מצב מרוץ קריטי במודול HTTP/2 של שרת Apache HTTP עלול לאפשר RCE

נמצאה פגיעת סינכרון קריטית, CVE-2026-119618, במודול HTTP/2 של שרת Apache HTTP (mod_http2). הפגם הוא מצב מרוץ בפונקציה assign_headers() שיכול לאפשר לתוקף מרוחק ולא מאומת להשחית זיכרון ערימה ולהגיע לביצוע קוד שרירותי. נכון למועד פרסום הפוסט, אין ניצול זמין ואין דיווחים על ניצול בפועל.

גילוי ופרטים טכניים

הבעיה התגלתה באופן עצמאי על ידי Anthropic וצוות מחקר הפגיעויות של Google Cloud. היא קיימת בתוך assign_headers() במודול mod_http2, כאשר סינכרון לא תקין במהלך ביצוע מקבילי של תהליכונים על משאבים משותפים עלול לגרום להשחתת ערימה. השחתת זיכרון זו ניתנת לניצול ל-RCE בשרת המארח, ומאפשרת לגורמי איום בלתי מורשים להריץ פקודות שרירותיות עם הרשאות תהליך שרת האינטרנט.

סיכון לסביבות ענן

בסביבות ענן, מופע Apache שנפגע והפועל בעומסים מוכלים או וירטואליים יכול לשמש נקודת כניסה לתנועה צדדית, וחושף פוטנציאלית שירותי מיקרו סמוכים או נקודות קצה של מטא-דאטה בענן. לפי נתוני Wiz, 64% מסביבות הענן מכילות משאבים פגיעים ל-CVE-2026-119618, ו-51% מסביבות הענן מכילות מופעים חשופים לציבור. המקור מציין כי הדבר אינו לוקח בחשבון תצורה.

גרסאות מושפעות

הפגיעות משפיעה על פריסות המשתמשות ביכולות HTTP/2 בשרת Apache HTTP Server. הגרסאות המושפעות הן Apache HTTP Server מגרסה 2.4.55 עד 2.4.70, כאשר 2.4.71 ומעלה רשומות כמתוקנות. עבור מודול mod_h2 של GitHub, גרסאות 2.0.8 עד 2.0.42 מושפעות, כאשר 2.0.24 ומעלה רשומות כמתוקנות.

פעולות מומלצות

צוותי אבטחה צריכים לשדרג את Apache HTTP Server לגרסה 2.4.71 ואילך, ולעדכן בניות mod_h2 עצמאיות של GitHub לגרסה חדשה מ-2.0.42. אם תיקון מיידי אינו אפשרי, יש להשבית זמנית את תמיכת HTTP/2 על ידי עריכת קובץ תצורה כגון httpd.conf והגבלת פרוטוקולים פעילים ל-HTTP/1.1, תוך הסרת הפניות ל-h2 ו-h2c; הדוגמה קובעת Protocols http/1.1. לקוחות Wiz יכולים להשתמש בשאילתה מובנית ובייעוץ במרכז האיומים של Wiz כדי לחפש מופעים פגיעים בסביבתם. המקור מפנה גם להערות הגרסה של Apache HTTP Server.

מקורות: wiz.io