Apache corrige falha que permite tomar o controlo de servidores HTTP/2 sem login

O projeto Apache HTTP Server lançou a 11 de novembro a versão 2.4.71, que corrige uma falha crítica no mod_http2, o módulo que trata das ligações HTTP/2. Segundo o boletim da Apache, a vulnerabilidade CVE-2026-119618 pode levar à execução remota de código e afeta todas as versões da 2.4.55 à 2.4.70. Um atacante que consiga chegar ao servidor não precisa de palavra-passe nem de conta.

O que está errado no mod_http2

O HTTP/2 permite que o navegador envie muitos pedidos ao mesmo tempo por uma única ligação, e o mod_http2 trata-os em vários threads. A Red Hat explica que se trata de uma condição de corrida na função assign_headers(): um thread de trabalho pode escrever na memória do thread da ligação através de um alocador partilhado sem bloqueio. Isso corrompe a memória do servidor, e um atacante pode aproveitá-lo para executar os seus próprios comandos e tomar o controlo do processo do servidor.

A Red Hat afirma que uma investigação pública «demonstrou um exploit fiável» contra um servidor na configuração predefinida com o mod_http2 ativo, mas não diz qual. O The Hacker News relata que a empresa de segurança Wiz disse no mesmo dia que não havia exploit disponível nem ataques detetados. Seja como for, os pormenores já são públicos, e os administradores não devem esperar que surja um exploit funcional.

A falha foi comunicada à Apache a 26 de outubro pelo OSS Scanner da Anthropic, um serviço gratuito que analisa projetos de código aberto com os modelos de IA da empresa. Anthony Weems e Simon Scannell, da Google Cloud Vulnerability Research, encontraram-na de forma independente e comunicaram-na a 3 de novembro. A 2.4.71 corrige ainda uma falha que faz o mod_md parar, de gravidade importante, e a sobrescrita de um byte da pilha no mod_vhost_alias, de gravidade baixa.

Quem já tem a correção

As distribuições Linux compilam o seu próprio Apache com números de pacote próprios, por isso a atualização certa depende do sistema. Situação a 12 de novembro:

As versões autónomas do módulo, publicadas no GitHub como mod_h2, são afetadas da 2.0.8 à 2.0.42. Esse repositório está arquivado desde junho e não tem nenhuma versão corrigida. Em maio a Apache corrigiu outra falha de HTTP/2, CVE-2026-23918, na 2.4.67, por isso os servidores atualizados nessa altura continuam expostos a esta. No mês passado, o NGINX corrigiu falhas semelhantes que também permitiam executar código sem login.

Como verificar o seu servidor

• apachectl -v mostra a versão e apachectl -M | grep http2 indica se o mod_http2 está carregado.
• Procure a diretiva Protocols na configuração, tanto a global como a de cada anfitrião virtual. Se tiver h2 ou h2c, o servidor usa HTTP/2.
• Instale a atualização da sua distribuição assim que sair, ou passe para a 2.4.71 se compila o Apache por conta própria.
• Se ainda não puder atualizar, a Wiz recomenda deixar apenas Protocols http/1.1. Os sites ficam um pouco mais lentos, mas o código vulnerável não corre.