Apache виправила критичну RCE-уразливість у модулі HTTP/2 вебсервера
Apache Software Foundation випустила оновлення для критичної вразливості в модулі HTTP/2 (CVE-2026-119618), що дозволяє віддалене виконання коду. Дослідники закликають терміново оновитися або тимчасово вимкнути HTTP/2.
Apache Software Foundation випустила виправлення для критичної вразливості в модулі HTTP/2 вебсервера Apache (CVE-2026-119618), яка дає змогу зловмиснику без автентифікації виконувати довільний код на сервері.
Що сталося
Проблему виявили команди Anthropic’s OSS Scanner та Google Cloud’s Vulnerability Research. Вона виникає через змагання потоків у модулі mod_http2: неправильна синхронізація в assign_headers() призводить до пошкодження купи, що відкриває шлях до RCE з правами процесу вебсервера.
Уразливість впливає на Apache HTTP Server версій 2.4.55–2.4.70 та окремий модуль mod_h2 версій 2.0.8–2.0.42. За даними компаній, що відстежували інцидент, значна кількість екземплярів доступні з інтернету та можуть бути вразливими.
Масштаб і ризики
Apache HTTP Server залишається одним із найпоширеніших вебсерверів і обслуговує приблизно кожен п’ятий сайт. За телеметрією компанії Wiz, 64% хмарних середовищ містять уразливі ресурси, і близько половини з них мають публічно доступні інстанси. Водночас ці оцінки не враховують конфігурацію: для експлуатації має бути увімкнено HTTP/2 (за замовчуванням він вимкнений).
Фахівці watchTowr підтверджують умови експлуатації та радять негайно встановити патч або тимчасово відключити h2 до оновлення. Wiz оцінює уразливість як критичну; відомостей про публічні експлойти чи активні атаки наразі немає, але ситуація може змінитися.
Що робити адміністраторам
- Оновити Apache HTTP Server до останньої версії, яка містить виправлення CVE-2026-119618.
- Як тимчасовий захід — вимкнути підтримку HTTP/2, якщо оновлення неможливе негайно.
- Перевірити конфігурацію і журнали на ознаки аномальної активності, пов’язаної з mod_http2.
Додаткові виправлення
Останнє оновлення Apache також усуває ще дві вади: CVE-2026-106023 — помилку dereference нульового вказівника в mod_md, і CVE-2026-109163 — низькосерйозну проблему перезапису даних у mod_vhost_alias.
