Apache heeft een kritieke kwetsbaarheid in zijn HTTP-server hersteld die uitvoering van code op afstand (RCE) zonder authenticatie mogelijk zou kunnen maken. De kwetsbaarheid werd onafhankelijk van elkaar gemeld door onderzoekers van Anthropic en Google.
Een kwetsbaarheid in de HTTP/2-module
Geregistreerd als CVE-2026-119618, treft de kwetsbaarheid Apache HTTP Server-versies van 2.4.55 tot en met 2.4.70. Deze is op 11 november hersteld met de release van versie 2.4.71. De kwetsbaarheid bevindt zich in mod_http2, de module die HTTP/2-verkeer verwerkt, een communicatieprotocol tussen browsers en servers.
De kwetsbaarheid berust op een race condition, een situatie waarin meerdere processen onjuist toegang krijgen tot dezelfde gedeelde bron, wat het geheugen van de server kan beschadigen. Volgens Red Hat zou een aanvaller dit defect op afstand kunnen misbruiken, zonder authenticatie, om willekeurige commando’s uit te voeren en controle over het serverproces over te nemen. De uitgever heeft er een CVSS-score van 9,8 aan toegekend, op een schaal van 10. Red Hat preciseert dat « alleen servers waarop HTTP/2 is ingeschakeld zijn getroffen; servers die zijn geconfigureerd om alleen HTTP/1.1 te bedienen, zijn niet kwetsbaar ».
Onafhankelijke meldingen en voorzorgsmaatregelen
Apache heeft de OSS-scanner van Anthropic gecrediteerd voor het melden van de kwetsbaarheid op 26 oktober. Anthony Weems en Simon Scannell van Google Cloud Vulnerability Research hebben dezelfde kwetsbaarheid op hun beurt gemeld op 3 november.
Beveiligingsbedrijf Wiz meldt dat 64% van de cloudomgevingen in hun gegevens bronnen bevatte die kwetsbare Apache-versies uitvoerden, en dat 51% publiekelijk blootgestelde instanties telde. Wiz waarschuwt echter: deze cijfers houden geen rekening met de serverconfiguratie en komen dus niet noodzakelijk overeen met uitbuitbare installaties. Volgens Wiz was er op het moment van publicatie van hun blogpost op 11 november geen exploit beschikbaar en was er geen uitbuiting in het wild gemeld.
Red Hat beweert dat openbaar onderzoek het bestaan van een betrouwbare exploit tegen een server met ingeschakelde mod_http2 heeft aangetoond, hoewel hun beveiligingsadvies dit werk niet identificeert. Een proof of concept gepubliceerd op GitHub meldt het reproduceren van geheugencorruptie en crashes van het Apache-proces, maar toont geen uitvoering van code op afstand aan.
Apache raadt aan om versie 2.4.71 of de door distributieleveranciers geleverde pakketten te installeren. Als updates niet onmiddellijk kunnen worden uitgerold, kan het uitschakelen van HTTP/2 uitbuiting tijdelijk voorkomen. Een andere waarschuwing benadrukt dat beveiligingsupdates van WordPress het probleem niet kunnen oplossen, aangezien de kwetsbaarheid de onderliggende webserver treft.
Versie 2.4.71 herstelt ook twee andere kwetsbaarheden: CVE-2026-106023, die als belangrijk wordt beschouwd en serverprocescrashes kan veroorzaken, en CVE-2026-109163, met een lage ernstgraad, een stack buffer overflow.
