Apache HTTP strežnik s HTTP/2: kritična napaka v mod_http2 omogoča oddaljeno izvajanje kode

Kaj se je zgodilo

Dne 11. novembra 2026 je projekt Apache HTTP Server objavil CVE-2026-119618 in izdal različico 2.4.71. Projekt napako ocenjuje kot kritično. Nahaja se v modulu HTTP/2 mod_http2, v funkciji assign_headers(). Skupni viri niso ustrezno sinhronizirani, kadar se zahteve izvajajo hkrati. Varnostno obvestilo projekta navaja, da to povzroči poškodbo kopice (heap), ki lahko vodi do oddaljenega izvajanja kode.

Red Hat napako oceni z 9,8 od 10 po lestvici CVSS. Navaja, da napadalec, ki lahko doseže strežnik, ne potrebuje overjanja in bi lahko prevzel popoln nadzor nad procesom strežnika. Red Hat tudi navaja, da je javna raziskava pokazala zanesljiv izkoriščevalni kod za privzeto konfiguracijo z vklopljenim mod_http2, vendar te raziskave ne imenuje. Varnostno podjetje Wiz je kasneje sporočilo, da izkoriščevalni kod ni bil na voljo in da napadi niso bili prijavljeni. Ranljivost ni v katalogu CISA-e izkoriščenih ranljivosti, noben vir, ki smo ga preverili, pa ne poroča o napadih.

Različica 2.4.71 odpravlja tudi dve drugi napaki:

• CVE-2026-106023 (ocenjena kot pomembna): zrušitev v mod_md.
• CVE-2026-109163 (ocenjena kot nizka): prepis enega bajta na skladu v mod_vhost_alias.

Kdo je ogrožen

• Apache HTTP strežnik 2.4.55 do 2.4.70, vendar le, če je vklopljen HTTP/2. HTTP/2 deluje le tam, kjer direktiva Protocols vključuje h2 (HTTP/2 preko TLS) ali h2c (HTTP/2 preko navadnega TCP). To direktivo lahko nastavite za celoten strežnik ali za posamezen virtualni gostitelj.
• Strežniki, ki so namestili 2.4.67 zaradi prejšnje napake HTTP/2 CVE-2026-23918, so še vedno ogroženi. To velja za vse različice od 2.4.67 do 2.4.70.
• Samostojne gradnje modula (mod_h2 z GitHuba), različice 2.0.8 do 2.0.42. Popravljena različica mod_h2 še ni na voljo, repozitorij projekta pa je bil arhiviran.

Ti sistemi niso ogroženi:

• Apache različice pred 2.4.55.
• Strežniki, na katerih v nobeni direktivi Protocols ni vklopljen h2 ali h2c.
• Red Hat Enterprise Linux 6, 7 in 8, ki ne vsebujejo ranljive kode.

Stanje distribucijskih paketov na dan 12. novembra 2026:

• RHEL 9: popravljeno v mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: popravljeno v mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS in SAP izdaje: popravki so na voljo v ločenih obvestilih. Red Hat napako na RHEL 9 in 10 ocenjuje kot pomembno, ne kot kritično, ker njegove gradnje napad precej otežijo.
• Red Hat JBoss Core Services in Red Hat Hardened Images: navedeni kot ogroženi, popravka še ni.
• Debian: nestabilna veja (sid) je popravljena s paketom apache2 2.4.71-1. Debianov sledilnik navaja bookworm, trixie in forky kot ranljive, popravljenega paketa pa še ni.
• Amazon Linux 2, Amazon Linux 2023 in Amazon Linux 2027 Preview: popravek je v pripravi.
• Ubuntu: stanje še ni objavljeno.

Upravljalne plošče za gostovanje in drugi izdelki, ki vsebujejo lastno gradnjo Apacha, so ogroženi, če njihova gradnja spada v ta razpon različic in je vklopljen HTTP/2. Za njihovo stanje preverite varnostno obvestilo dobavitelja.

Kaj storite zdaj

1. Ugotovite različico Apacha z ukazom apachectl -v ali httpd -v. Nato preverite, ali je vklopljen HTTP/2 (glejte naslednji razdelek).
2. Posodobite.
   • Sami zgrajen ali uradni Apache: nadgradite na 2.4.71.
   • RHEL 9 in 10: namestite posodobitve, na primer z ukazom dnf update mod_http2.
   • Druge distribucije: namestite popravljen paket apache2 ali httpd, takoj ko ga vaša distribucija objavi. Preverite spodaj navezana varnostna obvestila dobaviteljev.
3. Popolnoma znova zaženite Apache, na primer z ukazom systemctl restart httpd ali systemctl restart apache2. Popoln ponovni zagon zagotovi, da se naložil posodobljeni modul. Nato preverite, ali vaša spletna mesta odzivajo.
4. Če ne morete takoj posodobiti: Apachejevo varnostno obvestilo ne ponuja obhodne rešitve. Wiz priporoča, da v vsaki direktivi Protocols odstranite h2 in h2c ter pustite Protocols http/1.1. Preverite nastavitev za celoten strežnik in vsak virtualni gostitelj. Nato preizkusite konfiguracijo z ukazom apachectl configtest in znova zaženite Apache. Odjemalci bodo preklopili na HTTP/1.1. To je za strežnike, ki uporabljajo samostojne gradnje mod_h2, za zdaj edina zaščita.
5. Preverite še druge strežnike, vključno z obratnimi posredniki in strežniki, ki jih upravljate za stranke, če uporabljajo Apache 2.4.55 ali novejši z vklopljenim HTTP/2.

Kako preveriti, ali ste ogroženi

• Različica: zaženite apachectl -v (ali httpd -v). Različice 2.4.55 do 2.4.70 so ogrožene. Pri distribucijskih paketih primerjajte z zgoraj navedenimi popravljenimi različicami paketov, ker distribucije uporabljajo lastne številke različic.
• Naložen modul: apachectl -M 2>/dev/null | grep http2 pokaže, ali je mod_http2 naložen.
• Vklopljen HTTP/2: zaženite grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null in poiščite h2 ali h2c. Vključite tudi druge mape, v katerih so konfiguracijske datoteke.
• Od zunaj: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' izpiše 2, če stran odgovarja preko HTTP/2.

Če nobeden od vaših strežnikov nima h2 ali h2c v direktivi Protocols, ta napaka nanje ne vpliva. Kljub temu namestite različico 2.4.71 ali posodobitev vaše distribucije med rednim vzdrževanjem, ker odpravlja tudi drugi dve napaki.

Viri

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html