Slăbiciune critică în Apache HTTP/2 permite execuția de cod la distanță

De ce e periculos acest bug?

O slăbiciune critică în modulul HTTP/2 al serverului Apache HTTP Server, mod_http2, permite unui atacator la distanță să execute cod pe server fără autentificare. Defectul, urmărit ca CVE-2026-119618, afectează versiunile 2.4.55 până la 2.4.70. Corecția a fost livrată în versiunea 2.4.71, publicată ieri.

Bug-ul se află în modulul HTTP/2, ceea ce înseamnă că doar serverele cu HTTP/2 activat sunt vulnerabile. Red Hat, care distribuie serverul ca parte a Red Hat Enterprise Linux, a confirmat aria de aplicare. Atacatorii pot exploata acest defect la distanță, ceea ce face ca aplicarea patch-ului să fie urgentă pentru orice instanță expusă.

Slăbiciunea permite unui atacator neautentificat să trimită o cerere HTTP/2 special concepută care declanșează execuția de cod. Nu e nevoie de login sau sesiune. Aceasta scade semnificativ bariera de exploatare. Serverele care rulează build-uri mai vechi sunt în cel mai mare risc. Trebuie să aplici patch-ul imediat? Da. Dacă serverul tău rulează o versiune afectată, trece la 2.4.71 cât mai curând posibil. Verifică dacă HTTP/2 este activat, deoarece doar acele instanțe sunt în risc. După aplicarea patch-ului, monitorizează jurnalele pentru activitate neobișnuită care ar putea indica o încălcare anterioară.

Slăbiciunea e exploatabilă la distanță? Da. Defectul permite unui atacator la distanță să execute cod fără a avea nevoie de credentiale. Acest lucru o face o problemă de severitate ridicată pentru orice server orientat spre internet.

Întrebări frecvente

Ce versiuni sunt afectate? Versiunile 2.4.55 până la 2.4.70 ale serverului Apache HTTP Server sunt vulnerabile. Versiunea 2.4.71 conține corecția.

Trebuie să ai HTTP/2 activat ca să fii în risc? Corect. Doar serverele cu modulul mod_http2 activ sunt afectate. Dacă HTTP/2 este dezactivat, calea de cod specifică nu este accesibilă.

Acest incident subliniază importanța critică a ciclorilor rapide de patch-uri pentru infrastructura open-source larg răspândită. Organizațiile care se bazează pe serverul Apache HTTP Server ar trebui să auditeze mediile lor de implementare pentru a identifica instanțele afectate. Echipele de securitate sunt sfătuite să compară inventarele interne de active cu intervalul de versiuni vulnerabile. Remedierea rapidă atenuează riscul de execuție de cod la distanță fără autentificare.