syslog.eu
CS EN DE FR
[CRIT · OPRAVIT DNES]/Zprávy·

Apache HTTP Server: kritická chyba v HTTP/2 může vést ke spuštění kódu – aktualizujte na 2.4.71

Apache HTTP Server 2.4.71, vydaný 11. listopadu, opravuje CVE-2026-119618, kterou projekt hodnotí jako kritickou. Souběh (race condition) v modulu HTTP/2 (mod_http2) může poškodit paměť a vést ke vzdálenému spuštění kódu ve verzích 2.4.55 až 2.4.70. Firma Wiz, zaměřená na bezpečnost cloudu, uvádí, že útočník ke zneužití nepotřebuje přihlášení a že v době, kdy Wiz svůj článek zveřejnil, nebyl znám žádný exploit ani žádné útoky.

Týká se apache-httpd
Karta Syslog, úroveň CRIT (opravit dnes): Spuštění kódu v Apache, chyba v HTTP/2; opraveno v 2.4.71, útoky zatím nejsou. Týká se: Apache httpd, HTTP/2, mod_http2. Co udělat: Nasaďte Apache 2.4.71 nebo opravu z distribuce; Vypněte HTTP/2, dokud neaktualizujete.

Týká se vás to?

  • Týká se: serverů s Apache httpd 2.4.55 až 2.4.70, kde je zapnuté HTTP/2 (protokol h2 nebo h2c), a samostatného modulu mod_h2 2.0.8 až 2.0.42 z GitHubu.
  • Netýká se vás, pokud: vaše weby běží na nginx, IIS nebo jiném webovém serveru, Apache přímo od projektu je starší než 2.4.55, nebo je HTTP/2 vypnuté. U balíčků z distribuce se řiďte bezpečnostním oznámením distribuce, ne číslem verze. Pokud server provozuje hostingová firma, aktualizaci musí provést ona; vy se jí na ni musíte zeptat.

Co udělat

  • Najděte všechny instance Apache, které provozujete, včetně kontejnerů. apachectl -v (apache2ctl na Debianu a Ubuntu) ukáže verzi; apachectl -M vypíše http2_module, pokud je HTTP/2 načtené; pak v konfiguraci vyhledejte řádky Protocols s h2 nebo h2c.
  • Nainstalujte 2.4.71 nebo novější. Apache z vaší linuxové distribuce: nainstalujte místo toho její bezpečnostní aktualizaci, která může mít nižší číslo verze; hledejte CVE-2026-119618 v oznámení distribuce.
  • Samostatný mod_h2 z GitHubu: přejděte na verzi novější než 2.0.42.
  • Nemůžete aktualizovat ještě dnes? Dočasné řešení podle firmy Wiz: odstraňte h2 a h2c ze všech řádků Protocols (hlavní konfigurace, konfigurační soubory distribuce, každý VirtualHost), aby zůstalo jen Protocols http/1.1, a restartujte Apache.
  • Už jste napadeni? Žádné útoky nejsou hlášené, takže zatím není po čem pátrat.
  • Pokud váš Apache provozuje hostingová firma, ať vám potvrdí, že má opravu nainstalovanou.

Co víme – a co ne

  • Projekt Apache hodnotí chybu jako kritickou a uvádí dva nálezce: Anthropic OSS Scanner (nahlášeno 26. října) a Google Cloud Vulnerability Research (3. listopadu); podle firmy Wiz ji našli nezávisle na sobě.
  • Záznam CVE neuvádí skóre CVSS, jen „critical“; slabina je CWE-362 (nesprávná synchronizace).
  • Wiz eviduje zranitelné verze v 64 % cloudových prostředí, která vidí, a zranitelné instance dostupné z internetu v 51 %; údaj nezohledňuje konfiguraci, například zda je HTTP/2 zapnuté.
  • 2.4.71 opravuje i dvě menší chyby, v mod_md (important) a mod_vhost_alias (low).
  • Nevíme: jak těžké je souběh v praxi zneužít a zda se objeví funkční exploity.

Proč na tom záleží

Apache dál pohání velké množství webů malých firem a podle nás mnoho z nich někdo jednou nastavil a od té doby na ně skoro nesáhl. Když vypnutí stojí jeden řádek konfigurace, nemusí server dostupný z internetu čekat na servisní okno.

Zdroje

← Všechny zprávy