LinuxКритическая уязвимость в модуле HTTP/2 веб-сервера Apache HTTP Server позволяет злоумышленнику без аутентификации добиться удаленного выполнения кода (RCE).
Бюллетень безопасности Apache HTTP Server 2.4.71. Изображение: Comss.ru
Apache Software Foundation устранила проблему, получившую идентификатор CVE-2026-119618. Однако значительное число серверов остаются уязвимыми и доступны из интернета.
Уязвимость обнаружили команды OSS Scanner компании Anthropic и Vulnerability Research из Google Cloud. Она связана с состоянием гонки в модуле mod_http2, которое может привести к повреждению памяти в куче.
При успешной эксплуатации злоумышленник может выполнить код с правами процесса веб-сервера. Проблема затрагивает Apache HTTP Server версий 2.4.55–2.4.70 и отдельно распространяемый модуль mod_h2 версий 2.0.8–2.0.42.
Исправление вошло в Apache HTTP Server 2.4.71, выпущенный 11 ноября 2026 года.
Apache описывает проблему следующим образом:
Уязвимость, связанная с параллельным использованием общего ресурса при ненадлежащей синхронизации в функции assign_headers() модуля mod_http2 Apache HTTP Server, может привести к удаленному выполнению кода.
Apache HTTP Server – бесплатный веб-сервер с открытым исходным кодом. Он обрабатывает запросы браузеров и передает страницы, изображения и другой контент сайтов. По оценкам, его использует примерно каждый пятый сайт.
Для эксплуатации требуется включенный HTTP/2
По данным телеметрии компании Wiz, уязвимые ресурсы присутствуют в 64% облачных сред. Примерно в половине этих сред есть экземпляры серверов, доступные из интернета.
Однако эта статистика не учитывает конфигурацию серверов: для эксплуатации уязвимости необходимо, чтобы HTTP/2 был включен. По умолчанию он отключен.
Исследователи компании watchTowr подтвердили это условие и рекомендовали администраторам «установить исправление прямо сейчас или отключить h2 до тех пор, пока не появится возможность обновиться».
Исследователи Wiz объяснили:
Из-за ненадлежащей синхронизации параллельно выполняющихся потоков, использующих общие ресурсы, злоумышленник может вызвать повреждение памяти в куче.
Это повреждение памяти в конечном счете можно использовать для удаленного выполнения кода на сервере, что позволяет злоумышленникам выполнять произвольные команды с правами процесса веб-сервера.
Wiz оценивает уязвимость как критическую, хотя официальная оценка пока отсутствует. По данным компании, ей пока неизвестно о публичных эксплойтах или атаках с использованием этой уязвимости, но ситуация может вскоре измениться.
При этом к 13 ноября на GitHub появились сторонние репозитории с проверочным кодом (PoC) для CVE-2026-119618.
Другие исправления
Последняя версия Apache HTTP Server также устраняет еще две уязвимости:
- CVE-2026-106023 – разыменование нулевого указателя в модуле mod_md.
- CVE-2026-109163 – уязвимость низкой степени опасности в модуле mod_vhost_alias, связанная с перезаписью данных.
