Apache HTTP Server s HTTP/2: kritická chyba mod_http2 umožňuje vzdialené spustenie kódu

Čo sa stalo

11. novembra 2026 projekt Apache HTTP Server zverejnil CVE-2026-119618 a vydal verziu 2.4.71. Projekt hodnotí chybu ako kritickú. Nachádza sa v module HTTP/2 mod_http2, vo funkcii assign_headers(). Zdieľané zdroje nie sú správne synchronizované, keď sa požiadavky spracúvajú súčasne. Bezpečnostné oznámenie projektu uvádza, že to spôsobuje poškodenie haldy, ktoré môže viesť k vzdialenému spusteniu kódu.

Red Hat hodnotí chybu 9,8 z 10 bodov podľa škály CVSS. Uvádza, že útočník, ktorý sa dokáže dostať k serveru, nepotrebuje autentifikáciu a mohol by získať úplnú kontrolu nad procesom servera. Red Hat tiež uvádza, že verejný výskum preukázal spoľahlivý exploit voči predvolenej konfigurácii s povoleným mod_http2, ale tento výskum nemenuje. Bezpečnostná spoločnosť Wiz neskôr uviedla, že žiadny exploit nebol dostupný a že neboli hlásené žiadne útoky. Zraniteľnosť nie je v katalógu zneužívaných zraniteľností CISA a žiadny zdroj, ktorý sme overili, neuvádza žiadne útoky.

Verzia 2.4.71 opravuje aj dve ďalšie chyby:

• CVE-2026-106023 (hodnotená ako dôležitá): pád v mod_md.
• CVE-2026-109163 (hodnotená ako nízka): prepísanie zásobníka o jeden bajt v mod_vhost_alias.

Kto je ovplyvnený

• Apache HTTP Server 2.4.55 až 2.4.70, ale len ak je zapnutý HTTP/2. HTTP/2 beží len tam, kde direktíva Protocols obsahuje h2 (HTTP/2 cez TLS) alebo h2c (HTTP/2 cez čistý TCP). Túto direktívu je možné nastaviť pre celý server alebo pre jeden virtuálny hostiteľ.
• Servery, ktoré nainštalovali 2.4.67 kvôli skoršej chybe HTTP/2 CVE-2026-23918, sú stále ohrozené. Týka sa to každého vydania od 2.4.67 po 2.4.70.
• Samostatné zostavy modulu (mod_h2 z GitHubu), verzie 2.0.8 až 2.0.42. Opravená verzia mod_h2 zatiaľ neexistuje a repozitár projektu bol archivovaný.

Tieto systémy nie sú ohrozené:

• Verzie Apache pred 2.4.55.
• Servery, na ktorých nie je v žiadnej direktíve Protocols povolené h2 ani h2c.
• Red Hat Enterprise Linux 6, 7 a 8, ktoré neobsahujú zraniteľný kód.

Stav distribučných balíkov k 12. novembru 2026:

• RHEL 9: opravené v mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: opravené v mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS a SAP vydania: opravy sú dostupné v samostatných oznamoch. Red Hat hodnotí chybu na RHEL 9 a 10 ako Important, nie Critical, pretože jeho zostavy útok výrazne sťažujú.
• Red Hat JBoss Core Services a Red Hat Hardened Images: uvedené ako ohrozené, zatiaľ bez opravy.
• Debian: unstable (sid) je opravený balíkom apache2 2.4.71-1. Sledovanie chýb Debianu uvádza bookworm, trixie a forky ako zraniteľné, bez opraveného balíka.
• Amazon Linux 2, Amazon Linux 2023 a Amazon Linux 2027 Preview: oprava je v štádiu čakania.
• Ubuntu: zatiaľ nebol zverejnený žiadny stav.

Hostingové panely a iné produkty, ktoré dodávajú vlastnú zostavu Apache, sú ohrozené, ak ich zostava spadá do tohto rozsahu verzií a je zapnutý HTTP/2. Ich stav zistíte v ozname dodávateľa.

Čo urobiť teraz

1. Zistite verziu Apache pomocou apachectl -v alebo httpd -v. Potom skontrolujte, či je zapnutý HTTP/2 (pozri nasledujúcu časť).
2. Aktualizujte.
   • Vlastnoručne zostavený alebo upstream Apache: aktualizujte na 2.4.71.
   • RHEL 9 a 10: nainštalujte aktualizácie, napríklad príkazom dnf update mod_http2.
   • Iné distribúcie: nainštalujte opravený balík apache2 alebo httpd, len čo ho vaša distribúcia zverejní. Skontrolujte oznamy dodávateľov uvedené nižšie.
3. Úplne reštartujte Apache, napríklad príkazom systemctl restart httpd alebo systemctl restart apache2. Úplný reštart zabezpečí, že sa načíta aktualizovaný modul. Potom overte, že vaše weby odpovedajú.
4. Ak zatiaľ nemôžete aktualizovať: Bezpečnostné oznámenie Apache neponúka žiadne dočasné riešenie. Wiz odporúča odstrániť h2 a h2c z každej direktívy Protocols a ponechať Protocols http/1.1. Skontrolujte nastavenie pre celý server aj každého virtuálneho hostiteľa. Potom otestujte konfiguráciu príkazom apachectl configtest a reštartujte Apache. Klienti sa prepnú na HTTP/1.1. Toto je zatiaľ jediná ochrana pre servery, ktoré používajú samostatné zostavy mod_h2.
5. Skontrolujte ostatné servery, vrátane reverzných proxy a serverov, ktoré prevádzkujete pre zákazníkov, ak používajú Apache 2.4.55 alebo novší s zapnutým HTTP/2.

Ako zistiť, či ste ohrození

• Verzia: spustite apachectl -v (alebo httpd -v). Verzie 2.4.55 až 2.4.70 sú ohrozené. Pri distribučných balíkoch porovnajte s uvedenými opravenými verziami balíkov, pretože distribúcie používajú vlastné čísla verzií.
• Načítaný modul: apachectl -M 2>/dev/null | grep http2 ukáže, či je mod_http2 načítaný.
• Zapnutý HTTP/2: spustite grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null a hľadajte h2 alebo h2c. Zahrňte aj ďalšie adresáre, ktoré obsahujú konfiguračné súbory.
• Zvonka: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' vypíše 2, ak web odpovedá cez HTTP/2.

Ak žiadny z vašich serverov nemá h2 ani h2c v direktíve Protocols, táto chyba ich neohrozuje. Aj tak nainštalujte verziu 2.4.71 alebo aktualizáciu vašej distribúcie počas bežnej údržby, pretože opravuje aj ďalšie dve chyby.

Zdroje

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html