Apache ha corretto una vulnerabilità critica del suo server HTTP che potrebbe consentire l’esecuzione remota di codice (RCE) senza autenticazione. La falla è stata segnalata in modo indipendente da ricercatori di Anthropic e Google.
Una vulnerabilità nel modulo HTTP/2
Catalogata con il nome CVE-2026-119618, la vulnerabilità riguarda le versioni di Apache HTTP Server dalla 2.4.55 alla 2.4.70. È stata corretta l’11 novembre con il rilascio della versione 2.4.71. Si trova in mod_http2, il modulo incaricato di gestire il traffico HTTP/2, un protocollo di comunicazione tra browser e server.
La vulnerabilità si basa su una condizione di concorrenza (o « race condition »), situazione in cui più processi accedono in modo inappropriato a una stessa risorsa condivisa, il che può corrompere la memoria del server. Secondo Red Hat, un attaccante potrebbe sfruttare questo difetto da remoto, senza autenticazione, per eseguire comandi arbitrari e prendere il controllo del processo server. L’editore le ha attribuito un punteggio CVSS di 9,8, su una scala che ne conta 10. Red Hat precisa che «solo i server che hanno HTTP/2 attivato sono interessati; i server configurati per servire solo HTTP/1.1 non sono vulnerabili».
Segnalazioni indipendenti e precauzioni
Apache ha accreditato lo scanner OSS di Anthropic per aver segnalato la vulnerabilità il 26 ottobre. Anthony Weems e Simon Scannell, di Google Cloud Vulnerability Research, hanno segnalato la stessa vulnerabilità dal loro canto, il 3 novembre.
Dal canto suo, la società di sicurezza cloud Wiz indica che il 64% degli ambienti cloud nei suoi dati conteneva risorse che eseguivano versioni di Apache interessate, e che il 51% contava istanze esposte pubblicamente. Wiz mette tuttavia in guardia: queste cifre non tengono conto della configurazione dei server e non corrispondono quindi necessariamente a installazioni sfruttabili. Secondo Wiz, quando il suo post sul blog è stato pubblicato l’11 novembre, nessun exploit era disponibile e nessuno sfruttamento in natura era stato segnalato.
Red Hat afferma che ricerche pubbliche hanno dimostrato l’esistenza di un exploit affidabile contro un server dotato di mod_http2 attivato, senza che il suo avviso di sicurezza identifichi questi lavori. Una prova di concetto pubblicata su GitHub riferisce della riproduzione di una corruzione della memoria e di crash del processo Apache, ma non dimostra l’esecuzione remota di codice.
Apache raccomanda di installare la versione 2.4.71 o i pacchetti forniti dagli editori delle distribuzioni. Se gli aggiornamenti non possono essere distribuiti immediatamente, la disattivazione di HTTP/2 può impedire temporaneamente lo sfruttamento. Un altro avvertimento sottolinea che gli aggiornamenti di sicurezza di WordPress non possono risolvere il problema, poiché la vulnerabilità riguarda il server web sottostante.
La versione 2.4.71 corregge anche altre due vulnerabilità: la CVE-2026-106023, giudicata importante, che può provocare il crash del processo server, e la CVE-2026-109163, di bassa gravità, un overflow di buffer sullo stack.
