Apache HTTP Server закрив критичну дірку в модулі HTTP/2
У модулі mod_http2 вебсервера Apache знайшли критичну помилку: зловмисник без пароля може запустити на сервері власні команди. Розробники вже випустили виправлення, але частина серверів і далі доступна з інтернету у вразливому вигляді.
—Компанія Wiz оцінює небезпеку як критичну, хоча офіційної оцінки в балах ще немає. Про публічні експлойти чи атаки на цю прогалину там не знають, але зазначають, що ситуація може швидко змінитися.
Без HTTP/2 прогалина не діє
Уразливість працює лише там, де в налаштуваннях увімкнено HTTP/2. За замовчуванням цей режим вимкнено, тож самі версії сервера ще не означають, що конкретний сайт під ударом.
Дослідники кібербезпеки з watchTowr підтвердили цю умову. Їхня порада коротка: оновитися зараз або вимкнути h2, поки оновлення неможливе.
Які версії вразливі
Під загрозою Apache HTTP Server від 2.4.55 до 2.4.70 і окремий модуль mod_h2 від 2.0.8 до 2.0.42. Якщо експлойт спрацює, код виконається з правами процесу веб-сервера.
Скільки серверів у зоні ризику
Apache HTTP Server — вільна програма, що приймає запити браузерів і віддає сторінки, зображення та інший вміст сайтів. За оцінкою, вона обслуговує приблизно кожен п'ятий сайт.
За телеметрією хмарної компанії Wiz, у 64% хмарних середовищ є вразливі ресурси. Приблизно в половині з цих середовищ є екземпляри, відкриті в інтернет. Ці цифри не враховують налаштування сервера.
Як виникає помилка
Її виявили команди Anthropic OSS Scanner і Google Cloud Vulnerability Research.
Прогалина отримала номер CVE-2026-119618 і є гонкою потоків: кілька потоків одночасно працюють із спільним ресурсом без належної синхронізації, і це пошкоджує купу пам'яті.
Apache описує проблему у функції assign_headers() модуля mod_http2 і пише, що вона може призвести до віддаленого виконання коду. —
Ще дві помилки в тому ж оновленні
Нова версія сервера закриває ще дві помилки. CVE-2026-106023 — розіменування нульового вказівника в mod_md. CVE-2026-109163 — перезапис даних низької небезпеки в mod_vhost_alias.
Джерело: BleepingComputer