Apache HTTP Server con HTTP/2: grave difetto critico in mod_http2 consente l'esecuzione di codice remoto

Cosa è successo

L'11 novembre 2026 il progetto Apache HTTP Server ha pubblicato CVE-2026-119618 e rilasciato la versione 2.4.71. Il progetto classifica il difetto come critico. Il problema si trova nel modulo HTTP/2 mod_http2, nella funzione assign_headers(). Le risorse condivise non vengono sincronizzate correttamente quando le richieste vengono elaborate contemporaneamente. Secondo l'avviso del progetto, ciò causa un danneggiamento dello heap che può portare all'esecuzione di codice remoto.

Red Hat attribuisce al difetto un punteggio di 9,8 su 10 nella scala CVSS. Secondo Red Hat, un aggressore in grado di raggiungere il server non necessita di autenticazione e potrebbe prendere il pieno controllo del processo del server. Red Hat afferma inoltre che una ricerca pubblica ha dimostrato uno sfruttamento affidabile con una configurazione predefinita in cui mod_http2 è attivo, ma non ne indica la fonte. La società di sicurezza Wiz ha successivamente dichiarato che non era disponibile alcun exploit e che non sono stati segnalati attacchi. La vulnerabilità non figura nel catalogo CISA delle vulnerabilità sfruttate e nessuna fonte da noi verificata segnala attacchi.

La versione 2.4.71 corregge anche altri due difetti:

• CVE-2026-106023 (classificato come importante): un arresto anomalo in mod_md.
• CVE-2026-109163 (classificato come basso): una sovrascrittura di un byte nello stack in mod_vhost_alias.

Chi è interessato

• Apache HTTP Server dalla 2.4.55 alla 2.4.70, ma solo con HTTP/2 attivo. HTTP/2 viene eseguito solo dove la direttiva Protocols include h2 (HTTP/2 su TLS) oppure h2c (HTTP/2 su TCP in chiaro). Questa direttiva può essere impostata per l'intero server o per un singolo host virtuale.
• I server che hanno installato la 2.4.67 per il precedente difetto HTTP/2 CVE-2026-23918 restano interessati. Ciò vale per tutte le release dalla 2.4.67 alla 2.4.70.
• Build autonome del modulo (mod_h2 da GitHub), dalla versione 2.0.8 alla 2.0.42. Non esiste ancora una release corretta di mod_h2 e il repository del progetto è stato archiviato.

I seguenti sistemi non sono interessati:

• Versioni di Apache precedenti alla 2.4.55.
• Server su cui né h2 né h2c è attivo in alcuna direttiva Protocols.
• Red Hat Enterprise Linux 6, 7 e 8, che non contengono il codice vulnerabile.

Stato dei pacchetti delle distribuzioni, al 12 novembre 2026:

• RHEL 9: corretto in mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: corretto in mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Release RHEL EUS e SAP: le correzioni sono disponibili in avvisi separati. Red Hat classifica il difetto come Importante anziché Critico su RHEL 9 e 10, perché le sue build rendono un attacco molto più difficile.
• Red Hat JBoss Core Services e Red Hat Hardened Images: risultano interessati, senza ancora una correzione.
• Debian: la versione unstable (sid) è corretta con apache2 2.4.71-1. Il tracker di Debian elenca bookworm, trixie e forky come vulnerabili, senza ancora un pacchetto corretto.
• Amazon Linux 2, Amazon Linux 2023 e Amazon Linux 2027 Preview: una correzione è in attesa.
• Ubuntu: non era ancora stato pubblicato alcno stato.

I pannelli di hosting e gli altri prodotti che includono una propria build di Apache sono interessati se la loro build rientra in questo intervallo di versioni e HTTP/2 è attivo. Per il loro stato, consulti l'avviso del fornitore.

Cosa fare subito

1. Verifichi la versione di Apache con apachectl -v oppure httpd -v. Poi controlli se HTTP/2 è attivo (vedi la sezione successiva).
2. Aggiorni.
   • Apache compilato autonomamente o dal progetto upstream: passi alla 2.4.71.
   • RHEL 9 e 10: installi gli aggiornamenti, ad esempio con dnf update mod_http2.
   • Altre distribuzioni: installi il pacchetto apache2 o httpd corretto non appena la distribuzione ne pubblica uno. Consulti gli avvisi dei fornitori collegati qui sotto.
3. Riavvii completamente Apache, ad esempio con systemctl restart httpd oppure systemctl restart apache2. Un riavvio completo garantisce che il modulo aggiornato venga caricato. Poi verifichi che i suoi siti rispondano.
4. Se non può ancora aggiornare: l'avviso di Apache non prevede alcuna soluzione alternativa. Wiz raccomanda di rimuovere h2 e h2c da ogni direttiva Protocols, lasciando Protocols http/1.1. Controlli l'impostazione globale del server e ogni host virtuale. Poi verifichi la configurazione con apachectl configtest e riavvii Apache. I client passeranno automaticamente a HTTP/1.1. Questa è anche l'unica protezione disponibile finora per i server che usano le build autonome di mod_h2.
5. Controlli gli altri server, inclusi i reverse proxy e i server gestiti per conto dei clienti, se eseguono Apache 2.4.55 o successivo con HTTP/2 attivo.

Come verificare se è interessato

• Versione: esegua apachectl -v (oppure httpd -v). Le versioni dalla 2.4.55 alla 2.4.70 sono interessate. Per i pacchetti delle distribuzioni, confronti con le versioni corrette elencate sopra, perché le distribuzioni usano una propria numerazione.
• Modulo caricato: apachectl -M 2>/dev/null | grep http2 mostra se mod_http2 è caricato.
• HTTP/2 attivo: esegua grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null e cerchi h2 oppure h2c. Includa eventuali altre directory che contengono file di configurazione.
• Dall'esterno: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' stampa 2 se il sito risponde tramite HTTP/2.

Se nessuno dei suoi server ha h2 o h2c in una direttiva Protocols, questo difetto non li riguarda. Installi comunque la versione 2.4.71 o l'aggiornamento della sua distribuzione durante la normale manutenzione, perché corregge anche gli altri due difetti.

Fonti

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html