O vulnerabilitate critică a Apache HTTP/2 ar putea permite executarea de cod la distanță

O vulnerabilitate critică în modulul HTTP/2 al serverului Apache HTTP, mod_http2, poate permite unui atacator la distanță să execute cod pe server. Identificată ca CVE-2026-119618, aceasta afectează versiunile de la 2.4.55 până la 2.4.70 și a fost remediată în versiunea 2.4.71.

Sunt afectate doar serverele pe care este activat protocolul HTTP/2, care distribuie serverul ca parte a sistemului de operare Red Hat Enterprise Linux.

Un atacator care poate accesa serverul nu are nevoie de autentificare pentru a exploata vulnerabilitatea și ar putea prelua controlul deplin asupra procesului serverului, afirmă furnizorul de soluții Linux. Acesta evaluează vulnerabilitatea cu un scor CvSS de 9.8/10.

HTTP/2 funcționează numai acolo unde directiva Protocols îl activează, așa cum explică documentația modulului. Directiva utilizează h2 pentru HTTP/2 peste TLS și h2c pentru HTTP/2 peste TCP simplu. Aceasta poate fi configurată la nivel de server sau pentru un singur host virtual, astfel încât administratorii ar trebui să verifice setarea la nivel de server și fiecare host virtual în parte.

Versiunile independente ale modulului, lansate pe GitHub sub numele de mod_h2, sunt afectate începând cu versiunea 2.0.8 până la 2.0.42.

Administratorii care utilizează versiunile oficiale ale proiectului Apache HTTP Server ar trebui să treacă la versiunea 2.4.71, versiunea remediată menționată în avizul de securitate. Această versiune remediază, de asemenea, o eroare în mod_md, clasificată ca fiind importantă, și o suprascriere de un byte a memoriei stivei în mod_vhost_alias, clasificată ca având un grad de severitate scăzut.

Red Hat a lansat ieri remedieri pentru Red Hat Enterprise Linux 9 și 10 și clasifică vulnerabilitatea ca având un grad de severitate important pentru aceste versiuni, nu critică. Pachetele mod_http2 ale instituției alocă fiecărui flux HTTP/2 propriul alocator de memorie, ceea ce îngreunează considerabil un eventual atac, conform evaluării de gravitate efectuate de furnizor. Red Hat Enterprise Linux 8 și versiunile anterioare nu conțin codul vulnerabil.

Avizul privind serverul HTTP Apache nu oferă nicio soluție provizorie. În analiza sa privind vulnerabilitatea, Wiz recomandă administratorilor care nu pot efectua încă actualizarea să elimine h2 și h2c din directiva Protocols, lăsând doar Protocols http/1.1.

O vulnerabilitate anterioară a protocolului HTTP/2, CVE-2026-23918, a fost remediată în versiunea 2.4.67. Serverele actualizate la acea versiune sau la orice versiune ulterioară până la 2.4.70 rulează în continuare o versiune afectată de noua vulnerabilitate.

Sursă: https://thehackernews.com/2026/11/critical-apache-http2-flaw-could-let.html