Apache випустила оновлення для усунення критичної вразливості в HTTP Server

Apache Software Foundation оприлюднила виправлення для критичної вразливості у своєму популярному вебсервері Apache HTTP Server. Проблема, зафіксована під індексом CVE-2026-119618, пов’язана з модулем mod_http2 та дозволяє неавторизованим зловмисникам отримати віддалене виконання коду (RCE). Вразливість зачіпає версії HTTP Server від 2.4.55 до 2.4.70, а також окремі версії модуля mod_h2 від 2.0.8 до 2.0.42.

Про це повідомляє BleepingComputer

Дослідники з компаній Anthropic та Google Cloud виявили, що вразливість виникає через стан гонитви в коді, який призводить до пошкодження пам’яті купи. Apache визначає цю проблему як помилку паралельного виконання при спільному використанні ресурсів із неналежною синхронізацією.

Через неналежну синхронізацію при виконанні паралельних потоків, що використовують спільні ресурси, зловмисник може спричинити пошкодження пам’яті купи. Це пошкодження пам’яті може бути використане для досягнення RCE на хостинг-сервері, дозволяючи неавторизованим суб’єктам виконувати довільні команди з привілеями процесу вебсервера.

— Дослідники компанії Wiz

Згідно з даними Wiz, близько 64% хмарних середовищ мають вразливі ресурси, а половина з них є публічно доступними. Однак експерти наголошують, що ризик стосується лише тих серверів, де активовано протокол HTTP/2, який за замовчуванням вимкнено.

Компанія Wiz оцінює рівень небезпеки як критичний, хоча офіційна оцінка поки відсутня. Наразі фактів експлуатації вразливості не зафіксовано. Окрім основної проблеми, остання версія Apache HTTP Server усуває ще дві вразливості: CVE-2026-106023 у модулі mod_md та CVE-2026-109163 у модулі mod_vhost_alias.