Apache HTTP Server με HTTP/2: κρίσιμη ευπάθεια στο mod_http2 επιτρέπει απομακρυσμένη εκτέλεση κώδικα

Τι συνέβη

Στις 11 Νοεμβρίου 2026 το έργο Apache HTTP Server δημοσίευσε το CVE-2026-119618 και κυκλοφόρησε την έκδοση 2.4.71. Το έργο κατατάσσει την ευπάθεια ως κρίσιμη. Βρίσκεται στη μονάδα HTTP/2 mod_http2, στη συνάρτηση assign_headers(). Οι κοινόχρηστοι πόροι δεν συγχρονίζονται σωστά όταν τα αιτήματα εκτελούνται ταυτόχρονα. Η ανακοίνωση του έργου αναφέρει ότι αυτό προκαλεί καταστροφή της σωρού (heap corruption), η οποία μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα.

Η Red Hat βαθμολογεί την ευπάθεια με 9,8 από 10 στην κλίμακα CVSS. Αναφέρει ότι ένας επιτιθέμενος που μπορεί να φτάσει στον διακομιστή δεν χρειάζεται πιστοποίηση και θα μπορούσε να αποκτήσει πλήρη έλεγχο της διεργασίας του διακομιστή. Η Red Hat αναφέρει επίσης ότι δημόσια έρευνα έχει δείξει αξιόπιστο exploit σε προεπιλεγμένη ρύθμιση με ενεργοποιημένο mod_http2, χωρίς όμως να κατονομάζει την έρευνα. Η εταιρεία ασφαλείας Wiz ανέφερε αργότερα ότι δεν υπήρχε διαθέσιμο exploit και ότι δεν είχαν αναφερθεί επιθέσεις. Η ευπάθεια δεν περιλαμβάνεται στον κατάλογο της CISA με εκμεταλλευόμενες ευπάθειες, και καμία από τις πηγές που ελέγξαμε δεν αναφέρει επιθέσεις.

Η έκδοση 2.4.71 διορθώνει επίσης δύο ακόμη ευπάθειες:

• CVE-2026-106023 (βαθμολογία σημαντική): κατάρρευση στο mod_md.
• CVE-2026-109163 (βαθμολογία χαμηλή): εγγραφή ενός byte πέρα από τα όρια στη στοίβα, στο mod_vhost_alias.

Ποιος επηρεάζεται

• Apache HTTP Server 2.4.55 έως 2.4.70,但 μόνο όταν το HTTP/2 είναι ενεργό. Το HTTP/2 λειτουργεί μόνο όπου η οδηγία Protocols περιλαμβάνει το h2 (HTTP/2 μέσω TLS) ή το h2c (HTTP/2 μέσω απλού TCP). Αυτή η οδηγία μπορεί να οριστεί για ολόκληρο τον διακομιστή ή για ένα μόνο εικονικό host.
• Διακομιστές που εγκατέστησαν την 2.4.67 για την προηγούμενη ευπάθεια HTTP/2 CVE-2026-23918 παραμένουν επηρεασμένοι. Αυτό ισχύει για κάθε έκδοση από 2.4.67 έως 2.4.70.
• Αυτόνομες εκδόσεις της μονάδας (mod_h2 από το GitHub), εκδόσεις 2.0.8 έως 2.0.42. Δεν υπάρχει ακόμη διορθωμένη έκδοση του mod_h2, και το αποθετήριο του έργου έχει αρχειοθετηθεί.

Αυτά τα συστήματα δεν επηρεάζονται:

• Εκδόσεις Apache πριν από την 2.4.55.
• Διακομιστές στους οποίους δεν είναι ενεργοποιημένο το h2 ή το h2c σε καμία οδηγία Protocols.
• Red Hat Enterprise Linux 6, 7 και 8, που δεν περιέχουν τον ευάλωτο κώδικα.

Κατάσταση πακέτων διανομών, από 12 Νοεμβρίου 2026:

• RHEL 9: διορθωμένο στο mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: διορθωμένο στο mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Εκδόσεις RHEL EUS και SAP: οι διορθώσεις είναι διαθέσιμες σε ξεχωριστές ανακοινώσεις. Η Red Hat βαθμολογεί την ευπάθεια ως Important και όχι Critical στα RHEL 9 και 10, επειδή οι κατασκευές της κάνουν την επίθεση πολύ πιο δύσκολη.
• Red Hat JBoss Core Services και Red Hat Hardened Images: αναφέρονται ως επηρεασμένα, χωρίς διόρθωση ακόμη.
• Debian: το unstable (sid) είναι διορθωμένο με το apache2 2.4.71-1. Ο καταγραφέας του Debian αναφέρει ότι τα bookworm, trixie και forky είναι ευάλωτα, χωρίς διορθωμένο πακέτο ακόμη.
• Amazon Linux 2, Amazon Linux 2023 και Amazon Linux 2027 Preview: η διόρθωση εκκρεμεί.
• Ubuntu: δεν είχε δημοσιευτεί ακόμη καμία κατάσταση.

