Apache исправил уязвимость HTTP/2 с риском удалённого выполнения кода
Изображение: OpenAI
В Apache HTTP Server 2.4.71 от 11 ноября исправили CVE-2026-119618, которая может позволить удалённо выполнить код без аутентификации. Предыдущую уязвимость HTTP/2, CVE-2026-23918, устранили в версии 2.4.67 от 4 мая, однако эта версия и последующие вплоть до 2.4.70 включительно затронуты новой уязвимостью. По данным Red Hat, разработчика Red Hat Enterprise Linux, уязвимость модуля mod_http2 затрагивает версии 2.4.55–2.4.70 только при включённом HTTP/2 и получила 9,8 балла по CVSS.
Об уязвимости 26 октября сообщил OSS Scanner от Anthropic, бесплатный сервис проверки открытого ПО с помощью ИИ-моделей компании. В ноябре о ней также сообщили исследователи Google Cloud Vulnerability Research.
Red Hat заявила, что в опубликованном исследовании продемонстрирован надёжный эксплойт для сервера с настройками по умолчанию и включённым mod_http2, но не назвала это исследование и не привела ссылку на него. ИБ-компания Wiz позднее сообщила, что доступного эксплойта нет и сообщений об атаках не поступало. На расхождение обратило внимание The Hacker News.
Для Red Hat Enterprise Linux 9 и 10 исправления вышли 11 ноября. Red Hat оценила опасность для них ниже: отдельный распределитель памяти для каждого потока HTTP/2 заметно усложняет атаку. Red Hat Enterprise Linux 8 и более ранние версии не содержат уязвимого кода. Самостоятельные сборки модуля mod_h2 уязвимы в версиях 2.0.8–2.0.42, исправленного выпуска для них пока нет: список выпусков на GitHub заканчивается версией 2.0.42, а репозиторий с 9 июня находится в архиве и доступен только для чтения.
Если обновиться пока нельзя, Wiz советует убрать h2 и h2c из директивы Protocols, оставив Protocols http/1.1. Это относится и к отдельным сборкам mod_h2. Проверить директиву нужно в общих настройках сервера и в настройках каждого виртуального хоста.
