Apache HTTP Server mod_http2 Modülünde Kritik Yarış Koşulu RCE'ye Yol Açabilir

Apache HTTP Server'ın HTTP/2 modülünde (mod_http2) kritik bir senkronizasyon açığı olan CVE-2026-119618 tespit edildi. Açık, assign_headers() işlevindeki bir yarış koşuludur; uzaktan, kimliği doğrulanmamış bir saldırganın heap belleğini bozmasına ve keyfi kod çalıştırmasına olanak tanıyabilir. Blogun yayımlanması itibarıyla kullanılabilir bir exploit yoktur ve vahşi ortamda istismar raporu bulunmamaktadır.

Keşif ve teknik ayrıntılar

Sorun Anthropic ve Google Cloud'un Güvenlik Açığı Araştırma Ekibi tarafından bağımsız olarak keşfedildi. mod_http2 içindeki assign_headers() işlevinde bulunur; paylaşılan kaynaklar üzerinde eşzamanlı iş parçacığı çalıştırması sırasında yetersiz senkronizasyon heap bozulmasını tetikleyebilir. Bu bellek bozulması, barındırma sunucusunda RCE için kullanılabilir ve yetkisiz tehdit aktörlerinin web sunucusu sürecinin ayrıcalıklarıyla keyfi komutlar çalıştırmasına izin verir.

Bulut ortamlarına risk

Bulut ortamlarında, konteynerleştirilmiş veya sanallaştırılmış iş yükleri çalıştıran ele geçirilmiş bir Apache örneği, yanal hareket için giriş noktası görevi görebilir ve bitişik mikro hizmetleri veya bulut meta veri uç noktalarını açığa çıkarabilir. Wiz verilerine göre bulut ortamlarının %64'ü CVE-2026-119618'e karşı savunmasız kaynaklara sahiptir ve bulut ortamlarının %51'inde herkese açık örnekler vardır. Kaynak, bunun yapılandırmayı dikkate almadığını belirtir.

Etkilenen sürümler

Açık, Apache HTTP Server üzerinde HTTP/2 yeteneklerini kullanan dağıtımları etkiler. Etkilenen sürümler Apache HTTP Server 2.4.55 ile 2.4.70 arasındadır; 2.4.71 ve daha yenileri yamalanmış olarak listelenmiştir. GitHub mod_h2 modülü için 2.0.8 ile 2.0.42 arasındaki sürümler etkilenir; 2.0.24 ve daha yenileri yamalanmış olarak listelenmiştir.

Önerilen eylemler

Güvenlik ekipleri Apache HTTP Server'ı 2.4.71 veya daha yeni sürüme yükseltmeli ve GitHub'daki bağımsız mod_h2 derlemelerini 2.0.42'den daha yeni bir sürüme güncellemelidir. Anında yama mümkün değilse, httpd.conf gibi bir yapılandırma dosyasını düzenleyerek HTTP/2 desteğini geçici olarak devre dışı bırakın ve etkin protokolleri HTTP/1.1 ile sınırlayın, h2 ve h2c referanslarını kaldırın; örnek Protocols http/1.1 ayarını kullanır. Wiz müşterileri, ortamlarındaki savunmasız örnekleri aramak için Wiz Threat Center'daki hazır sorguyu ve güvenlik danışmasını kullanabilir. Kaynak ayrıca Apache HTTP Server sürüm notlarına referans verir.

Kaynaklar: wiz.io