Apache исправил критическую уязвимость в своём HTTP-сервере, которая может позволить удалённое выполнение кода (RCE) без аутентификации. Уязвимость была независимо обнаружена исследователями из Anthropic и Google.
Уязвимость в модуле HTTP/2
Зарегистрированная как CVE-2026-119618, уязвимость затрагивает версии Apache HTTP Server с 2.4.55 по 2.4.70. Она была исправлена 11 ноября с выходом версии 2.4.71. Ошибка находится в mod_http2, модуле, отвечающем за обработку трафика HTTP/2 — протокола связи между браузерами и серверами.
Уязвимость основана на состоянии гонки (race condition), ситуации, когда несколько процессов неправильно обращаются к одному и тому же общему ресурсу, что может привести к повреждению памяти сервера. По данным Red Hat, злоумышленник может удалённо использовать этот дефект без аутентификации для выполнения произвольных команд и захвата контроля над процессом сервера. Компания присвоила уязвимости оценку CVSS 9,8 по шкале до 10. Red Hat уточняет, что «затронуты только серверы с включённым HTTP/2; серверы, настроенные на обслуживание только HTTP/1.1, не уязвимы».
Независимые сообщения и меры предосторожности
Apache отметил, что сканер OSS от Anthropic сообщил об уязвимости 26 октября. Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research, со своей стороны, сообщили о той же уязвимости 3 ноября.
Со своей стороны, компания по облачной безопасности Wiz сообщает, что 64% облачных сред в её данных содержали ресурсы, работающие на затронутых версиях Apache, и 51% имели публично доступные экземпляры. Однако Wiz предупреждает: эти цифры не учитывают конфигурацию серверов и поэтому не обязательно соответствуют эксплуатируемым установкам. По данным Wiz, на момент публикации её блога 11 ноября не было доступных эксплойтов, и о случаях эксплуатации в дикой природе не сообщалось.
Red Hat утверждает, что публичные исследования продемонстрировали существование надёжного эксплойта против сервера с включённым mod_http2, хотя её бюллетень безопасности не идентифицирует эти работы. Опубликованное на GitHub доказательство концепции сообщает о воспроизведении повреждения памяти и сбоев процесса Apache, но не демонстрирует удалённое выполнение кода.
Apache рекомендует установить версию 2.4.71 или пакеты, предоставленные дистрибьюторами. Если обновления не могут быть развёрнуты немедленно, отключение HTTP/2 может временно предотвратить эксплуатацию. Другое предупреждение подчёркивает, что обновления безопасности WordPress не могут решить проблему, поскольку уязвимость затрагивает базовый веб-сервер.
Версия 2.4.71 также исправляет две другие уязвимости: CVE-2026-106023, оценённую как важная, которая может вызвать сбой процесса сервера, и CVE-2026-109163, низкой степени серьёзности, — переполнение буфера в стеке.
