A Apache corrigiu uma vulnerabilidade crítica no seu servidor HTTP que poderia permitir a execução remota de código (RCE) sem autenticação. A falha foi reportada de forma independente por investigadores da Anthropic e da Google.
Uma falha no módulo HTTP/2
Listada sob a designação CVE-2026-119618, a falha afeta as versões do Apache HTTP Server da 2.4.55 à 2.4.70. Foi corrigida a 11 de novembro com o lançamento da versão 2.4.71. Localiza-se no mod_http2, o módulo responsável por processar o tráfego HTTP/2, um protocolo de comunicação entre navegadores e servidores.
A vulnerabilidade baseia-se numa condição de corrida (ou «race condition»), situação em que vários processos acedem de forma inadequada a um mesmo recurso partilhado, o que pode corromper a memória do servidor. Segundo a Red Hat, um atacante poderia explorar esta falha remotamente, sem autenticação, para executar comandos arbitrários e tomar o controlo do processo do servidor. O editor atribuiu-lhe uma pontuação CVSS de 9,8, numa escala que vai até 10. A Red Hat esclarece que «apenas os servidores que têm o HTTP/2 ativado são afetados; os servidores configurados para servir apenas HTTP/1.1 não são vulneráveis».
Reportes independentes e precauções
A Apache creditou o scanner OSS da Anthropic por ter reportado a falha a 26 de outubro. Anthony Weems e Simon Scannell, da Google Cloud Vulnerability Research, reportaram a mesma vulnerabilidade por sua parte, a 3 de novembro.
Por seu lado, a empresa de segurança cloud Wiz indica que 64% dos ambientes cloud nos seus dados continham recursos a executar versões do Apache afetadas, e que 51% tinham instâncias expostas publicamente. A Wiz alerta, no entanto: estes números não têm em conta a configuração dos servidores e não correspondem, portanto, necessariamente a instalações exploráveis. Segundo a Wiz, quando o seu artigo de blogue foi publicado a 11 de novembro, nenhum exploit estava disponível e nenhuma exploração na natureza tinha sido reportada.
A Red Hat afirma que pesquisas públicas demonstraram a existência de um exploit fiável contra um servidor com o mod_http2 ativado, sem que o seu aviso de segurança identifique esses trabalhos. Uma prova de conceito publicada no GitHub relata a reprodução de uma corrupção de memória e de bloqueios do processo Apache, mas não demonstra a execução remota de código.
A Apache recomenda instalar a versão 2.4.71 ou os pacotes fornecidos pelos editores das distribuições. Se as atualizações não puderem ser implementadas imediatamente, a desativação do HTTP/2 pode impedir temporariamente a exploração. Outro aviso salienta que as atualizações de segurança do WordPress não podem resolver o problema, uma vez que a falha afeta o servidor web subjacente.
A versão 2.4.71 corrige também outras duas vulnerabilidades: a CVE-2026-106023, considerada importante, que pode provocar o bloqueio do processo do servidor, e a CVE-2026-109163, de gravidade baixa, um transbordo de buffer na pilha.
