L’Apache Software Foundation a publié hier, le 4 mai 2026, une mise à jour de sécurité urgente. Elle concerne le serveur web le plus déployé au monde. La faille corrigée porte le nom CVE-2026-23918. Elle touche la gestion du protocole HTTP/2. Dans le pire des cas, elle permet une exécution de code à distance sur les serveurs vulnérables.
Comprendre la vulnérabilité
D’abord, il faut comprendre la nature du bug. Les chercheurs classent cette faille comme une vulnérabilité de type « double free ». Concrètement, un attaquant envoie une commande HTTP/2 spécifique appelée « early reset ». Ensuite, le système de gestion mémoire d’Apache se trompe. Il tente alors de libérer deux fois le même bloc mémoire.
Ce type de corruption mémoire est particulièrement dangereux. Voici les deux scénarios identifiés :
- Scénario minimal : le serveur web crashe. Par conséquent, les sites hébergés tombent hors ligne. Il s’agit d’un déni de service (DoS) classique.
- Scénario aggravé : un attaquant habile exploite la corruption mémoire à son avantage. Ainsi, il obtient une exécution de code à distance (RCE). À la clé : prise de contrôle totale du serveur, vol de données sensibles ou déploiement de ransomwares.
L’équipe sécurité d’Apache évalue l’impact comme « Important ». En effet, Apache équipe une part massive du web mondial. La surface d’attaque est donc considérable.
La chaîne d’exploitation en un coup d’œil
Le schéma ci-dessus illustre le mécanisme. Une simple requête HTTP/2 mal formée suffit. En quelques instructions, elle déclenche le bug logique. Puis elle ouvre la voie à une compromission complète.
Qui est concerné ?
La vulnérabilité touche uniquement la version Apache HTTP Server 2.4.66. Cependant, vos systèmes restent vulnérables seulement si deux conditions sont réunies :
- vous tournez précisément sur la version 2.4.66 ;
- le protocole HTTP/2 est activé sur votre serveur.
Or, HTTP/2 reste très répandu. Par exemple, on le retrouve derrière la plupart des CDN, sur les sites HTTPS modernes ou sur les API à fortes performances. Apache équipe par ailleurs des dizaines de millions de serveurs dans le monde. L’exposition potentielle est donc considérable.
La chronologie de la divulgation
Deux chercheurs ont découvert la faille : Bartlomiej Dmitruk (striga.ai) et Stanislaw Strzalkowski (isec.pl). Ils ont suivi un processus de divulgation responsable :
- 10 décembre 2025 — Ils signalent la faille en privé à l’équipe sécurité Apache.
- 11 décembre 2025 — Apache identifie et applique le correctif dans le code source dès le lendemain.
- 4 mai 2026 — La version corrigée 2.4.67 sort. La faille devient publique.
Cinq mois séparent donc la correction technique de la sortie publique. Cela s’explique par le cycle de release d’Apache. En effet, la fondation regroupe plusieurs correctifs avant chaque publication officielle.
Mitigation : les actions immédiates
Pour protéger votre infrastructure, l’Apache Software Foundation recommande plusieurs actions :
- Mettez à jour Apache vers la version 2.4.67 sans délai. C’est la seule mesure qui élimine définitivement la vulnérabilité.
- Auditez vos logs d’accès et d’erreur. Cherchez du trafic HTTP/2 inhabituel ou des crashs serveur inexpliqués. Ces signes peuvent trahir une tentative d’exploitation.
- Désactivez temporairement HTTP/2 si vous ne pouvez vraiment pas patcher tout de suite. Attention toutefois : cela peut impacter vos performances.
- Renforcez vos défenses en profondeur. Pensez WAF, IDS, segmentation réseau et principe de moindre privilège pour le compte qui exécute Apache.
À retenir
CVE-2026-23918 envoie un message clair. Même les logiciels les plus matures restent exposés à des bugs mémoire critiques. C’est particulièrement vrai pour les piles protocolaires modernes comme HTTP/2. Leur complexité offre en effet une large surface d’attaque. Heureusement, le correctif est déjà disponible. De plus, aucune exploitation publique n’a été observée à ce stade. Cependant, la fenêtre reste étroite. Patchez avant que les premiers exploits publics n’apparaissent.
