Apache HTTP Server med HTTP/2: kritisk brist i mod_http2 gör fjärrkörning av kod möjlig

Vad hände

Den 11 november 2026 publicerade Apache HTTP Server-projektet CVE-2026-119618 och släppte version 2.4.71. Projektet klassar bristen som kritisk. Den finns i HTTP/2-modulen mod_http2, i funktionen assign_headers(). Delade resurser synkroniseras inte korrekt när förfrågningar körs samtidigt. Projektets säkerhetsrapport säger att detta orsakar korruption i heapminnet som kan leda till fjärrkörning av kod.

Red Hat ger bristen 9,8 av 10 på CVSS-skalan. Enligt bolaget behöver en angripare som kan nå servern ingen autentisering och kan ta full kontroll över serverprocessen. Red Hat säger också att offentlig forskning har visat en pålitlig exploit mot en standardkonfiguration med mod_http2 aktiverat, men bolaget nämner inte vilken forskning det gäller. Säkerhetsföretaget Wiz uppgav senare att ingen exploit fanns tillgänglig och att inga attacker hade rapporterats. Sårbarheten finns inte i CISA:s katalog över utnyttjade sårbarheter, och ingen källa vi kontrollerat rapporterar några attacker.

Version 2.4.71 åtgärdar också två andra brister:

• CVE-2026-106023 (klassad som viktig): en krasch i mod_md.
• CVE-2026-109163 (klassad som låg): en överskrivning av en byte på stacken i mod_vhost_alias.

Vilka påverkas

• Apache HTTP Server 2.4.55 till 2.4.70, men bara när HTTP/2 är aktiverat. HTTP/2 körs endast där direktivet Protocols innehåller h2 (HTTP/2 över TLS) eller h2c (HTTP/2 över vanlig TCP). Direktivet kan sättas för hela servern eller för en enskild virtuell värd.
• Servrar som installerade 2.4.67 för den tidigare HTTP/2-bristen CVE-2026-23918 påverkas fortfarande. Detta gäller alla versioner från 2.4.67 till 2.4.70.
• Fristående byggen av modulen (mod_h2 från GitHub), versionerna 2.0.8 till 2.0.42. Det finns ännu ingen åtgärdad version av mod_h2, och projektets repository har arkiverats.

Dessa system påverkas inte:

• Apache-versioner före 2.4.55.
• Servrar där varken h2 eller h2c är aktiverat i något Protocols-direktiv.
• Red Hat Enterprise Linux 6, 7 och 8, som inte innehåller den sårbara koden.

Status för distributionspaket, per 12 november 2026:

• RHEL 9: åtgärdat i mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: åtgärdat i mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• RHEL EUS och SAP-utgåvor: åtgärder finns i separata säkerhetsrapporter. Red Hat klassar bristen som Important i stället för Critical på RHEL 9 och 10, eftersom bolagets byggen gör en attack betydligt svårare.
• Red Hat JBoss Core Services och Red Hat Hardened Images: listade som påverkade, utan åtgärd ännu.
• Debian: unstable (sid) är åtgärdat med apache2 2.4.71-1. Debians spårare listar bookworm, trixie och forky som sårbara, utan åtgärdat paket ännu.
• Amazon Linux 2, Amazon Linux 2023 och Amazon Linux 2027 Preview: en åtgärd är under arbete.
• Ubuntu: ingen status har publicerats ännu.

Hostingpaneler och andra produkter som levererar egna Apache-byggen påverkas om deras build ligger inom det sårbara versionsintervallet och HTTP/2 är aktiverat. Kontrollera leverantörens säkerhetsrapport för deras status.

Vad du bör göra nu

1. Ta reda på din Apache-version med apachectl -v eller httpd -v. Kontrollera sedan om HTTP/2 är aktiverat (se nästa avsnitt).
2. Uppdatera.
   • Egenbyggd eller upstream-Apache: uppgradera till 2.4.71.
   • RHEL 9 och 10: installera uppdateringarna, till exempel med dnf update mod_http2.
   • Andra distributioner: installera det åtgärdade paketet apache2 eller httpd så snart din distribution publicerar ett. Kontrollera leverantörernas säkerhetsrapporter som länkas nedan.
3. Starta om Apache helt, till exempel med systemctl restart httpd eller systemctl restart apache2. En fullständig omstart säkerställer att den uppdaterade modulen laddas. Kontrollera sedan att dina webbplatser svarar.
4. Om du inte kan uppdatera ännu: Apaches säkerhetsrapport erbjuder ingen tillfällig lösning. Wiz rekommenderar att du tar bort h2 och h2c från alla Protocols-direktiv och lämnar Protocols http/1.1. Kontrollera både serverinställningen och varje virtuell värd. Testa sedan konfigurationen med apachectl configtest och starta om Apache. Klienter går då tillbaka till HTTP/1.1. Det är hittills också det enda skyddet för servrar som använder de fristående mod_h2-byggena.
5. Kontrollera dina andra servrar, inklusive reverse proxyservrar och servrar du driver åt kunder, om de kör Apache 2.4.55 eller senare med HTTP/2 aktiverat.

Så kontrollerar du om du påverkas

• Version: kör apachectl -v (eller httpd -v). Versionerna 2.4.55 till 2.4.70 påverkas. För distributionspaket jämför du med de åtgärdade paketversionerna ovan, eftersom distributioner använder egna versionsnummer.
• Laddad modul: apachectl -M 2>/dev/null | grep http2 visar om mod_http2 är laddad.
• HTTP/2 aktiverat: kör grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null och leta efter h2 eller h2c. Inkludera övriga kataloger som innehåller konfigurationsfiler.
• Utifrån: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' skriver ut 2 om webbplatsen svarar över HTTP/2.

Om ingen av dina servrar har h2 eller h2c i ett Protocols-direktiv påverkas de inte av denna brist. Installera ändå version 2.4.71 eller din distributions uppdatering under ordinarie underhåll, eftersom den också åtgärdar de två andra bristerna.

Källor

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html