Apache HTTP Server med HTTP/2: kritisk fejl i mod_http2 giver mulighed for fjernkodeudførelse

Hvad skete der

Den 11. november 2026 offentliggjorde Apache HTTP Server-projektet CVE-2026-119618 og udgav version 2.4.71. Projektet vurderer fejlen som kritisk. Den sidder i HTTP/2-modulet mod_http2, i funktionen assign_headers(). Delte ressourcer bliver ikke korrekt synkroniseret, når forespørgsler kører samtidig. Projektets sikkerhedsrådgivning siger, at dette forårsager heap-korruption, der kan føre til fjernkodeudførelse.

Red Hat vurderer fejlen til 9,8 ud af 10 på CVSS-skalaen. Der står, at en angriber, som kan nå serveren, ikke har brug for godkendelse og kan overtage fuld kontrol over serverprocessen. Red Hat skriver også, at offentlig forskning har vist en pålidelig udnyttelse mod en standardkonfiguration med mod_http2 aktiveret, men de nævner ikke forskningen. Sikkerhedsvirksomheden Wiz har senere oplyst, at der ikke fandtes nogen udnyttelse, og at der ikke er rapporteret angreb. Sårbarheden er ikke på CISA's katalog over udnyttede sårbarheder, og ingen af de kilder, vi har tjekket, rapporterer angreb.

Version 2.4.71 retter også to andre fejl:

• CVE-2026-106023 (vurderet som vigtig): et nedbrud i mod_md.
• CVE-2026-109163 (vurderet som lav): en overskrivning af en byte på stakken i mod_vhost_alias.

Hvem er berørt

• Apache HTTP Server 2.4.55 til 2.4.70, men kun når HTTP/2 er slået til. HTTP/2 kører kun, hvor direktivet Protocols indeholder h2 (HTTP/2 over TLS) eller h2c (HTTP/2 over almindelig TCP). Direktivet kan sættes for hele serveren eller for en enkelt virtuel vært.
• Servere, der installerede 2.4.67 for den tidligere HTTP/2-fejl CVE-2026-23918, er stadig berørt. Det gælder alle udgivelser fra 2.4.67 til 2.4.70.
• Selvstændige builds af modulet (mod_h2 fra GitHub), versionerne 2.0.8 til 2.0.42. Der findes endnu ingen rettet mod_h2-udgivelse, og projektets repository er blevet arkiveret.

Disse systemer er ikke berørt:

• Apache-versioner før 2.4.55.
• Servere, hvor hverken h2 eller h2c er aktiveret i noget Protocols-direktiv.
• Red Hat Enterprise Linux 6, 7 og 8, som ikke indeholder den sårbare kode.

Status for distributionspakker pr. 12. november 2026:

• RHEL 9: rettet i mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: rettet i mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS og SAP-udgivelser: rettelser findes i separate rådgivninger. Red Hat vurderer fejlen som Important i stedet for Critical på RHEL 9 og 10, fordi deres builds gør et angreb meget sværere.
• Red Hat JBoss Core Services og Red Hat Hardened Images: listet som berørt, uden rettelse endnu.
• Debian: unstable (sid) er rettet med apache2 2.4.71-1. Debians tracker lister bookworm, trixie og forky som sårbare, uden rettet pakke endnu.
• Amazon Linux 2, Amazon Linux 2023 og Amazon Linux 2027 Preview: en rettelse er på vej.
• Ubuntu: der var endnu ikke offentliggjort nogen status.

Hostingpaneler og andre produkter, der leverer deres egen Apache-build, er berørt, hvis deres build ligger i dette versionsinterval, og HTTP/2 er slået til. Tjek leverandørens rådgivning for deres status.

Hvad du skal gøre nu

1. Find din Apache-version med apachectl -v eller httpd -v. Tjek derefter, om HTTP/2 er slået til (se næste afsnit).
2. Opdater.
   • Selvbygget eller upstream Apache: opgrader til 2.4.71.
   • RHEL 9 og 10: installer opdateringerne, for eksempel med dnf update mod_http2.
   • Andre distributioner: installer den rettede apache2- eller httpd-pakke, så snart din distribution udgiver en. Tjek leverandørens rådgivninger nedenfor.
3. Genstart Apache helt, for eksempel med systemctl restart httpd eller systemctl restart apache2. En fuld genstart sikrer, at det opdaterede modul bliver indlæst. Bekræft derefter, at dine websteder svarer.
4. Hvis du ikke kan opdatere endnu: Apaches rådgivning tilbyder ingen midlertidig løsning. Wiz anbefaler at fjerne h2 og h2c fra alle Protocols-direktiver, så der kun står Protocols http/1.1. Tjek indstillingen for hele serveren og hver virtuel vært. Test derefter konfigurationen med apachectl configtest og genstart Apache. Klienter falder tilbage til HTTP/1.1. Dette er også den eneste beskyttelse indtil videre for servere, der bruger de selvstændige mod_h2-builds.
5. Tjek dine andre servere, herunder reverse proxyer og servere, du driver for kunder, hvis de kører Apache 2.4.55 eller nyere med HTTP/2 slået til.

Sådan tjekker du, om du er berørt

• Version: kør apachectl -v (eller httpd -v). Versionerne 2.4.55 til 2.4.70 er berørt. Ved distributionspakker skal du sammenligne med de rettede pakkeversioner ovenfor, fordi distributioner bruger deres egne versionsnumre.
• Modul indlæst: apachectl -M 2>/dev/null | grep http2 viser, om mod_http2 er indlæst.
• HTTP/2 slået til: kør grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null og kig efter h2 eller h2c. Medtag andre mapper, der indeholder konfigurationsfiler.
• Udefra: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' skriver 2, hvis siden svarer over HTTP/2.

Hvis ingen af dine servere har h2 eller h2c i et Protocols-direktiv, påvirker den fejl dem ikke. Installer stadig version 2.4.71 eller din distributions opdatering under almindelig vedligeholdelse, fordi den også retter de to andre fejl.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html