Apache HTTP Server ja HTTP/2: kriittinen mod_http2-virhe mahdollistaa etäkoodisuorituksen

Mitä tapahtui

Marraskuun 11. päivänä 2026 Apache HTTP Server -projekti julkaisi CVE-2026-119618:n, ja samalla julkaistiin versio 2.4.71. Projekti luokittelee virheen kriittiseksi. Se on HTTP/2-moduulissa mod_http2, funktiossa assign_headers(). Jaettuja resursseja ei synkronoida kunnolla, kun pyynnöt suoritetaan samanaikaisesti. Projektin tiedotteen mukaan tämä aiheuttaa keko-muistin korruption, mikä voi johtaa etäkoodisuoritukseen.

Red Hat arvioi virheen CVSS-asteikolla 9,8/10. Sen mukaan hyökkääjän, joka pääsee palvelimelle, ei tarvitse tunnistautua, ja hän voisi saada täyden hallinnan palvelinprosessista. Red Hat kertoo myös, että julkinen tutkimus on osoittanut toimivan hyökkäyskoodin oletusasetuksilla, joissa mod_http2 on käytössä, mutta se ei nimeä tutkimusta. Tietoturvayhtiö Wiz kertoi myöhemmin, ettei hyökkäyskoodia ole saatavilla eikä hyökkäyksiä ole raportoitu. Haavoittuvuus ei ole CISAn hyväksikäytettyjen haavoittuvuuksien luettelossa, eikä yksikään tarkistamamme lähde raportoi hyökkäyksistä.

Versio 2.4.71 korjaa myös kaksi muuta virhettä:

• CVE-2026-106023 (luokiteltu tärkeäksi): mod_md-moduulin kaatuminen.
• CVE-2026-109163 (luokiteltu matalaksi): yhden tavun pinon ylikirjoitus mod_vhost_alias-moduulissa.

Keitä tämä koskee

• Apache HTTP Server 2.4.55–2.4.70, mutta vain kun HTTP/2 on käytössä. HTTP/2 toimii vain, jos Protocols-direktiivi sisältää h2 (HTTP/2 TLS:n yli) tai h2c (HTTP/2 tavallisen TCP:n yli). Direktiivin voi asettaa koko palvelimelle tai yksittäiselle virtuaalipalvelimelle.
• Palvelimet, joihin on asennettu 2.4.67 aiemman HTTP/2-virheen CVE-2026-23918 takia, ovat edelleen haavoittuvia. Tämä koskee kaikkia versioita 2.4.67–2.4.70.
• Moduulin itsenäiset buildit (mod_h2 GitHubista), versiot 2.0.8–2.0.42. Korjattua mod_h2-julkaisua ei vielä ole, ja projektin repositorio on arkistoitu.

Nämä järjestelmät eivät ole haavoittuvia:

• Apache-versiot ennen 2.4.55.
• Palvelimet, joilla ei ole h2:ta eikä h2c:tä missään Protocols-direktiivissä.
• Red Hat Enterprise Linux 6, 7 ja 8, jotka eivät sisällä haavoittuvaa koodia.

Jakelupakettien tila 12. marraskuuta 2026:

• RHEL 9: korjattu paketissa mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: korjattu paketissa mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS ja SAP-julkaisut: korjaukset ovat saatavilla erillisissä tiedotteissa. Red Hat luokittelee virheen RHEL 9:llä ja 10:llä vakavuudeltaan tärkeäksi eikä kriittiseksi, koska sen buildit tekevät hyökkäyksestä huomattavasti vaikeamman.
• Red Hat JBoss Core Services ja Red Hat Hardened Images: listattu haavoittuviksi, korjausta ei vielä ole.
• Debian: unstable (sid) on korjattu paketilla apache2 2.4.71-1. Debianin seuranta listaa bookwormin, trixien ja forkyn haavoittuviksi, eikä korjattua pakettia vielä ole.
• Amazon Linux 2, Amazon Linux 2023 ja Amazon Linux 2027 Preview: korjaus on vireillä.
• Ubuntu: tilaa ei ollut vielä julkaistu.

Hosting-paneelit ja muut tuotteet, jotka toimittavat oman Apache-buildinsa, ovat haavoittuvia, jos niiden build kuuluu tähän versioväliin ja HTTP/2 on käytössä. Tarkista niiden tilanne toimittajan tiedotteesta.

Mitä kannattaa tehdä heti

1. Selvitä Apache-versiosi komennolla apachectl -v tai httpd -v. Tarkista sitten, onko HTTP/2 käytössä (ks. seuraava osio).
2. Päivitä.
   • Itse käännetty tai alkuperäinen Apache: päivitä versioon 2.4.71.
   • RHEL 9 ja 10: asenna päivitykset, esimerkiksi komennolla dnf update mod_http2.
   • Muut jakelut: asenna korjattu apache2- tai httpd-paketti heti, kun jakelusi julkaisee sen. Tarkista alla linkitetyt toimittajien tiedotteet.
3. Käynnistä Apache kokonaan uudelleen, esimerkiksi komennolla systemctl restart httpd tai systemctl restart apache2. Täysi uudelleenkäynnistys varmistaa, että päivitetty moduuli latautuu. Vahvista sitten, että sivustosi vastaavat.
4. Jos et voi vielä päivittää: Apachen tiedote ei tarjoa väliaikaista ratkaisua. Wiz suosittelee poistamaan h2:n ja h2c:n jokaisesta Protocols-direktiivistä ja jättämään Protocols http/1.1. Tarkista palvelinlaajuinen asetus ja jokainen virtuaalipalvelin. Testaa sitten asetukset komennolla apachectl configtest ja käynnistä Apache uudelleen. Asiakkaat siirtyvät HTTP/1.1:een. Tämä on toistaiseksi ainoa suoja myös palvelimille, jotka käyttävät itsenäisiä mod_h2-buildeja.
5. Tarkista muut palvelimesi, mukaan lukien käänteiset välityspalvelimet ja asiakkaillesi ajamasi palvelimet, jos ne käyttävät Apachea 2.4.55 tai uudempaa HTTP/2:n ollessa käytössä.

Miten tarkistat, oletko haavoittuvainen

• Versio: aja apachectl -v (tai httpd -v). Versiot 2.4.55–2.4.70 ovat haavoittuvia. Jakelupaketeissa vertaa yllä lueteltuihin korjattuihin pakettiversioihin, koska jakelut käyttävät omia versionumeroitaan.
• Moduuli ladattuna: apachectl -M 2>/dev/null | grep http2 näyttää, onko mod_http2 ladattu.
• HTTP/2 käytössä: aja grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null ja etsi h2 tai h2c. Lisää mukaan muut hakemistot, jotka sisältävät asetustiedostoja.
• Ulkopuolelta: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' tulostaa 2, jos sivusto vastaa HTTP/2:lla.

Jos yhdessäkään palvelimessasi ei ole h2:ta tai h2c:tä Protocols-direktiivissä, tämä virhe ei koske niitä. Asenna silti versio 2.4.71 tai jakelusi päivitys normaalin ylläpidon yhteydessä, koska se korjaa myös kaksi muuta virhettä.

Lähteet

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html