Apache naprawił krytyczną lukę w swoim serwerze HTTP, która mogłaby umożliwić zdalne wykonanie kodu (RCE) bez uwierzytelnienia. Podatność została niezależnie zgłoszona przez badaczy z Anthropic i Google.
Luka w module HTTP/2
Zarejestrowana jako CVE-2026-119618, luka dotyczy wersji Apache HTTP Server od 2.4.55 do 2.4.70. Została załatana 11 listopada wraz z wydaniem wersji 2.4.71. Znajduje się w mod_http2, module odpowiedzialnym za obsługę ruchu HTTP/2, protokołu komunikacji między przeglądarkami a serwerami.
Podatność opiera się na warunku wyścigu (ang. « race condition »), sytuacji, w której wiele procesów nieodpowiednio uzyskuje dostęp do tego samego współdzielonego zasobu, co może uszkodzić pamięć serwera. Według Red Hat, atakujący mógłby zdalnie wykorzystać tę wadę, bez uwierzytelnienia, aby wykonać dowolne polecenia i przejąć kontrolę nad procesem serwera. Wydawca przypisał jej wynik CVSS 9,8 w skali do 10. Red Hat wyjaśnia, że « dotyczy to tylko serwerów z włączonym HTTP/2; serwery skonfigurowane do obsługi wyłącznie HTTP/1.1 nie są podatne ».
Niezależne zgłoszenia i środki ostrożności
Apache przypisał skanerowi OSS firmy Anthropic zgłoszenie tej luki 26 października. Anthony Weems i Simon Scannell z Google Cloud Vulnerability Research zgłosili tę samą podatność niezależnie, 3 listopada.
Z kolei firma zajmująca się bezpieczeństwem w chmurze, Wiz, wskazuje, że 64% środowisk chmurowych w jej danych zawierało zasoby uruchamiające podatne wersje Apache, a 51% miało publicznie wystawione instancje. Wiz ostrzega jednak, że liczby te nie uwzględniają konfiguracji serwerów i niekoniecznie odpowiadają podatnym instalacjom. Według Wiz, w momencie publikacji wpisu na blogu 11 listopada, nie było dostępnego exploit-a i nie zgłoszono żadnych przypadków wykorzystania w środowisku.
Red Hat twierdzi, że publiczne badania wykazały istnienie niezawodnego exploit-a przeciwko serwerowi z włączonym mod_http2, choć jego komunikat bezpieczeństwa nie identyfikuje tych prac. Opublikowany na GitHubie dowód koncepcyjny (PoC) odtwarza uszkodzenie pamięci i awarie procesu Apache, ale nie demonstruje zdalnego wykonania kodu.
Apache zaleca zainstalowanie wersji 2.4.71 lub pakietów dostarczonych przez dystrybutorów systemów. Jeśli aktualizacje nie mogą być natychmiast wdrożone, wyłączenie HTTP/2 może tymczasowo zapobiec wykorzystaniu luki. Inne ostrzeżenie podkreśla, że aktualizacje bezpieczeństwa WordPressa nie mogą rozwiązać problemu, ponieważ luka dotyczy leżącego u podstaw serwera WWW.
Wersja 2.4.71 naprawia także dwie inne podatności: CVE-2026-106023, uznaną za istotną, która może powodować awarię procesu serwera, oraz CVE-2026-109163, o niskiej ważności, będącą przepełnieniem bufora na stosie.
