Apache усунула критичну вразливість HTTP/2 з ризиком віддаленого виконання коду
Apache випустила оновлення для критичної вразливості HTTP/2, що могла дозволити віддалене виконання коду на сервері.
Apache Software Foundation випустила оновлення для Apache HTTP Server, яке усуває критичну вразливість у модулі HTTP/2. Неавторизований зловмисник за певних умов міг використати проблему для віддаленого виконання коду з правами процесу вебсервера.
Як повідомляє BleepingComputer, уразливість має ідентифікатор CVE-2026-119618. Її виявили команди Anthropic OSS Scanner та Google Cloud Vulnerability Research. Проблема пов’язана зі станом гонитви в модулі mod_http2, який за неправильного узгодження доступу до спільних ресурсів може спричинити пошкодження пам’яті heap.
Які версії зачепила проблема
Ризику підлягають версії Apache HTTP Server від 2.4.55 до 2.4.70, а також автономний модуль mod_h2 від 2.0.8 до 2.0.42. Для експлуатації вразливості на сервері має бути увімкнено HTTP/2; за замовчуванням ця функція вимкнена.
За даними телеметрії компанії Wiz, у 64% хмарних середовищ є вразливі ресурси, а приблизно половина з них має екземпляри, доступні з публічного інтернету. Водночас ці показники не враховують конфігурацію серверів та фактичне ввімкнення HTTP/2.
Рекомендації та інші виправлення
Дослідники watchTowr рекомендували адміністраторам якнайшвидше встановити оновлення або вимкнути HTTP/2 до моменту оновлення. Wiz зазначає, що їй не відомо про публічні експлойти чи атаки з використанням CVE-2026-119618, однак ситуація може змінитися.
Останній реліз Apache HTTP Server також містить виправлення двох інших недоліків: CVE-2026-106023, пов’язаного з розіменуванням нульового вказівника в mod_md, та CVE-2026-109163 — низькорівневої проблеми перезапису даних у mod_vhost_alias.
