Проект Apache 11 ноября выпустил Apache HTTP Server 2.4.71, закрыв критическую уязвимость CVE-2026-119618. Удалённый атакующий мог без учётной записи повредить память сервера и добиться выполнения команд с правами процесса веб-сервера.
Ошибка находится в модуле mod_http2, который обрабатывает соединения по HTTP/2. При одновременной обработке HTTP/2-запросов потоки могли менять один участок памяти, повреждая её и открывая возможность выполнить произвольный код на сервере.
Уязвимы Apache HTTP Server версий от 2.4.55 до 2.4.70 включительно, если на сервере активирован HTTP/2. Серверы, настроенные только на HTTP/1.1, этой дырой не затронуты. Для отдельно установленного модуля mod_h2 опасны версии от 2.0.8 до 2.0.42.
Читайте также
Оценка риска зависит от конкретной сборки. Apache относит CVE-2026-119618 к критическим уязвимостям. Red Hat также оценивает общую угрозу как критическую, но для Red Hat Enterprise Linux 9 и 10 снизила уровень до важного: применённый там способ распределения памяти усложняет атаку. Red Hat Enterprise Linux 8 и более ранние выпуски не затронуты.
На момент публикации заметки вечером 11 ноября Wiz не знала о доступном эксплойте и атаках с использованием уязвимости. На странице Red Hat на момент подготовки материала было указано, что публичное исследование продемонстрировало надёжную эксплуатацию сервера со стандартной конфигурацией и включённым mod_http2. Подтверждённые атаки на организации не названы.
Уязвимость независимо обнаружили сканер открытого кода Anthropic и исследователи Google Cloud Vulnerability Research. В том же выпуске 2.4.71 Apache устранила ещё две ошибки: возможность аварийного завершения серверного процесса в mod_md и переполнение буфера в mod_vhost_alias.
Администраторам сайтов и корпоративных сервисов на Apache следует проверить версию HTTP Server и наличие HTTP/2, затем обновиться до 2.4.71 или установить исправленный пакет своего дистрибутива. Если немедленное обновление невозможно, Wiz рекомендует временно отключить HTTP/2 и оставить HTTP/1.1 до установки исправления.
