Уязвимость в Apache httpd, приводящая у удалённому выполнению кода через HTTP/212.11.2026 10:50

Коротко сгенерировано ИИ по тексту статьи

Apache 2.4.71 устраняет критическую уязвимость CVE-2026-119618 в mod_http2; затронуты версии httpd начиная с 2.4.55 и mod_h2 с 2.0.8.
Уязвимость связана с гонкой при параллельном вызове assign_headers(); публичный эксплоит пока не опубликован.
Временный обход — отключить HTTP/2 в httpd.conf директивой `Protocols http/1.1`.

Почему это важно: Специально оформленный HTTP/2-запрос позволяет удалённо выполнить код на сервере.

Опубликован релиз HTTP-сервера Apache 2.4.71, в котором устранена уязвимость (CVE-2026–119618) в модуле mod_http2, которой присвоен критический уровень опасности. Уязвимость позволяет удалённо выполнить свой код на сервере при отправке специально оформленного запроса по протоколу HTTP/2. Уязвимость проявляется начиная с версий Apache httpd 2.4.55 и mod_h2 2.0.8. Статус устранения уязвимостей в дистрибутивах можно оценить на данных страницах: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.

Проблема вызвана состоянием гонки при одновременном вызове функции assign_headers () из разных потоков для обработки общих ресурсов. При успешной эксплуатации атакующий может добиться изменения памяти вне выделенного буфера. Уязвимость примерно в одно время выявлена исследователями из компаний Anthropic и Google. Эксплоит пока не опубликован публично. В качестве обходного пути блокирования уязвимости достаточно отключить обработку соединений по протоколу HTTP/2 в файле конфигурации httpd.conf через директиву «Protocols http/1.1».

В соответствии с сентябрьским отчётом компании Netcraft под управлением Apache httpd работает около 170 млн сайтов (11.56%). На каких из них используется HTTP/2 не сообщается.

Источник: http://www.opennet.ru/opennews/art.shtml? num=66673