Apache HTTP Server cu HTTP/2: defect critic în mod_http2 permite executarea de cod de la distanță

Ce s-a întâmplat

Pe 11 noiembrie 2026, proiectul Apache HTTP Server a publicat CVE-2026-119618 și a lansat versiunea 2.4.71. Proiectul clasifică defectul ca critic. Se află în modulul HTTP/2 mod_http2, în funcția assign_headers(). Resursele partajate nu sunt sincronizate corect când cererile rulează în același timp. Anunțul proiectului spune că aceasta provoacă o corupere a heap-ului, care poate duce la executarea de cod de la distanță.

Red Hat evaluează defectul cu 9.8 din 10 pe scala CVSS. Spune că un atacator care poate ajunge la server nu are nevoie de autentificare și ar putea prelua controlul complet al procesului serverului. Red Hat mai spune că cercetări publice au demonstrat un exploit fiabil împotriva unei configurații implicite cu mod_http2 activat, dar nu numește acele cercetări. Compania de securitate Wiz a spus ulterior că nu era disponibil niciun exploit și că nu fuseseră raportate atacuri. Vulnerabilitatea nu apare în catalogul CISA al vulnerabilităților exploatate, iar nicio sursă verificată de noi nu raportează atacuri.

Versiunea 2.4.71 remediază și alte două defecte:

• CVE-2026-106023 (clasificat ca important): o prăbușire în mod_md.
• CVE-2026-109163 (clasificat ca scăzut): o suprascriere de un octet pe stivă în mod_vhost_alias.

Cine este afectat

• Apache HTTP Server 2.4.55 până la 2.4.70, dar doar când HTTP/2 este activat. HTTP/2 rulează doar acolo unde directiva Protocols include h2 (HTTP/2 peste TLS) sau h2c (HTTP/2 peste TCP simplu). Această directivă poate fi setată pentru întregul server sau pentru un singur virtual host.
• Serverele care au instalat 2.4.67 pentru defectul anterior HTTP/2 CVE-2026-23918 sunt încă afectate. Acest lucru se aplică fiecărei versiuni de la 2.4.67 până la 2.4.70.
• Build-urile independente ale modulului (mod_h2 de pe GitHub), versiunile 2.0.8 până la 2.0.42. Încă nu există o versiune remediată a mod_h2, iar depozitul proiectului a fost arhivat.

Aceste sisteme nu sunt afectate:

• Versiunile Apache dinaintea lui 2.4.55.
• Serverele pe care nu este activat nici h2, nici h2c în vreo directivă Protocols.
• Red Hat Enterprise Linux 6, 7 și 8, care nu conțin codul vulnerabil.

Starea pachetelor de distribuție, la 12 noiembrie 2026:

• RHEL 9: remediat în mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: remediat în mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Versiunile RHEL EUS și SAP: remedierile sunt disponibile în anunțuri separate. Red Hat clasifică defectul ca Important, nu Critic, pe RHEL 9 și 10, deoarece build-urile sale fac atacul mult mai dificil.
• Red Hat JBoss Core Services și Red Hat Hardened Images: figurează ca afectate, fără remediere încă.
• Debian: unstable (sid) este remediat cu apache2 2.4.71-1. Sistemul de urmărire al Debian listează bookworm, trixie și forky ca vulnerabile, fără un pachet remediat încă.
• Amazon Linux 2, Amazon Linux 2023 și Amazon Linux 2027 Preview: o remediere este în așteptare.
• Ubuntu: nu a fost publicat încă un status.

Panourile de găzduire și alte produse care livrează propriul build Apache sunt afectate dacă build-ul lor se încadrează în acest interval de versiuni și HTTP/2 este activat. Pentru statusul lor, verifică anunțul furnizorului.

Ce să faci acum

1. Află versiunea Apache cu apachectl -v sau httpd -v. Apoi verifică dacă HTTP/2 este activat (vezi secțiunea următoare).
2. Actualizează.
   • Apache compilat local sau upstream: treci la 2.4.71.
   • RHEL 9 și 10: instalează actualizările, de exemplu cu dnf update mod_http2.
   • Alte distribuții: instalează pachetul apache2 sau httpd remediat imediat ce distribuția ta îl publică. Verifică anunțurile furnizorilor linkate mai jos.
3. Repornește complet Apache, de exemplu cu systemctl restart httpd sau systemctl restart apache2. O repornire completă asigură încărcarea modulului actualizat. Apoi confirmă că site-urile tale răspund.
4. Dacă nu poți actualiza încă: anunțul Apache nu oferă niciun workaround. Wiz recomandă eliminarea h2 și h2c din fiecare directivă Protocols, lăsând Protocols http/1.1. Verifică setarea la nivel de server și fiecare virtual host. Apoi testează configurația cu apachectl configtest și repornește Apache. Clienții vor reveni la HTTP/1.1. Aceasta este și singura protecție de până acum pentru serverele care folosesc build-urile independente mod_h2.
5. Verifică celelalte servere, inclusiv reverse proxy-urile și serverele pe care le administrezi pentru clienți, dacă rulează Apache 2.4.55 sau mai nou cu HTTP/2 activat.

Cum verifici dacă ești afectat

• Versiunea: rulează apachectl -v (sau httpd -v). Versiunile 2.4.55 până la 2.4.70 sunt afectate. La pachetele de distribuție, compară cu versiunile de pachet remediate listate mai sus, deoarece distribuțiile folosesc propriile numere de versiune.
• Modul încărcat: apachectl -M 2>/dev/null | grep http2 arată dacă mod_http2 este încărcat.
• HTTP/2 activat: rulează grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null și caută h2 sau h2c. Include orice alte directoare care conțin fișiere de configurare.
• Din exterior: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' afișează 2 dacă site-ul răspunde prin HTTP/2.

Dacă niciunul dintre serverele tale nu are h2 sau h2c într-o directivă Protocols, acest defect nu le afectează. Totuși, instalează versiunea 2.4.71 sau actualizarea distribuției tale în timpul întreținerii normale, deoarece remediază și celelalte două defecte.

Surse

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html