Критическая уязвимость в Apache HTTP Server позволяет выполнять код без аутентификации
В модуле mod_http2 веб-сервера Apache HTTP Server найдена критическая уязвимость CVE-2026-119618, которая позволяет удалённому злоумышленнику выполнять код на сервере без аутентификации. Уязвимы версии с 2.4.55 по 2.4.70, исправление вышло в версии 2.4.71.
Главное в цифрах
- Уязвимость: CVE-2026-119618
- Затронутые версии Apache HTTP Server: с 2.4.55 по 2.4.70
- Исправление: версия 2.4.71
- Оценка CVSS: 9,8 из 10
Уязвимость затрагивает серверы, где включён HTTP/2. По данным Red Hat, злоумышленник, имеющий доступ к серверу, может получить полный контроль над процессом сервера. Уязвимости присвоена оценка 9,8 из 10 по шкале CVSS.
Red Hat выпустила исправления для Red Hat Enterprise Linux 9 и 10 и оценивает уязвимость там как важную, а не критическую, поскольку там каждый HTTP/2 поток получает собственный аллокатор памяти, что делает атаку значительно сложнее. Red Hat Enterprise Linux 8 и более ранние версии уязвимый код не содержат.
Wiz сообщила, что эксплойт в открытом доступе отсутствует и случаев эксплуатации в реальных атаках не зафиксировано. При этом Red Hat упоминает публичное исследование, в котором продемонстрирован надёжный эксплойт против сервера в конфигурации по умолчанию с включённым mod_http2; само исследование в источнике не названо.
Что делать администраторам
Серверный модуль HTTP/2 включается директивой Protocols: h2 означает HTTP/2 поверх TLS, h2c, поверх обычного TCP. Директиву можно задать для всего сервера или для отдельного виртуального хоста, поэтому проверять нужно и общую настройку, и каждый виртуальный хост.
Проекты Apache HTTP Server, которые используют сборки самого проекта, должны перейти на версию 2.4.71. Эта версия также исправляет сбой в mod_md, оценённый как важный, и однобайтовую перезапись стекового буфера в mod_vhost_alias, оценённую как низкую. Дистрибутивы выпускают собственные сборки с собственными номерами версий; например, в Red Hat Enterprise Linux 9 исправление поставляется в пакете mod_http2-2.0.26-7.el9_9.1.
Если обновиться сразу нельзя, Wiz советует убрать h2 и h2c из директивы Protocols, оставив только http/1.1. В описании уязвимости от проекта Apache обходного пути нет.
Автономная сборка mod_h2 на GitHub, затронутая версиями с 2.0.8 по 2.0.42, исправления пока не получила. Её репозиторий доступен только для чтения с 9 июня.
Контекст
Уязвимость сообщена 26 октября через OSS Scanner компании Anthropic, бесплатный сервис для проверки открытого ПО, который использует ИИ-модели компании. Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research сообщили о ней на прошлой неделе.
Ранее в HTTP/2 была найдена уязвимость CVE-2026-23918, исправленная в версии 2.4.67 от 4 мая. Серверы, обновлённые до этой версии или любой более поздней до 2.4.70 включительно, всё ещё уязвимы к новой уязвимости.
