Une faille critique d'Apache HTTP/2 trouvée par le scanner d'Anthropic et par Google, corrigée le 11 novembre
Apache HTTP Server 2.4.71, publié le 11 novembre 2026, corrige CVE-2026-119618, une faille critique d'exécution de code à distance dans mod_http2, signalée le 26 octobre par l'outil d'analyse d'Anthropic et le 3 novembre par Google Cloud. Wiz relève que 64 % des environnements cloud ont des ressources concernées.
En bref
- Le 11 novembre 2026, Apache publie la version 2.4.71 et corrige CVE-2026-119618, jugée critique : une concurrence mal synchronisée dans
assign_headers()du modulemod_http2corrompt le tas et permet l'exécution de code à distance. Touchées : les versions 2.4.55 à 2.4.70.- Découverte par « Anthropic's OSS Scanner » (signalement du 26 octobre) et, indépendamment, par deux chercheurs de Google Cloud (3 novembre). Seize jours entre le premier signalement et le correctif.
- Wiz (12 novembre) : 64 % des environnements cloud ont des ressources vulnérables, 51 % des instances exposées publiquement ; pas d'exploit public ni d'exploitation observée à ce moment.
- À faire : passer en 2.4.71, ou désactiver HTTP/2 en attendant (
Protocols http/1.1).
Ceci est un court extrait.
L'analyse complète et le podcast sont réservés aux abonnés. Le compte est gratuit.