Apache HTTP Server ที่รองรับ HTTP/2: ช่องโหว่ร้ายแรงใน mod_http2 ทำให้รันโค้ดจากระยะไกลได้

สิ่งที่เกิดขึ้น

เมื่อวันที่ 11 พฤศจิกายน 2026 โครงการ Apache HTTP Server เผยแพร่ CVE-2026-119618 และปล่อยเวอร์ชัน 2.4.71 โครงการจัดระดับความรุนแรงของช่องโหว่นี้เป็น ร้ายแรง ช่องโหว่อยู่ในโมดูล HTTP/2 ชื่อ mod_http2 ในฟังก์ชัน assign_headers() ทรัพยากรที่ใช้ร่วมกันไม่ได้ถูกซิงโครไนซ์อย่างถูกต้องเมื่อมีคำขอทำงานพร้อมกัน ประกาศของโครงการระบุว่าสิ่งนี้ทำให้หน่วยความจำฮีปเสียหาย ซึ่งอาจนำไปสู่การรันโค้ดจากระยะไกล

Red Hat ให้คะแนนช่องโหว่นี้ 9.8 จาก 10 ตามมาตรวัด CVSS ระบุว่าผู้โจมตีที่เข้าถึงเซิร์ฟเวอร์ได้ไม่จำเป็นต้องยืนยันตัวตน และอาจควบคุมโปรเซสของเซิร์ฟเวอร์ได้ทั้งหมด Red Hat ยังระบุว่างานวิจัยสาธารณะแสดงให้เห็นช่องโหว่ที่ใช้โจมตีได้จริงกับการตั้งค่าเริ่มต้นที่เปิด mod_http2 แต่ไม่ได้ระบุชื่องานวิจัยนั้น บริษัทด้านความปลอดภัย Wiz กล่าวภายหลังว่าไม่มีโค้ดโจมตี (exploit) ที่ใช้งานได้ และไม่มีรายงานการโจมตี ช่องโหว่นี้ไม่อยู่ในรายการช่องโหว่ที่ถูกใช้โจมตีของ CISA และไม่มีแหล่งข้อมูลที่เราตรวจสอบรายงานการโจมตีใด ๆ

เวอร์ชัน 2.4.71 แก้ไขช่องโหว่อื่นอีกสองรายการด้วย:

• CVE-2026-106023 (จัดระดับเป็นสำคัญ): การหยุดทำงานใน mod_md
• CVE-2026-109163 (จัดระดับเป็นต่ำ): การเขียนทับสแต็กหนึ่งไบต์ใน mod_vhost_alias

ใครได้รับผลกระทบ

• Apache HTTP Server 2.4.55 ถึง 2.4.70 เฉพาะเมื่อเปิดใช้ HTTP/2 HTTP/2 จะทำงานเฉพาะในจุดที่ไดเรกทิฟ Protocols มี h2 (HTTP/2 บน TLS) หรือ h2c (HTTP/2 บน TCP ธรรมดา) สามารถตั้งค่านี้ให้ทั้งเซิร์ฟเวอร์หรือให้ virtual host เดียวได้
• เซิร์ฟเวอร์ที่ติดตั้ง 2.4.67 เพื่อแก้ช่องโหว่ HTTP/2 ก่อนหน้า CVE-2026-23918 ยังได้รับผลกระทบอยู่ ซึ่งรวมทุกรุ่นตั้งแต่ 2.4.67 ถึง 2.4.70
• โมดูลแบบสแตนด์อโลน (mod_h2 จาก GitHub) เวอร์ชัน 2.0.8 ถึง 2.0.42 ยังไม่มีรุ่น mod_h2 ที่แก้ไขแล้ว และคลังโค้ดของโครงการถูกเก็บเข้าโหมดarchive แล้ว

ระบบเหล่านี้ ไม่ได้รับผลกระทบ:

• Apache เวอร์ชันก่อน 2.4.55
• เซิร์ฟเวอร์ที่ไม่ได้เปิด h2 หรือ h2c ในไดเรกทิฟ Protocols ใด ๆ
• Red Hat Enterprise Linux 6, 7 และ 8 เพราะไม่มีโค้ดที่มีช่องโหว่

สถานะแพ็กเกจของแต่ละดิสโทรณ ณ วันที่ 12 พฤศจิกายน 2026:

• RHEL 9: แก้ไขแล้วใน mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981)
• RHEL 10: แก้ไขแล้วใน mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978)
• RHEL EUS และรุ่น SAP: มีการแก้ไขในประกาศแยกต่างหาก Red Hat จัดระดับช่องโหว่บน RHEL 9 และ 10 เป็นสำคัญ ไม่ใช่ร้ายแรง เพราะการสร้างแพ็กเกจของ Red Hat ทำให้การโจมตีทำได้ยากขึ้นมาก
• Red Hat JBoss Core Services และ Red Hat Hardened Images: ระบุว่าได้รับผลกระทบ และยังไม่มีการแก้ไข
• Debian: unstable (sid) แก้ไขแล้วด้วย apache2 2.4.71-1 ระบบติดตามของ Debian ระบุว่า bookworm, trixie และ forky ยังมีช่องโหว่ และยังไม่มีแพ็กเกจที่แก้ไขแล้ว
• Amazon Linux 2, Amazon Linux 2023 และ Amazon Linux 2027 Preview: อยู่ระหว่างรอการแก้ไข
• Ubuntu: ยังไม่มีการเผยแพร่สถานะ

