В Apache закрыли дыру, через которую серверы с HTTP/2 можно захватить без входа
11 ноября проект Apache HTTP Server выпустил версию 2.4.71. В ней закрыта критическая ошибка в mod_http2, модуле, который обслуживает соединения по HTTP/2. Согласно бюллетеню Apache, уязвимость CVE-2026-119618 позволяет удалённо выполнить код и затрагивает все выпуски с 2.4.55 по 2.4.70. Атакующему достаточно дотянуться до сервера по сети: ни пароль, ни учётная запись не нужны.
Коротко
- Под угрозой только серверы с включённым HTTP/2 (h2 или h2c в директиве Protocols). Серверы, которые работают только по HTTP/1.1, не затронуты.
- Red Hat оценивает уязвимость в 9,8 балла из 10. Её сборки для RHEL 9 и 10 атаковать сложнее, потому что каждый поток HTTP/2 получает свой распределитель памяти, а в RHEL 8 и старше уязвимого кода нет.
- Debian пока исправил только нестабильную ветку, у Amazon Linux исправление в статусе «ожидается».
В чём ошибка mod_http2
HTTP/2 позволяет браузеру отправить много запросов сразу по одному соединению, и mod_http2 обрабатывает их в нескольких потоках. Как объясняет Red Hat, ошибка возникает при гонке потоков в функции assign_headers(): рабочий поток может записать данные в память, которая принадлежит потоку соединения: оба пользуются общим распределителем памяти без блокировки. Память сервера портится, и атакующий может использовать это, чтобы выполнить свои команды и захватить процесс сервера.
По словам Red Hat, в открытом исследовании «показан надёжный эксплойт» против сервера в настройках по умолчанию с включённым mod_http2, но какое это исследование, компания не уточняет. The Hacker News пишет, что компания Wiz в тот же день сообщила: готового эксплойта нет, атак не замечено. Как бы то ни было, подробности уже опубликованы, и ждать появления рабочего эксплойта администраторам не стоит.
26 октября об ошибке сообщил Apache сервис Anthropic OSS Scanner, бесплатный сканер открытых проектов на моделях компании. Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research нашли её независимо и сообщили 3 ноября. В 2.4.71 также исправлены падение mod_md (важный уровень) и перезапись одного байта стека в mod_vhost_alias (низкий уровень).
У кого уже есть исправление
Дистрибутивы Linux собирают Apache сами и нумеруют пакеты по-своему, поэтому нужное обновление зависит от системы. Состояние на 12 ноября:
| Система | Статус |
|---|---|
| Apache 2.4.71 от проекта | Исправлено |
| Red Hat Enterprise Linux 9 и 10 | Исправлено (пакеты mod_http2 от 11 ноября) |
| Red Hat Enterprise Linux 6, 7 и 8 | Не затронуты |
| Debian unstable (sid) | Исправлено в apache2 2.4.71-1 |
| Debian bookworm, trixie и forky | Уязвимы, исправления пока нет |
| Amazon Linux 2, 2023 и 2027 Preview | Исправление ожидается |
Отдельные сборки модуля, которые выходили на GitHub под названием mod_h2, уязвимы с 2.0.8 по 2.0.42. Репозиторий заархивирован ещё в июне, исправленного выпуска там нет. В мае Apache закрыл другую ошибку HTTP/2, CVE-2026-23918, в версии 2.4.67, так что обновлённые тогда серверы перед новой дырой всё равно открыты. В прошлом месяце NGINX закрыл похожие уязвимости, которые тоже давали выполнить код без входа.
Как проверить свой сервер
- Команда
apachectl -vпокажет версию, аapachectl -M | grep http2- загружен ли mod_http2. - Найдите в конфигурации директиву Protocols, и в общих настройках, и в каждом виртуальном хосте. Если там есть h2 или h2c, сервер работает по HTTP/2.
- Поставьте обновление из своего дистрибутива, как только оно выйдет, или перейдите на 2.4.71, если собираете Apache сами.
- Если обновиться пока нельзя, Wiz советует оставить только
Protocols http/1.1. Сайты станут работать чуть медленнее, зато уязвимый код не запустится.
• Apache HTTP Server 2.4 vulnerabilities - Apache Software Foundation
• CVE-2026-119618 - Red Hat Customer Portal
• CVE-2026-119618 - Debian Security Tracker
• CVE-2026-119618 - Amazon Linux Security Center
• Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely - The Hacker News
