قامت أباتشي بتصحيح ثغرة حرجة في خادم HTTP الخاص بها قد تسمح بتنفيذ التعليمات البرمجية عن بُعد (RCE) دون الحاجة إلى مصادقة. تم الإبلاغ عن الثغرة بشكل مستقل من قبل باحثين من Anthropic وجوجل.
ثغرة في وحدة HTTP/2
المسجلة تحت اسم CVE-2026-119618، تؤثر الثغرة على إصدارات خادم Apache HTTP من 2.4.55 إلى 2.4.70. تم تصحيحها في 11 نوفمبر مع إطلاق الإصدار 2.4.71. تقع الثغرة في mod_http2، الوحدة المسؤولة عن معالجة حركة مرور HTTP/2، وهو بروتوكول اتصال بين المتصفحات والخوادم.
تعتمد الثغرة على حالة تنافس (أو « race condition »)، وهي حالة يصل فيها عدة عمليات بشكل غير مناسب إلى نفس المورد المشترك، مما قد يؤدي إلى إفساد ذاكرة الخادم. وفقًا لـ Red Hat، يمكن لمهاجم استغلال هذا العيب عن بُعد، دون مصادقة، لتنفيذ أوامر عشوائية والاستيلاء على عملية الخادم. منحها الناشر درجة CVSS قدرها 9.8، على مقياس من 10. توضح Red Hat أن « فقط الخوادم التي تم تمكين HTTP/2 عليها هي المتأثرة؛ الخوادم المُهيأة لخدمة HTTP/1.1 فقط ليست عرضة للخطر ».
تقارير مستقلة واحتياطات
نسبت أباتشي الفضل في الإبلاغ عن الثغرة إلى ماسح OSS التابع لـ Anthropic في 26 أكتوبر. بينما أبلغ أنتوني ويمز وسيمون سكانيل من Google Cloud Vulnerability Research عن نفس الثغرة بشكل منفصل في 3 نوفمبر.
من جانبها، تشير شركة أمن السحابة Wiz إلى أن 64% من بيئات السحابة في بياناتها احتوت على موارد تشغل إصدارات أباتشي المتأثرة، وأن 51% منها تضمنت مثيلات معرضة للعامة. ومع ذلك، تحذر Wiz: هذه الأرقام لا تأخذ في الاعتبار تكوين الخوادم وبالتالي لا تتطابق بالضرورة مع تثبيتات قابلة للاستغلال. وفقًا لـ Wiz، عند نشر منشور المدونة الخاص بها في 11 نوفمبر، لم يكن هناك أي استغلال متاح ولم يتم الإبلاغ عن أي استغلال نشط في البرية.
تدعي Red Hat أن أبحاثًا عامة أظهرت وجود استغلال موثوق ضد خادم مُمَكَّن فيه mod_http2، دون أن يحدد إشعار الأمان الخاص بها هذه الأعمال. يُظهر دليل مفهوم نُشر على GitHub إعادة إنتاج إفساد الذاكرة وتعطل عمليات أباتشي، لكنه لا يُظهر تنفيذ تعليمات برمجية عن بُعد.
توصي أباتشي بتثبيت الإصدار 2.4.71 أو الحزم المقدمة من ناشري التوزيعات. إذا لم يكن من الممكن نشر التحديثات فورًا، فقد يؤدي تعطيل HTTP/2 إلى منع الاستغلال مؤقتًا. تحذير آخر يؤكد أن تحديثات أمان ووردبريس لا يمكنها حل المشكلة، لأن الثغرة تؤثر على خادم الويب الأساسي.
يصحح الإصدار 2.4.71 أيضًا ثغرتين أخريين: CVE-2026-106023، المصنفة على أنها مهمة، والتي قد تسبب تعطل عملية الخادم، وCVE-2026-109163، ذات خطورة منخفضة، وهي تجاوز سعة المخزن المؤقت في المكدس.
