Критическая ошибка в модуле Apache HTTP Server mod_http2 позволяет удалённому злоумышленнику выполнить код на сервере без аутентификации. Уязвимости присвоен идентификатор CVE-2026-119618. Она затрагивает версии Apache HTTP Server с 2.4.55 по 2.4.70; исправление вошло в выпуск 2.4.71.
По оценке Red Hat, атака может привести к полному контролю над процессом сервера. Оценка риска составляет 9,8 из 10 по шкале CVSS. Уязвимы только системы, где включён HTTP/2. Red Hat сообщила, что общедоступное исследование уже показало надёжный способ эксплуатации сервера с включённым mod_http2 в конфигурации по умолчанию, но не назвала исследование. Позднее в тот же день компания Wiz заявила, что эксплойта в открытом доступе нет и об атаках в реальных условиях не сообщалось.
Проверять нужно директиву Protocols: h2 включает HTTP/2 поверх TLS, а h2c — HTTP/2 поверх обычного TCP. Директива может задаваться для всего сервера или отдельного виртуального хоста, поэтому администратору следует проверить оба уровня и каждую конфигурацию виртуального хоста.
Если обновиться пока нельзя, Apache не предлагает собственного обходного решения. В анализе уязвимости Wiz рекомендует удалить h2 и h2c из директивы Protocols, оставив Protocols http/1.1. Это отключит HTTP/2 в соответствующей конфигурации.
Уязвимы и отдельные сборки модуля, распространявшиеся на GitHub под названием mod_h2: версии 2.0.8–2.0.42. Исправленного выпуска на момент описания не было: список релизов заканчивается версией 2.0.42, а репозиторий перевели в режим только для чтения после архивации 9 июня. Для этих сборок применима та же мера с директивой Protocols.
Выпуск Apache HTTP Server 2.4.71 закрывает CVE-2026-119618. При этом дистрибутивы выпускают собственные пакеты, и их номера версий не обязательно совпадают с номером upstream-релиза. Red Hat исправила уязвимость в Enterprise Linux 9 и 10: для RHEL 9 указан пакет mod_http2-2.0.26-7.el9_9.1 по уведомлению RHSA-2026:98981, для RHEL 10 — mod_http2-2.0.29-5.el10_3.1 по RHSA-2026:98978. Также выпущены исправления для RHEL 9.4 Update Services for SAP Solutions и расширенной поддержки версий 9.6, 9.8, 10.0 и 10.2: RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 и RHSA-2026:98979.
Red Hat оценила уязвимость для RHEL 9 и 10 как Important, а не Critical. По объяснению компании, пакеты mod_http2 выделяют каждому потоку HTTP/2 отдельный аллокатор памяти, что заметно усложняет атаку. Red Hat Enterprise Linux 8 и более ранние версии не содержат уязвимого кода. Red Hat JBoss Core Services и Red Hat Hardened Images уязвимы, но исправления для них в перечне не указаны.
В Debian исправлен пакет в нестабильной ветке sid: apache2 2.4.71-1. Для bookworm, trixie и forky исправления не указаны, эти ветки остаются уязвимыми. В Amazon Linux 2 Core, Amazon Linux 2023 и предварительной версии Amazon Linux 2027 исправление ожидалось. На момент проверки The Hacker News в трекере CVE Ubuntu отдельной страницы об этой уязвимости не было; сведения о Debian и Amazon Linux взяты из их трекеров безопасности.
Об уязвимости сообщили 26 октября через Anthropic's OSS Scanner — бесплатный сервис проверки проектов с открытым исходным кодом, использующий модели ИИ Anthropic. Её также передали исследователи Anthony Weems и Simon Scannell из Google Cloud Vulnerability Research. В Apache HTTP Server 2.4.71 вошли и другие исправления: сбой в mod_md, оценённый как Important, и перезапись одного байта стековой памяти в mod_vhost_alias, оценённая как Low.
