Apache HTTP Server com HTTP/2: falha crítica no mod_http2 permite execução remota de código

O que aconteceu

Em 11 de novembro de 2026, o projeto Apache HTTP Server publicou a CVE-2026-119618 e lançou a versão 2.4.71. O projeto classifica a falha como crítica. Ela está no módulo de HTTP/2 mod_http2, na função assign_headers(). Recursos compartilhados não são devidamente sincronizados quando requisições são executadas ao mesmo tempo. O comunicado do projeto afirma que isso causa corrupção de heap, que pode levar à execução remota de código.

A Red Hat classifica a falha com 9,8 de 10 na escala CVSS. Segundo a empresa, um atacante que consegue acessar o servidor não precisa de autenticação e poderia assumir o controle total do processo do servidor. A Red Hat também afirma que pesquisas públicas demonstraram um exploit confiável contra a configuração padrão com mod_http2 ativado, mas não identifica essas pesquisas. A empresa de segurança Wiz informou depois que não havia exploit disponível e que nenhum ataque havia sido relatado. A vulnerabilidade não consta no catálogo de vulnerabilidades exploradas da CISA, e nenhuma fonte que verificamos relata ataques.

A versão 2.4.71 também corrige outras duas falhas:

• CVE-2026-106023 (classificada como importante): uma falha por travamento no mod_md.
• CVE-2026-109163 (classificada como baixa): uma sobrescrita de um byte na pilha no mod_vhost_alias.

Quem é afetado

• Apache HTTP Server 2.4.55 a 2.4.70, mas somente quando o HTTP/2 está ativado. O HTTP/2 só funciona onde a diretiva Protocols inclui h2 (HTTP/2 sobre TLS) ou h2c (HTTP/2 sobre TCP simples). Essa diretiva pode ser definida para o servidor inteiro ou para um único host virtual.
• Servidores que instalaram a 2.4.67 para a falha anterior de HTTP/2, a CVE-2026-23918, continuam afetados. Isso vale para todas as versões de 2.4.67 a 2.4.70.
• Builds independentes do módulo (mod_h2 do GitHub), versões 2.0.8 a 2.0.42. Ainda não há uma versão corrigida do mod_h2, e o repositório do projeto foi arquivado.

estes sistemas não são afetados:

• Versões do Apache anteriores à 2.4.55.
• Servidores em que nem h2 nem h2c está ativado em qualquer diretiva Protocols.
• Red Hat Enterprise Linux 6, 7 e 8, que não contêm o código vulnerável.

Situação dos pacotes das distribuições, em 12 de novembro de 2026:

• RHEL 9: corrigido em mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: corrigido em mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Versões RHEL EUS e SAP: as correções estão disponíveis em comunicados separados. A Red Hat classifica a falha como Importante, e não Crítica, no RHEL 9 e 10, porque os builds dessas versões tornam o ataque bem mais difícil.
• Red Hat JBoss Core Services e Red Hat Hardened Images: listados como afetados, sem correção até o momento.
• Debian: o ramo instável (sid) está corrigido com apache2 2.4.71-1. O rastreador do Debian lista bookworm, trixie e forky como vulneráveis, sem pacote corrigido até o momento.
• Amazon Linux 2, Amazon Linux 2023 e Amazon Linux 2027 Preview: correção pendente.
• Ubuntu: nenhum status havia sido publicado até o momento.

Painéis de hospedagem e outros produtos que incluem seu próprio build do Apache são afetados se o build estiver nesta faixa de versões e o HTTP/2 estiver ativado. Para saber a situação, consulte o comunicado do fornecedor.

O que fazer agora

1. Descubra a versão do seu Apache com apachectl -v ou httpd -v. Depois, verifique se o HTTP/2 está ativado (veja a próxima seção).
2. Atualize.
   • Apache compilado por você ou versão upstream: atualize para a 2.4.71.
   • RHEL 9 e 10: instale as atualizações, por exemplo com dnf update mod_http2.
   • Outras distribuições: instale o pacote apache2 ou httpd corrigido assim que sua distribuição publicá-lo. Consulte os comunicados dos fornecedores listados abaixo.
3. Reinicie o Apache completamente, por exemplo com systemctl restart httpd ou systemctl restart apache2. Uma reinicialização completa garante que o módulo atualizado seja carregado. Em seguida, confirme que seus sites respondem.
4. Se ainda não puder atualizar: o comunicado do Apache não oferece solução alternativa. A Wiz recomenda remover h2 e h2c de todas as diretivas Protocols, deixando Protocols http/1.1. Verifique a configuração global do servidor e cada host virtual. Depois, teste a configuração com apachectl configtest e reinicie o Apache. Os clientes voltarão a usar HTTP/1.1. Esta também é a única proteção até agora para servidores que usam os builds independentes do mod_h2.
5. Verifique seus outros servidores, incluindo proxies reversos e servidores que você administra para clientes, caso executem Apache 2.4.55 ou posterior com HTTP/2 ativado.

Como verificar se você é afetado

• Versão: execute apachectl -v (ou httpd -v). As versões 2.4.55 a 2.4.70 são afetadas. Em pacotes de distribuições, compare com as versões de pacote corrigidas listadas acima, pois as distribuições usam sua própria numeração.
• Módulo carregado: apachectl -M 2>/dev/null | grep http2 mostra se o mod_http2 está carregado.
• HTTP/2 ativado: execute grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null e procure por h2 ou h2c. Inclua quaisquer outros diretórios que contenham arquivos de configuração.
• De fora: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' imprime 2 se o site responde por HTTP/2.

Se nenhum dos seus servidores tiver h2 ou h2c em uma diretiva Protocols, esta falha não os afeta. Ainda assim, instale a versão 2.4.71 ou a atualização da sua distribuição durante a manutenção normal, pois ela também corrige as outras duas falhas.

Fontes

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html