffres ne tiennent pas compte de la configuration serveur et ne représentent pas nécessairement des installations exploitables.

Apache HTTP Server on CyberVeille

Apache corrige une RCE critique dans HTTP Server (CVE-2026-119618) découverte par Anthropic et Google