Apache HTTP Server с HTTP/2: критична уязвимост в mod_http2 позволява отдалечено изпълнение на код

Какво се случи

На 11 ноември 2026 г. проектът Apache HTTP Server публикува CVE-2026-119618 и пусна версия 2.4.71. Проектът оценява уязвимостта като критична. Тя се намира в модула за HTTP/2 mod_http2, във функцията assign_headers(). Споделените ресурси не се синхронизират правилно, когато заявките се обработват едновременно. Според съобщението на проекта това води до повреда в heap паметта, която може да доведе до отдалечено изпълнение на код.

Red Hat оценява уязвимостта с 9.8 от 10 по скалата CVSS. Според компанията нападател, който може да достигне до сървъра, не се нуждае от удостоверяване и може да получи пълен контрол над процеса на сървъра. Red Hat също посочва, че публично изследване е демонстрирало надежден експлойт срещу конфигурация по подразбиране с включен mod_http2, но не посочва кое е то. Компанията за сигурност Wiz съобщи по-късно, че не е наличен експлойт и че не са докладвани атаки. Уязвимостта не фигурира в каталога на CISA за експлоатирани уязвимости, а нито един от проверените от нас източници не съобщава за атаки.

Версия 2.4.71 отстранява и две други уязвимости:

• CVE-2026-106023 (оценена като важна): срив в mod_md.
• CVE-2026-109163 (оценена като ниска): презаписване на стека с един байт в mod_vhost_alias.

Кои са засегнати

• Apache HTTP Server 2.4.55 до 2.4.70, но само когато HTTP/2 е включен. HTTP/2 работи само там, където директивата Protocols включва h2 (HTTP/2 през TLS) или h2c (HTTP/2 през обикновен TCP). Тази директива може да се зададе за целия сървър или за отделен виртуален хост.
• Сървърите, инсталирали 2.4.67 заради по-ранната уязвимост в HTTP/2 CVE-2026-23918, остават засегнати. Това важи за всяка версия от 2.4.67 до 2.4.70.
• Самостоятелни сборки на модула (mod_h2 от GitHub), версии 2.0.8 до 2.0.42. Все още няма поправена версия на mod_h2, а хранилището на проекта е архивирано.

Тези системи не са засегнати:

• Apache версии преди 2.4.55.
• Сървъри, на които нито h2, нито h2c е включен в която и да е директива Protocols.
• Red Hat Enterprise Linux 6, 7 и 8, които не съдържат уязвимия код.

Състояние на пакетите за дистрибуции към 12 ноември 2026 г.:

• RHEL 9: отстранено в mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: отстранено в mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS и SAP издания: корекциите са налični в отделни препоръки. Red Hat оценява уязвимостта като важна, а не критична, за RHEL 9 и 10, тъй като нейните сборки правят атаката значително по-трудна.
• Red Hat JBoss Core Services и Red Hat Hardened Images: посочени като засегнати, без корекция към момента.
• Debian: unstable (sid) е поправен с apache2 2.4.71-1. Тракерът на Debian посочва bookworm, trixie и forky като уязвими, без поправен пакет към момента.
• Amazon Linux 2, Amazon Linux 2023 и Amazon Linux 2027 Preview: корекцията е в очакване.
• Ubuntu: към момента не е публикуван статус.

Хостинг панели и други продукти, които доставят собствена сборка на Apache, са засегнати, ако тяхната сборка попада в този диапазон от версии и HTTP/2 е включен. За тяхното състояние проверете съответното известие на доставчика.

Какво да направите сега

1. Установете версията на Apache с apachectl -v или httpd -v. След това проверете дали HTTP/2 е включен (вижте следващия раздел).
2. Обновете.
   • Самостоятелно компилиран или официален Apache: надградете до 2.4.71.
   • RHEL 9 и 10: инсталирайте обновленията, например с dnf update mod_http2.
   • Други дистрибуции: инсталирайте поправения пакет apache2 или httpd веднага щом дистрибуцията го публикува. Проверете известията на доставчиците, посочени по-долу.
3. Рестартирайте Apache напълно, например с systemctl restart httpd или systemctl restart apache2. Пълният рестарт гарантира, че обновеният модул е зареден. След това потвърдете, че сайтовете Ви отговарят.
4. Ако все още не можете да обновите: известието на Apache не предлага заобиколно решение. Wiz препоръчва да премахнете h2 и h2c от всяка директива Protocols, като оставите Protocols http/1.1. Проверете настройката за целия сървър и всеки виртуален хост. След това тествайте конфигурацията с apachectl configtest и рестартирайте Apache. Клиентите ще преминат към HTTP/1.1. Това е и единствената защита досега за сървърите, които използват самостоятелните сборки на mod_h2.
5. Проверете другите си сървъри, включително обратните проксита и сървърите, които поддържате за клиенти, ако работят с Apache 2.4.55 или по-нова версия и с включен HTTP/2.

Как да проверите дали сте засегнати

• Версия: изпълнете apachectl -v (или httpd -v). Версии 2.4.55 до 2.4.70 са засегнати. При пакети от дистрибуция сравнете с поправените версии на пакетите, посочени по-горе, тъй като дистрибуциите използват собствени номера на версии.
• Зареден модул: apachectl -M 2>/dev/null | grep http2 показва дали mod_http2 е зареден.
• Включен HTTP/2: изпълнете grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null и търсете h2 или h2c. Включете и всички други директории, в които се съхраняват конфигурационни файлове.
• Отвън: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' извежда 2, ако сайтът отговаря през HTTP/2.

Ако никой от Вашите сървъри няма h2 или h2c в директива Protocols, тази уязвимост не ги засяга. Въпреки това инсталирайте версия 2.4.71 или обновлението на Вашата дистрибуция по време на редовната поддръжка, тъй като то отстранява и другите две уязвимости.

Източници

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html