Apache HTTP Server med HTTP/2: kritisk feil i mod_http2 gir mulighet for fjernkjøring av kode

Hva skjedde

Den 11. november 2026 publiserte Apache HTTP Server-prosjektet CVE-2026-119618 og lanserte versjon 2.4.71. Prosjektet vurderer feilen som kritisk. Den ligger i HTTP/2-modulen mod_http2, i funksjonen assign_headers(). Delte ressurser blir ikke synkronisert på riktig måte når forespørsler kjører samtidig. Prosjektets sikkerhetsvarsel sier at dette fører til korrupsjon i heap-minnet, som kan føre til fjernkjøring av kode.

Red Hat vurderer feilen til 9,8 av 10 på CVSS-skalaen. De sier at en angriper som kan nå serveren, ikke trenger autentisering og kan ta full kontroll over serverprosessen. Red Hat sier også at offentlig forskning har vist et pålitelig angrep mot en standardkonfigurasjon med mod_http2 slått på, men de nevner ikke hvilken forskning det gjelder. Sikkerhetsselskapet Wiz sa senere at det ikke fantes noe angrep tilgjengelig, og at det ikke var rapportert noen angrep. Sårbarheten står ikke i CISAs katalog over utnyttede sårbarheter, og ingen av kildene vi sjekket rapporterer om angrep.

Versjon 2.4.71 retter også to andre feil:

• CVE-2026-106023 (vurdert som viktig): en krasj i mod_md.
• CVE-2026-109163 (vurdert som lav): en overskriving av én byte på stakken i mod_vhost_alias.

Hvem er berørt

• Apache HTTP Server 2.4.55 til 2.4.70, men bare når HTTP/2 er slått på. HTTP/2 kjører bare der direktivet Protocols inkluderer h2 (HTTP/2 over TLS) eller h2c (HTTP/2 over vanlig TCP). Dette direktivet kan settes for hele serveren eller for en enkelt virtuell vert.
• Servere som installerte 2.4.67 for den tidligere HTTP/2-feilen CVE-2026-23918, er fortsatt berørt. Dette gjelder alle utgivelser fra 2.4.67 til 2.4.70.
• Frittstående bygg av modulen (mod_h2 fra GitHub), versjon 2.0.8 til 2.0.42. Det finnes ingen rettet mod_h2-utgave ennå, og prosjektets repository er arkivert.

Disse systemene er ikke berørt:

• Apache-versjoner før 2.4.55.
• Servere der verken h2 eller h2c er slått på i noe Protocols-direktiv.
• Red Hat Enterprise Linux 6, 7 og 8, som ikke inneholder den sårbare koden.

Status for distribusjonspakker per 12. november 2026:

• RHEL 9: rettet i mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: rettet i mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS- og SAP-utgaver: rettelser finnes i egne sikkerhetsvarsler. Red Hat vurderer feilen som Important i stedet for Critical på RHEL 9 og 10, fordi byggene deres gjør et angrep mye vanskeligere.
• Red Hat JBoss Core Services og Red Hat Hardened Images: oppgitt som berørt, uten rettelse ennå.
• Debian: unstable (sid) er rettet med apache2 2.4.71-1. Debians sporingssystem lister bookworm, trixie og forky som sårbare, uten rettet pakke ennå.
• Amazon Linux 2, Amazon Linux 2023 og Amazon Linux 2027 Preview: en rettelse er under arbeid.
• Ubuntu: ingen status er publisert ennå.

Hostingpaneler og andre produkter som leverer sitt eget Apache-bygg, er berørt hvis bygget faller innenfor dette versjonsintervallet og HTTP/2 er slått på. For status, sjekk leverandørens sikkerhetsvarsel.

Hva du bør gjøre nå

1. Finn Apache-versjonen din med apachectl -v eller httpd -v. Sjekk deretter om HTTP/2 er slått på (se neste avsnitt).
2. Oppdater.
   • Selvbygget eller opprinnelig Apache: oppgrader til 2.4.71.
   • RHEL 9 og 10: installer oppdateringene, for eksempel med dnf update mod_http2.
   • Andre distribusjoner: installer den rettede apache2- eller httpd-pakken så snart distribusjonen din publiserer en. Sjekk leverandørens sikkerhetsvarsler under.
3. Start Apache helt på nytt, for eksempel med systemctl restart httpd eller systemctl restart apache2. En full omstart sørger for at den oppdaterte modulen blir lastet. Bekreft deretter at nettstedene dine svarer.
4. Hvis du ikke kan oppdatere ennå: Apaches sikkerhetsvarsel tilbyr ingen omgåelse. Wiz anbefaler å fjerne h2 og h2c fra alle Protocols-direktiver, slik at det står Protocols http/1.1. Sjekk innstillingen for hele serveren og hver virtuelle vert. Test deretter konfigurasjonen med apachectl configtest og start Apache på nytt. Klienter vil gå tilbake til HTTP/1.1. Dette er også den eneste beskyttelsen så langt for servere som bruker de frittstående mod_h2-byggene.
5. Sjekk de andre serverne dine, inkludert reverse proxyer og servere du driver for kunder, hvis de kjører Apache 2.4.55 eller nyere med HTTP/2 slått på.

Slik sjekker du om du er berørt

• Versjon: kjør apachectl -v (eller httpd -v). Versjonene 2.4.55 til 2.4.70 er berørt. For distribusjonspakker sammenligner du med de rettede pakkeversjonene over, fordi distribusjoner bruker egne versjonsnummer.
• Modul lastet: apachectl -M 2>/dev/null | grep http2 viser om mod_http2 er lastet.
• HTTP/2 slått på: kjør grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null og se etter h2 eller h2c. Ta med andre kataloger som inneholder konfigurasjonsfiler.
• Utenfra: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' skriver ut 2 hvis nettstedet svarer over HTTP/2.

Hvis ingen av serverne dine har h2 eller h2c i et Protocols-direktiv, rammer ikke denne feilen dem. Installer likevel versjon 2.4.71 eller distribusjonens oppdatering under vanlig vedlikehold, fordi den også retter de to andre feilene.

Kilder

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html