แผงควบคุมโฮสติงและผลิตภัณฑ์อื่นที่มาพร้อมบิลด์ Apache ของตัวเองจะได้รับผลกระทบหากบิลด์อยู่ในช่วงเวอร์ชันนี้และเปิดใช้ HTTP/2 โปรดตรวจสอบประกาศของผู้จำหน่ายเพื่อดูสถานะ

สิ่งที่ควรทำตอนนี้

1. ตรวจสอบเวอร์ชัน Apache ด้วย apachectl -v หรือ httpd -v จากนั้นตรวจว่าเปิดใช้ HTTP/2 หรือไม่ (ดูในหัวข้อถัดไป)
2. อัปเดต
   • Apache ที่คอมไพล์เองหรือจากต้นทาง: อัปเกรดเป็น 2.4.71
   • RHEL 9 และ 10: ติดตั้งการอัปเดต เช่น ด้วยคำสั่ง dnf update mod_http2
   • ดิสโทรอื่น: ติดตั้งแพ็กเกจ apache2 หรือ httpd ที่แก้ไขแล้วทันทีที่ดิสโทรของคุณเผยแพร่ โปรดตรวจสอบประกาศของผู้จำหน่ายที่ลิงก์ไว้ด้านล่าง
3. รีสตาร์ต Apache ให้สมบูรณ์ เช่น ด้วย systemctl restart httpd หรือ systemctl restart apache2 การรีสตาร์ตแบบเต็มทำให้มั่นใจว่าโมดูลที่อัปเดตแล้วถูกโหลด จากนั้นตรวจว่าเว็บไซต์ของคุณตอบสนองปกติ
4. หากยังอัปเดตไม่ได้: ประกาศของ Apache ไม่มีวิธีแก้ชั่วคราว Wiz แนะนำให้ลบ h2 และ h2c ออกจากทุกไดเรกทิฟ Protocols และเหลือไว้เพียง Protocols http/1.1 ตรวจสอบการตั้งค่าระดับเซิร์ฟเวอร์และทุก virtual host จากนั้นทดสอบการตั้งค่าด้วย apachectl configtest และรีสตาร์ต Apache ไคลเอนต์จะกลับไปใช้ HTTP/1.1 วิธีนี้เป็นการป้องกันเพียงทางเดียวในตอนนี้สำหรับเซิร์ฟเวอร์ที่ใช้บิลด์ mod_h2 แบบสแตนด์อโลน
5. ตรวจสอบเซิร์ฟเวอร์อื่นของคุณ รวมถึง reverse proxy และเซิร์ฟเวอร์ที่คุณดูแลให้ลูกค้า หากรัน Apache 2.4.55 ขึ้นไปและเปิดใช้ HTTP/2

วิธีตรวจสอบว่าคุณได้รับผลกระทบหรือไม่

• เวอร์ชัน: รัน apachectl -v (หรือ httpd -v) เวอร์ชัน 2.4.55 ถึง 2.4.70 ได้รับผลกระทบ สำหรับแพ็กเกจของดิสโทร ให้เทียบกับเวอร์ชันแพ็กเกจที่แก้ไขแล้วที่ระบุไว้ข้างต้น เพราะดิสโทรใช้หมายเลขเวอร์ชันของตัวเอง
• โมดูลที่โหลดอยู่: apachectl -M 2>/dev/null | grep http2 แสดงว่า mod_http2 ถูกโหลดหรือไม่
• เปิดใช้ HTTP/2: รัน grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null และดูว่ามี h2 หรือ h2c หรือไม่ ให้รวมไดเรกทอรีอื่นที่เก็บไฟล์ตั้งค่าด้วย
• จากภายนอก: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' จะแสดงผล 2 หากเว็บไซต์ตอบสนองผ่าน HTTP/2

หากไม่มีเซิร์ฟเวอร์ใดของคุณที่มี h2 หรือ h2c ในไดเรกทิฟ Protocols ช่องโหว่นี้จะไม่กระทบเซิร์ฟเวอร์เหล่านั้น อย่างไรก็ตาม ควรติดตั้งเวอร์ชัน 2.4.71 หรือการอัปเดตของดิสโทรในรอบบำรุงรักษาปกติ เพราะการอัปเดตนี้ยังแก้ช่องโหว่อีกสองรายการด้วย

แหล่งข้อมูล

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html