Kritisk Apache HTTP/2-sårbarhed giver mulighed for fjernafvikling af kode
En kritisk sårbarhed i Apache HTTP Servers HTTP/2-modul, mod_http2, kan give en uautentificeret angriber mulighed for at eksekvere vilkårlig kode på en sårbar server. Fejlen er registreret som CVE-2026-119618 og påvirker Apache HTTP Server-versionerne 2.4.55 til 2.4.70.
Det skriver The Hacker News.
Sårbarheden er rettet i version 2.4.71, som blev offentliggjort den 11. november. Fejlen har fået en CVSS-score på 9,8 ud af 10 og vurderes blandt de mest alvorlige typer af webserver-sårbarheder, fordi den kan udnyttes uden login eller andre privilegier.
HTTP/2 skal være aktiveret
Kun installationer, hvor HTTP/2 er aktiveret, er berørt. Apache understøtter HTTP/2 via mod_http2, og funktionen aktiveres gennem direktivet Protocols, hvor værdierne h2 eller h2c anvendes.
Konfigurationen kan være aktiveret globalt eller på enkelte virtuelle værter, hvilket betyder, at administratorer bør gennemgå både den centrale Apache-konfiguration og alle virtuelle hosts for at afgøre, om de er eksponeret.
Ifølge Red Hat kan en succesfuld udnyttelse give en angriber fuld kontrol over den proces, som webserveren kører under.
Uenighed om exploit-status
Der er modstridende oplysninger om, hvor langt trusselsbilledet har udviklet sig.
Red Hat oplyser, at offentlig forskning har demonstreret en pålidelig exploit mod servere med standardkonfiguration og aktiveret mod_http2. Samtidig vurderer sikkerhedsvirksomheden Wiz, at der på nuværende tidspunkt ikke findes offentligt tilgængelige exploits, og at der heller ikke er rapporteret aktiv udnyttelse i miljøer på internettet.
Uanset exploit-status anbefales hurtig opdatering, da sårbarheden påvirker en af verdens mest udbredte webserverplatforme.
Flere Linux-distributioner påvirket
Apache-projektets egne udgivelser er rettet i version 2.4.71. Andre Linux-distributioner anvender egne pakker og versionsnumre, hvorfor status varierer.
Red Hat Enterprise Linux 9 og 10 har allerede udsendt sikkerhedsopdateringer. Debian har offentliggjort rettelser i den ustabile gren (sid), mens flere stabile Debian-versioner fortsat er markeret som sårbare. Amazon Linux afventer fortsat patches, og Ubuntu havde på offentliggørelsestidspunktet endnu ikke offentliggjort en status for CVE'en.
Red Hat vurderer risikoen lavere end Apache-projektet, fordi virksomhedens mod_http2-pakker anvender separate hukommelsesallokatorer for hver HTTP/2-strøm. Ifølge leverandøren gør det udnyttelse betydeligt vanskeligere på Red Hat Enterprise Linux 9 og 10.
Midlertidig afhjælpning
Apache-projektet har ikke offentliggjort en officiel workaround.
Wiz anbefaler dog, at organisationer, som endnu ikke kan opdatere, midlertidigt deaktiverer HTTP/2 ved at fjerne h2 og h2c fra Apaches Protocols-direktiv. Herefter vil serveren alene acceptere HTTP/1.1-forbindelser.
For systemer baseret på Apache HTTP Server er den anbefalede løsning fortsat at opdatere til version 2.4.71 eller installere en leverandørudgivet sikkerhedsopdatering, så snart denne er tilgængelig.