Kritikus Apache HTTP Server-hiba
Kritikus, távoli kódfuttatást lehetővé tevő sérülékenységet javítottak az Apache HTTP Serverben. A CVE-2026-119618 azonosítójú hibát november 11-én hozták nyilvánosságra, és a Red Hat 9,8-as CVSS-pontszámmal értékelte. Kihasználásához nincs szükség felhasználói fiókra vagy hitelesítésre.
A sérülékenység az Apache HTTP/2-kapcsolatokat kezelő mod_http2 moduljában található. A hiba oka, hogy több párhuzamosan futó feldolgozási szál nem megfelelően összehangolt módon férhet hozzá ugyanahhoz a memóriaterülethez. Ez memóriasérülést okozhat, amelyet egy támadó megfelelően kialakított HTTP/2-kérésekkel akár tetszőleges kód végrehajtására is kihasználhat.
A hiba az Apache HTTP Server 2.4.55–2.4.70 verzióit érinti, amennyiben a HTTP/2 protokoll engedélyezett. A javítást a november 11-én kiadott 2.4.71-es verzió tartalmazza. A Linux-disztribúciók saját javított csomagokat is biztosíthatnak, ezért nem minden esetben a webszerver verziószáma alapján állapítható meg a védettség.
A sérülékenységhez már nyilvánosan elérhető demonstrációs kód, amely memóriasérülést idéz elő. Ez azonban nem azonos a teljes távoli kódfuttatás bemutatásával. A Horizon3.ai összefoglalója szerint a hiba tényleges támadásokban történő kihasználását egyelőre nem erősítették meg.
A rendszergazdáknak mielőbb telepíteniük kell a javított Apache-verziót vagy a disztribúciójuk biztonsági frissítését. Átmeneti védekezésként a HTTP/2 letiltható, és a szerver kizárólag HTTP/1.1 kapcsolatok kiszolgálására állítható át. A kockázat nemcsak nyilvános weboldalakat, hanem belső hálózaton elérhető webszervereket és fordított proxykat is érinthet.