Apache corregge una falla che permette di violare server HTTP/2 senza accesso

L'11 novembre il progetto Apache HTTP Server ha rilasciato la versione 2.4.71, che corregge una falla critica in mod_http2, il modulo che gestisce le connessioni HTTP/2. Secondo il bollettino di Apache, la vulnerabilità CVE-2026-119618 può portare all'esecuzione di codice da remoto e riguarda tutte le versioni dalla 2.4.55 alla 2.4.70. A chi riesce a raggiungere il server non servono password né account.

Cosa non va in mod_http2

HTTP/2 consente al browser di inviare molte richieste insieme su un'unica connessione, e mod_http2 le gestisce in più thread. Red Hat spiega che si tratta di una race condition nella funzione assign_headers(): un thread di lavoro può scrivere nella memoria del thread della connessione attraverso un allocatore condiviso senza lock. La memoria del server si corrompe, e un aggressore può sfruttarlo per eseguire i propri comandi e prendere il controllo del processo del server.

Secondo Red Hat, una ricerca pubblica «ha dimostrato un exploit affidabile» contro un server con configurazione predefinita e mod_http2 attivo, ma l'azienda non dice quale. The Hacker News riferisce che la società di sicurezza Wiz lo stesso giorno ha dichiarato che non c'era alcun exploit disponibile né attacchi rilevati. In ogni caso i dettagli ora sono pubblici, e gli amministratori non dovrebbero aspettare che compaia un exploit funzionante.

La falla è stata segnalata ad Apache il 26 ottobre da OSS Scanner di Anthropic, un servizio gratuito che analizza i progetti open source con i modelli di IA dell'azienda. Anthony Weems e Simon Scannell di Google Cloud Vulnerability Research l'hanno trovata per conto loro e segnalata il 3 novembre. La 2.4.71 corregge anche un crash in mod_md, di gravità importante, e la sovrascrittura di un byte dello stack in mod_vhost_alias, di gravità bassa.

Chi ha già la correzione

Le distribuzioni Linux compilano il proprio Apache con numeri di pacchetto propri, quindi l'aggiornamento giusto dipende dal sistema. Situazione al 12 novembre:

Le versioni autonome del modulo, pubblicate su GitHub come mod_h2, sono colpite dalla 2.0.8 alla 2.0.42. Il repository è archiviato da giugno e non ha una versione corretta. A maggio Apache aveva corretto un'altra falla HTTP/2, CVE-2026-23918, nella 2.4.67, quindi i server aggiornati allora restano esposti a questa. Il mese scorso NGINX ha corretto falle simili che permettevano anch'esse di eseguire codice senza accesso.

Come controllare il vostro server

• apachectl -v mostra la versione, apachectl -M | grep http2 dice se mod_http2 è caricato.
• Cercate la direttiva Protocols nella configurazione, sia globale sia in ogni host virtuale. Se contiene h2 o h2c, il server usa HTTP/2.
• Installate l'aggiornamento della vostra distribuzione appena esce, oppure passate alla 2.4.71 se compilate Apache da soli.
• Se per ora non potete aggiornare, Wiz consiglia di lasciare solo Protocols http/1.1. I siti saranno un po' più lenti, ma il codice vulnerabile non verrà eseguito.