Οι πίνακες φιλοξενίας και άλλα προϊόντα που περιλαμβάνουν δικό τους build του Apache επηρεάζονται, αν το build τους βρίσκεται σε αυτό το εύρος εκδόσεων και το HTTP/2 είναι ενεργό. Για την κατάστασή τους, δες την ανακοίνωση του προμηθευτή.

Τι να κάνεις τώρα

1. Βρες την έκδοση του Apache με apachectl -v ή httpd -v. Έπειτα έλεγξε αν το HTTP/2 είναι ενεργό (δες την επόμενη ενότητα).
2. Ενημέρωσε.
   • Self-built ή upstream Apache: αναβάθμισε στην 2.4.71.
   • RHEL 9 και 10: εγκατάστησε τις ενημερώσεις, για παράδειγμα με dnf update mod_http2.
   • Άλλες διανομές: εγκατάστησε το διορθωμένο πακέτο apache2 ή httpd μόλις η διανομή σου το δημοσιεύσει. Έλεγξε τις ανακοινώσεις των προμηθευτών που αναφέρονται παρακάτω.
3. Κάνε πλήρη επανεκκίνηση του Apache, για παράδειγμα με systemctl restart httpd ή systemctl restart apache2. Η πλήρης επανεκκίνηση διασφαλίζει ότι φορτώνεται η ενημερωμένη μονάδα. Έπειτα βεβαιώσου ότι οι ιστότοποι σου ανταποκρίνονται.
4. Αν δεν μπορείς να ενημερώσεις ακόμη: η ανακοίνωση του Apache δεν προσφέρει παράκαμψη. Η Wiz προτείνει να αφαιρέσεις το h2 και το h2c από κάθε οδηγία Protocols, αφήνοντας Protocols http/1.1. Έλεγξε τη ρύθμιση σε επίπεδο διακομιστή και κάθε εικονικό host. Έπειτα δοκίμασε τη ρύθμιση με apachectl configtest και επανεκκίνησε το Apache. Οι πελάτες θα περάσουν σε HTTP/1.1. Αυτή είναι επίσης η μόνη προστασία μέχρι στιγμής για διακομιστές που χρησιμοποιούν τα αυτόνομα builds του mod_h2.
5. Έλεγξε τους υπόλοιπους διακομιστές σου, συμπεριλαμβανομένων των reverse proxies και των διακομιστών που διαχειρίζεσαι για πελάτες, αν τρέχουν Apache 2.4.55 ή νεότερο με ενεργοποιημένο HTTP/2.

Πώς να ελέγξεις αν επηρεάζεσαι

• Έκδοση: τρέξε apachectl -v (ή httpd -v). Οι εκδόσεις 2.4.55 έως 2.4.70 επηρεάζονται. Στα πακέτα διανομής, σύγκρινε με τις διορθωμένες εκδόσεις πακέτων που αναφέρονται παραπάνω, επειδή οι διανομές χρησιμοποιούν δικούς τους αριθμούς έκδοσης.
• Φορτωμένη μονάδα: η εντολή apachectl -M 2>/dev/null | grep http2 δείχνει αν το mod_http2 είναι φορτωμένο.
• Ενεργό HTTP/2: τρέξε grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null και δες αν υπάρχει h2 ή h2c. Συμπερίλαβε και όποιους άλλους καταλόγους περιέχουν αρχεία ρύθμισης.
• Από έξω: η εντολή curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' τυπώνει 2 αν ο ιστότοπος απαντά μέσω HTTP/2.

Αν κανένας από τους διακομιστές σου δεν έχει h2 ή h2c σε οδηγία Protocols, αυτή η ευπάθεια δεν τους επηρεάζει. Παρ' όλα αυτά, εγκατάστησε την έκδοση 2.4.71 ή την ενημέρωση της διανομής σου κατά τη συνήθη συντήρηση, επειδή διορθώνει και τις άλλες δύο ευπάθειες.

Πηγές

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html