Предыдущая уязвимость HTTP/2, CVE-2026-23918, была исправлена в Apache HTTP Server 2.4.67, выпущенном 4 мая. Переход на 2.4.67 не защищает от новой ошибки: уязвимыми остаются и версии с 2.4.67 по 2.4.70.
Изображение носит иллюстративный характер
По оценке Red Hat, атака может привести к полному контролю над процессом сервера. Оценка риска составляет 9,8 из 10 по шкале CVSS. Уязвимы только системы, где включён HTTP/2. Red Hat сообщила, что общедоступное исследование уже показало надёжный способ эксплуатации сервера с включённым mod_http2 в конфигурации по умолчанию, но не назвала исследование. Позднее в тот же день компания Wiz заявила, что эксплойта в открытом доступе нет и об атаках в реальных условиях не сообщалось.
Проверять нужно директиву Protocols: h2 включает HTTP/2 поверх TLS, а h2c — HTTP/2 поверх обычного TCP. Директива может задаваться для всего сервера или отдельного виртуального хоста, поэтому администратору следует проверить оба уровня и каждую конфигурацию виртуального хоста.
Если обновиться пока нельзя, Apache не предлагает собственного обходного решения. В анализе уязвимости Wiz рекомендует удалить h2 и h2c из директивы Protocols, оставив Protocols http/1.1. Это отключит HTTP/2 в соответствующей конфигурации.
Уязвимы и отдельные сборки модуля, распространявшиеся на GitHub под названием mod_h2: версии 2.0.8–2.0.42. Исправленного выпуска на момент описания не было: список релизов заканчивается версией 2.0.42, а репозиторий перевели в режим только для чтения после архивации 9 июня. Для этих сборок применима та же мера с директивой Protocols.
Выпуск Apache HTTP Server 2.4.71 закрывает CVE-2026-119618. При этом дистрибутивы выпускают собственные пакеты, и их номера версий не обязательно совпадают с номером upstream-релиза. Red Hat исправила уязвимость в Enterprise Linux 9 и 10: для RHEL 9 указан пакет mod_http2-2.0.26-7.el9_9.1 по уведомлению RHSA-2026:98981, для RHEL 10 — mod_http2-2.0.29-5.el10_3.1 по RHSA-2026:98978. Также выпущены исправления для RHEL 9.4 Update Services for SAP Solutions и расширенной поддержки версий 9.6, 9.8, 10.0 и 10.2: RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 и RHSA-2026:98979.
Red Hat оценила уязвимость для RHEL 9 и 10 как Important, а не Critical. По объяснению компании, пакеты mod_http2 выделяют каждому потоку HTTP/2 отдельный аллокатор памяти, что заметно усложняет атаку. Red Hat Enterprise Linux 8 и более ранние версии не содержат уязвимого кода. Red Hat JBoss Core Services и Red Hat Hardened Images уязвимы, но исправления для них в перечне не указаны.
В Debian исправлен пакет в нестабильной ветке sid: apache2 2.4.71-1. Для bookworm, trixie и forky исправления не указаны, эти ветки остаются уязвимыми. В Amazon Linux 2 Core, Amazon Linux 2023 и предварительной версии Amazon Linux 2027 исправление ожидалось. На момент проверки The Hacker News в трекере CVE Ubuntu отдельной страницы об этой уязвимости не было; сведения о Debian и Amazon Linux взяты из их трекеров безопасности.
Об уязвимости сообщили 26 октября через Anthropic's OSS Scanner — бесплатный сервис проверки проектов с открытым исходным кодом, использующий модели ИИ Anthropic. Её также передали исследователи Anthony Weems и Simon Scannell из Google Cloud Vulnerability Research. В Apache HTTP Server 2.4.71 вошли и другие исправления: сбой в mod_md, оценённый как Important, и перезапись одного байта стековой памяти в mod_vhost_alias, оценённая как Low.
Предыдущая уязвимость HTTP/2, CVE-2026-23918, была исправлена в Apache HTTP Server 2.4.67, выпущенном 4 мая. Переход на 2.4.67 не защищает от новой ошибки: уязвимыми остаются и версии с 2.4.67 по 2.4.70.
