Apache HTTP Server s HTTP/2: kritická chyba v mod_http2 umožňuje vzdálené spuštění kódu

Co se stalo

Dne 11. listopadu 2026 projekt Apache HTTP Server zveřejnil CVE-2026-119618 a vydal verzi 2.4.71. Projekt chybu hodnotí jako kritickou. Nachází se v modulu HTTP/2 mod_http2, konkrétně ve funkci assign_headers(). Sdílené prostředky nejsou správně synchronizovány, když běží požadavky současně. Bezpečnostní upozornění projektu uvádí, že to způsobuje poškození haldy, které může vést ke vzdálenému spuštění kódu.

Red Hat chybu hodnotí na 9,8 bodu z 10 podle škály CVSS. Uvádí, že útočník, který se k serveru dostane, nepotřebuje ověření a mohl by získat úplnou kontrolu nad procesem serveru. Red Hat rovněž uvádí, že veřejný výzkum prokázal spolehlivý exploit proti výchozí konfiguraci s zapnutým mod_http2, ale tento výzkum nejmenuje. Bezpečnostní společnost Wiz později uvedla, že žádný exploit nebyl k dispozici a že nebyly hlášeny žádné útoky. Chyba není v katalogu zneužívaných zranitelností CISA a žádný zdroj, který jsme ověřovali, neuvádí žádné útoky.

Verze 2.4.71 opravuje také dvě další chyby:

• CVE-2026-106023 (hodnocena jako důležitá): pád v mod_md.
• CVE-2026-109163 (hodnocena jako nízká): přepsání zásobníku o jeden bajt v mod_vhost_alias.

Kdo je ohrožen

• Apache HTTP Server 2.4.55 až 2.4.70, ale pouze pokud je zapnutý HTTP/2. HTTP/2 běží pouze tam, kde direktiva Protocols obsahuje h2 (HTTP/2 přes TLS) nebo h2c (HTTP/2 přes prostý TCP). Tuto direktivu lze nastavit pro celý server nebo pro jeden virtuální hostitel.
• Servery, které nainstalovaly verzi 2.4.67 kvůli dřívější chybě HTTP/2 CVE-2026-23918, jsou stále ohroženy. Týká se to každé verze od 2.4.67 do 2.4.70.
• Samostatné sestavení modulu (mod_h2 z GitHubu), verze 2.0.8 až 2.0.42. Opravená verze mod_h2 zatím neexistuje a repozitář projektu byl archivován.

Tyto systémy ohroženy nejsou:

• Apache ve verzích před 2.4.55.
• Servery, na nichž není v žádné direktivě Protocols zapnut h2 ani h2c.
• Red Hat Enterprise Linux 6, 7 a 8, které zranitelný kód neobsahují.

Stav distribučních balíčků k 12. listopadu 2026:

• RHEL 9: opraveno v balíčku mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: opraveno v balíčku mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Vydání RHEL EUS a SAP: opravy jsou k dispozici v samostatných bezpečnostních upozorněních. Red Hat chybu na RHEL 9 a 10 hodnotí jako důležitou, nikoli kritickou, protože jeho sestavení útok výrazně ztěžují.
• Red Hat JBoss Core Services a Red Hat Hardened Images: uvedeny jako ohrožené, bez opravy.
• Debian: větev unstable (sid) je opravena v balíčku apache2 2.4.71-1. Sledovač Debianu uvádí bookworm, trixie a forky jako zranitelné, bez opraveného balíčku.
• Amazon Linux 2, Amazon Linux 2023 a Amazon Linux 2027 Preview: oprava je ve stavu čekání.
• Ubuntu: zatím nebyl zveřejněn žádný stav.

Hostingové panely a další produkty, které dodávají vlastní sestavení Apache, jsou ohroženy, pokud jejich sestavení spadá do tohoto rozsahu verzí a je zapnutý HTTP/2. Jejich stav ověřte v bezpečnostním upozornění dodavatele.

Co udělat hned

1. Zjistěte verzi Apache pomocí apachectl -v nebo httpd -v. Poté ověřte, zda je zapnutý HTTP/2 (viz následující část).
2. Aktualizujte.
   • Vlastní nebo upstream Apache: upgradujte na 2.4.71.
   • RHEL 9 a 10: nainstalujte aktualizace, například příkazem dnf update mod_http2.
   • Jiné distribuce: nainstalujte opravený balíček apache2 nebo `httpd', jakmile jej vaše distribuce zveřejní. Ověřte bezpečnostní upozornění dodavatelů uvedená níže.
3. Plně restartujte Apache, například příkazem systemctl restart httpd nebo systemctl restart apache2. Úplný restart zajistí, že se načte aktualizovaný modul. Poté ověřte, že vaše weby odpovídají.
4. Pokud zatím nemůžete aktualizovat: bezpečnostní upozornění Apache nenabízí žádné dočasné řešení. Wiz doporučuje odstranit h2 a h2c ze všech direktiv Protocols a ponechat Protocols http/1.1. Zkontrolujte nastavení na úrovni serveru i každý virtuální hostitel. Poté otestujte konfiguraci příkazem apachectl configtest a restartujte Apache. Klienti se přepnou na HTTP/1.1. Jde zatím také o jedinou ochranu pro servery, které používají samostatná sestavení mod_h2.
5. Zkontrolujte ostatní servery, včetně reverzních proxy a serverů, které provozujete pro zákazníky, pokud běží Apache 2.4.55 nebo novější se zapnutým HTTP/2.

Jak zjistit, zda jste ohroženi

• Verze: spusťte apachectl -v (nebo httpd -v). Verze 2.4.55 až 2.4.70 jsou ohroženy. U balíčků z distribuce porovnejte s uvedenými opravenými verzemi balíčků, protože distribuce používají vlastní číslování verzí.
• Načtený modul: apachectl -M 2>/dev/null | grep http2 ukáže, zda je mod_http2 načten.
• Zapnutý HTTP/2: spusťte grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null a hledejte h2 nebo h2c. Zahrňte i další adresáře, které obsahují konfigurační soubory.
• Zvenku: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' vypíše 2, pokud web odpovídá přes HTTP/2.

Pokud žádný z vašich serverů nemá h2 ani h2c v direktivě Protocols, tato chyba je neovlivní. I tak nainstalujte verzi 2.4.71 nebo aktualizaci své distribuce v rámci běžné údržby, protože opravuje také další dvě chyby.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html