Un mardi chargé en sécurité pour les admins Apache

Le 4 mai 2026, la Apache Software Foundation sort HTTP Server 2.4.67. Au menu : 11 correctifs de sécurité. Certains sont mineurs. D'autres exigent un patch urgent. Deux failles sortent du lot, selon votre setup d'hébergement.

Sur VPS ou serveur dédié, une seule vous vise. En shared hosting à grande échelle, ce sont deux. On décortique ça vite fait.

La star des CVE : CVE-2026-23918 et le bug mémoire HTTP/2

Celle-ci fait peur. Des chercheurs de Striga AI et ISEC repèrent un double-free dans le gestionnaire HTTP/2 d'Apache. CVE-2026-23918. Score CVSS à 8,8. RCE à distance, sans auth ni privilèges spéciaux.

Le mécanisme :

Un client malveillant envoie un frame HTTP/2 trafiqué – un "reset de stream précoce". Le gestionnaire mémoire d'Apache s'emmêle. Il libère deux fois le même bloc. Résultat : heap corrompu. Un attaquant peut détourner l'exécution et lancer des commandes arbitraires.

Bonne nouvelle : seule la 2.4.66 est touchée. Les versions antérieures passent à côté. Divulgation responsable en décembre 2025. Fix interne en janvier. Patch public le 4 mai seulement. Cinq mois d'exposition pour les utilisateurs de 2.4.66.

Aucune exploitation confirmée au 5 mai. Mais ne traînez pas.

Solution rapide : Désactivez HTTP/2 le temps du patch. Ça bride les perfs web modernes. Mieux que rien.

Le cauchemar du shared hosting : CVE-2026-24072

Là, ça dégénère pour les hébergeurs multi-clients.

CVE-2026-24072 : élévation de privilèges dans mod_rewrite, jusqu'à 2.4.66. Problème dans l'évaluation des expressions ap_expr via .htaccess. En solo, c'est technique. En shared, c'est la cata.

Pourquoi ? Les clients écrivent dans leurs .htaccess.

C'est la norme. Ils gèrent redirections, headers cache, règles sécurité. Un attaquant craft une expression vicieuse. Apache lit hors du dossier client – avec les droits du process httpd.

Concrètement : Client A lit les configs de Client B. DB creds, API keys, données privées. Pire, fichiers système du serveur si perms permissives.

Pas besoin de root. Juste l'accès write standard sur .htaccess. Le process httpd a souvent un accès large aux dossiers.

Actions immédiates

Pour tous les admins Apache :

• Passez à 2.4.67 dès la prochaine maintenance
• Si 2.4.66, priorisez au max
• Vérifiez vos politiques de patch auto – cinq mois pour un RCE, c'est trop

Pour les shared hosting :

• CVE-2026-24072 d'abord. Patchz vite
• Validez les .htaccess plus strictement. Limitez ap_expr
• Auditez la séparation comptes. Isolez bien les perms fichiers
• Désactivez les expressions mod_rewrite si pas essentielles

Pour VPS/dédiés :

• Prenez un peu plus de temps, mais bougez
• Testez 2.4.67 en staging avant prod
• Checkez vos modules custom pour compat'

Vers l'avenir

Remarquable : cinq mois entre divulgation privée et patch public. Raisonnable pour préparer. Mais ça rappelle l'essentiel :

1. Monitoring auto des vulnérabilités sur infra
2. Patches en étapes avec tests
3. Alertes temps réel sur nouveaux CVE

Chez NameOcean, on pousse les updates auto, environnements de test et audits réguliers. Que ce soit notre cloud hosting ou votre propre infra, c'est vital.

Les patches 2.4.67 sont dispo. Agissez. Évitez un prochain délai de cinq mois avec ces failles.