Une vulnérabilité de type race condition, identifiée sous le numéro CVE-2026-119618, affecte le module HTTP/2 (mod_http2) d’Apache HTTP Server. La faille permet à un attaquant non authentifié de corrompre la mémoire du tas et d’exécuter du code arbitraire sur le serveur web. Selon les données de Wiz, 64 % des environnements cloud hébergeant Apache sont exposés, dont 51 % avec des instances publiques.

Contexte et découverte

Le problème a été découvert indépendamment par les équipes de recherche de Anthropic et de Google Cloud. Il se situe dans la fonction assign_headers() du module HTTP/2, responsable de la mise en place des en‑têtes lors du traitement de flux parallèles. La version vulnérable concerne Apache HTTP Server antérieure à 2.4.71 et les builds autonomes de mod_h2 antérieurs à 2.0.42.

Mécanisme de la vulnérabilité

Lorsqu’un serveur traite plusieurs requêtes HTTP/2 simultanément, plusieurs threads accèdent à des structures partagées sans synchronisation adéquate. La fonction assign_headers() effectue des écritures sur le même bloc mémoire sans verrou, créant une condition de course. Un acteur malveillant peut déclencher un enchaînement d’appels qui écrase les pointeurs du tas, entraînant une corruption de heap. Cette corruption ouvre la voie à l’exécution de code arbitraire avec les privilèges du processus httpd, typiquement l’utilisateur www-data ou apache.

Impact sur les environnements cloud

Dans un contexte de conteneurs ou de machines virtuelles, la compromission d’une instance Apache peut servir de pivot pour un mouvement latéral. L’accès au serveur permet de sonder les métadonnées du cloud, d’interroger les services internes et d’exploiter d’autres micro‑services. Bien qu’aucun exploit public ne soit répertorié à ce jour, la gravité du vecteur – exploitation à distance et sans authentification – justifie une réponse immédiate.

Mesures de mitigation

La mise à jour vers Apache HTTP Server 2.4.71 ou une version supérieure corrige le problème de synchronisation. Pour les déploiements qui utilisent des modules mod_h2 séparés, il faut passer à une version postérieure à 2.0.42. En l’absence de correctif rapide, la désactivation du protocole HTTP/2 élimine le vecteur d’attaque. Cette désactivation s’effectue en modifiant le fichier de configuration :

# Restrict protocols to HTTP/1.1
Protocols http/1.1

Les équipes de sécurité peuvent exploiter les requêtes pré‑construites de la plateforme Wiz pour identifier les instances vulnérables et appliquer les correctifs ou les configurations temporaires.