Apache HTTP Server s HTTP/2: kritična ranjivost u mod_http2 omogućuje izvršavanje koda na daljinu

Što se dogodilo

Dana 11. studenoga 2026. projekt Apache HTTP Server objavio je CVE-2026-119618 i izdao verziju 2.4.71. Projekt ranjivost ocjenjuje kao kritičnu. Nalazi se u modulu za HTTP/2, mod_http2, u funkciji assign_headers(). Zajednički resursi nisu ispravno sinkronizirani kada se zahtjevi izvršavaju istovremeno. U sigurnosnom savjetu projekta navodi se da to uzrokuje oštećenje heap memorije koje može dovesti do izvršavanja koda na daljinu.

Red Hat ranjivosti dodjeljuje ocjenu 9,8 od 10 prema CVSS ljestvici. Navodi da napadaču koji može doći do poslužitelja nije potrebna autentikacija i da bi mogao preuzeti potpunu kontrolu nad procesom poslužitelja. Red Hat također navodi da je javno istraživanje pokazalo pouzdan exploit protiv zadane konfiguracije s uključenim mod_http2, ali to istraživanje ne imenuje. Sigurnosna tvrtka Wiz je kasnije rekla da exploit nije bio dostupan i da nisu prijavljeni napadi. Ranjivost nije u CISA-inom katalogu iskorištenih ranjivosti, a nijedan izvor koji smo provjerili ne prijavljuje napade.

Verzija 2.4.71 ispravlja i dvije druge ranjivosti:

• CVE-2026-106023 (ocijenjena kao važna): pad programa u modulu mod_md.
• CVE-2026-109163 (ocijenjena kao niska): prepisivanje jednog bajta na stogu u modulu mod_vhost_alias.

Tko je zahvaćen

• Apache HTTP Server 2.4.55 do 2.4.70, ali samo kada je HTTP/2 uključen. HTTP/2 radi samo tamo gdje direktiva Protocols uključuje h2 (HTTP/2 preko TLS-a) ili h2c (HTTP/2 preko običnog TCP-a). Ta se direktiva može postaviti za cijeli poslužitelj ili za pojedinačni virtualni host.
• Poslužitelji koji su instalirali 2.4.67 zbog ranijeg HTTP/2 propusta CVE-2026-23918 i dalje su zahvaćeni. To se odnosi na svako izdanje od 2.4.67 do 2.4.70.
• Samostalne izvedbe modula (mod_h2 s GitHuba), verzije 2.0.8 do 2.0.42. Ispravljeno izdanje mod_h2 još ne postoji, a repozitorij projekta je arhiviran.

Na ovim sustavima ranjivost nije prisutna:

• Apache verzije prije 2.4.55.
• Poslužitelji na kojima ni h2 ni h2c nije uključen ni u jednoj direktivi Protocols.
• Red Hat Enterprise Linux 6, 7 i 8, koji ne sadrže ranjivi kod.

Stanje distribucijskih paketa, od 12. studenoga 2026.:

• RHEL 9: ispravljeno u mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: ispravljeno u mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS i SAP izdanja: ispravci su dostupni u zasebnim savjetima. Red Hat na RHEL-u 9 i 10 ranjivost ocjenjuje kao važnu, a ne kritičnu, jer njegove izvedbe napad čine znatno težim.
• Red Hat JBoss Core Services i Red Hat Hardened Images: navedeni su kao zahvaćeni, bez ispravka za sada.
• Debian: nestabilna grana (sid) ispravljena je paketom apache2 2.4.71-1. Debianov sustav praćenja navodi bookworm, trixie i forky kao ranjive, bez ispravljenog paketa za sada.
• Amazon Linux 2, Amazon Linux 2023 i Amazon Linux 2027 Preview: ispravak je u pripremi.
• Ubuntu: status još nije objavljen.

Hosting paneli i drugi proizvodi koji isporučuju vlastitu izvedbu Apachea zahvaćeni su ako njihova izvedba spada u ovaj raspon verzija i ako je HTTP/2 uključen. Za njihov status provjerite sigurnosni savjet dobavljača.

Što učiniti sada

1. Saznajte verziju Apachea naredbom apachectl -v ili httpd -v. Zatim provjerite je li HTTP/2 uključen (vidi sljedeći odjeljak).
2. Ažurirajte.
   • Samostalno izrađeni ili izvorni Apache: nadogradite na 2.4.71.
   • RHEL 9 i 10: instalirajte ažuriranja, na primjer naredbom dnf update mod_http2.
   • Druge distribucije: instalirajte ispravljeni paket apache2 ili httpd čim ga vaša distribucija objavi. Provjerite sigurnosne savjete dobavljača navedene u nastavku.
3. Potpuno ponovno pokrenite Apache, na primjer naredbom systemctl restart httpd ili systemctl restart apache2. Potpuno ponovno pokretanje osigurava da se učitava ažurirani modul. Zatim provjerite odgovaraju li vaše stranice.
4. Ako još ne možete ažurirati: Apacheov savjet ne nudi zaobilazno rješenje. Wiz preporučuje uklanjanje h2 i h2c iz svake direktive Protocols, uz ostavljanje Protocols http/1.1. Provjerite postavku za cijeli poslužitelj i svaki virtualni host. Zatim testirajte konfiguraciju naredbom apachectl configtest i ponovno pokrenite Apache. Klijenti će se vratiti na HTTP/1.1. To je ujedno i jedina zaštita za sada za poslužitelje koji koriste samostalne izvedbe mod_h2.
5. Provjerite ostale poslužitelje, uključujući obrnute proxyje i poslužitelje koje održavate za klijente, ako koriste Apache 2.4.55 ili noviji s uključenim HTTP/2.

Kako provjeriti jeste li zahvaćeni

• Verzija: pokrenite apachectl -v (ili httpd -v). Verzije 2.4.55 do 2.4.70 su zahvaćene. Kod distribucijskih paketa usporedite s ispravljenim verzijama paketa navedenima iznad, jer distribucije koriste vlastite brojeve verzija.
• Učitan modul: apachectl -M 2>/dev/null | grep http2 pokazuje je li mod_http2 učitan.
• HTTP/2 uključen: pokrenite grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null i potražite h2 ili h2c. Uključite i sve druge direktorije koji sadrže konfiguracijske datoteke.
• Izvana: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' ispisuje 2 ako stranica odgovara preko HTTP/2.

Ako nijedan vaš poslužitelj nema h2 ili h2c u direktivi Protocols, ova ranjivost ih ne pogađa. Ipak, tijekom redovitog održavanja instalirajte verziju 2.4.71 ili ažuriranje svoje distribucije, jer ono ispravlja i druge dvije ranjivosti.

Izvori

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html