Apache HTTP Server : exécution de code à distance via une condition de concurrence dans mod_http2

Veille sécuritéBackend & données

P3Critique

Une condition de concurrence dans mod_http2, dans assign_headers(), peut provoquer une corruption mémoire et mener à l’exécution de code à distance. Sont concernés Apache HTTP Server 2.4.55 à 2.4.70 et, séparément, mod_h2 2.0.8 à 2.0.42; le projet corrige Apache HTTP Server en version 2.4.71.

IdentifiantCVE-2026-119618

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifApache HTTP Server 2.4.71

Source : NVD — CVE-2026-119618

Analyse technique

Exécution concurrente avec synchronisation incorrecte d’une ressource partagée dans mod_http2, au niveau de assign_headers(). La gravité « critical » est celle annoncée par le projet Apache; aucun score CVSS n’est indiqué dans les sources consultées.

Impact, versions et correctif

Événement datéLe projet Apache indique que la version 2.4.71 et l’avis corrigeant cette vulnérabilité ont été publiés le 2026-11-11. La fiche NVD du candidat a aussi été publiée dans la période; les informations Red Hat datées du 2026-11-12 sont postérieures à la borne de fin et ne sont pas retenues comme événement de cette période.

ImpactCorruption mémoire pouvant mener à l’exécution de code à distance.

Versions affectéesApache HTTP Server 2.4.55 à 2.4.70; mod_h2 autonome 2.0.8 à 2.0.42

Version corrigéeApache HTTP Server 2.4.71

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-11

Action recommandée

Mettre à niveau Apache HTTP Server vers la version 2.4.71 ou une version corrigée fournie par le distributeur; vérifier également la version si mod_h2 est déployé séparément.

Sources

NVD — CVE-2026-119618

Priorisation DFS : P3 · 1 source(s).