Критична гонка потоків у mod_http2 Apache HTTP Server може призвести до RCE

Критичну вразливість синхронізації, CVE-2026-119618, виявлено в модулі HTTP/2 Apache HTTP Server (mod_http2). Недолік є гонкою потоків у функції assign_headers(), що може дозволити віддаленому неавтентифікованому зловмиснику пошкодити пам'ять у купі та досягти довільного виконання коду. На момент публікації блогу експлойт недоступний, а повідомлень про експлуатацію в реальних умовах немає.

Виявлення та технічні деталі

Проблему незалежно виявили Anthropic і команда дослідження вразливостей Google Cloud. Вона існує у функції assign_headers() у mod_http2, де неправильна синхронізація під час одночасного виконання потоків над спільними ресурсами може спричинити пошкодження купи. Це пошкодження пам'яті можна використати для RCE на сервері, що його розміщує, дозволяючи неавторизованим зловмисникам виконувати довільні команди з привілеями процесу вебсервера.

Ризик для хмарних середовищ

У хмарних середовищах скомпрометований екземпляр Apache, що виконує контейнеризовані або віртуалізовані робочі навантаження, може слугувати точкою входу для латерального переміщення, потенційно відкриваючи доступ до сусідніх мікросервісів або хмарних кінцевих точок метаданих. За даними Wiz, 64% хмарних середовищ мають ресурси, вразливі до CVE-2026-119618, а 51% хмарних середовищ мають екземпляри, відкриті публічно. Джерело зазначає, що це не враховує конфігурацію.

Уражені версії

Вразливість впливає на розгортання, що використовують можливості HTTP/2 в Apache HTTP Server. Уражені версії: Apache HTTP Server від 2.4.55 до 2.4.70, а 2.4.71 і новіші позначені як виправлені. Для модуля mod_h2 з GitHub уражені версії від 2.0.8 до 2.0.42, а 2.0.24 і новіші позначені як виправлені.

Рекомендовані дії

Команди безпеки мають оновити Apache HTTP Server до версії 2.4.71 або новішої, а також оновити окремі збірки mod_h2 з GitHub до версії новішої за 2.0.42. Якщо негайне виправлення неможливе, тимчасово вимкніть підтримку HTTP/2, відредагувавши файл конфігурації, наприклад httpd.conf, і обмеживши активні протоколи до HTTP/1.1, видаливши посилання h2 і h2c; у прикладі встановлено Protocols http/1.1. Клієнти Wiz можуть використати готовий запит і рекомендацію в Wiz Threat Center для пошуку вразливих екземплярів у своєму середовищі. Джерело також посилається на примітки до випуску Apache HTTP Server.

Джерела: wiz.io