Gli amministratori di Apache HTTP Server hanno a disposizione una correzione per una vulnerabilità che potrebbe permettere a un attaccante remoto di eseguire comandi senza effettuare l'accesso, quando HTTP/2 è abilitato. La versione 2.4.71, rilasciata l'11 novembre, corregge CVE-2026-119618. Secondo la valutazione di Red Hat, lo sfruttamento potrebbe dare agli attaccanti il controllo del processo del server, con possibilità di accesso o modifica dei dati e interruzione del servizio.
Le versioni interessate di Apache vanno dalla 2.4.55 alla 2.4.70, come riportato da The Hacker News il 12 novembre. L'esposizione richiede HTTP/2: un server che gestisce solo traffico HTTP/1.1 non è interessato. Le organizzazioni che usano pacchetti delle distribuzioni Linux devono verificare le informazioni di rilascio del proprio fornitore, perché questi pacchetti hanno numeri di versione e correzioni separati.
Red Hat assegna alla vulnerabilità un punteggio di gravità CVSS di 9,8 su 10 e la classifica complessivamente come Critica, con valutazioni più basse per alcuni prodotti. Nella sua valutazione dell'11 novembre, Red Hat afferma che ricerche pubbliche hanno dimostrato uno sfruttamento affidabile di un server con configurazione predefinita e mod_http2 abilitato. The Hacker News ha inoltre riportato una dichiarazione contrastante della società di sicurezza Wiz, diffusa più tardi nella stessa giornata: non era disponibile alcun exploit e non era stato segnalato alcuno sfruttamento in natura.
La configurazione determina l'esposizione
Gli amministratori possono verificare se HTTP/2 è attivo controllando la direttiva Protocols di Apache. Il valore h2 abilita il protocollo su TLS, che cifra la connessione; h2c lo abilita su TCP non cifrato. La direttiva può valere per l'intero server o per i singoli virtual host, cioè le configurazioni usate per servire siti distinti, quindi vanno controllati entrambi i livelli.
HTTP/2 trasporta più richieste contemporaneamente su un'unica connessione. In Apache, mod_http2 suddivide questo lavoro tra thread, ossia percorsi di esecuzione separati all'interno del processo del server. Red Hat descrive un errore nella gestione della memoria in cui un worker che elabora una richiesta scrive nella memoria appartenente al thread che gestisce la connessione.
I thread condividono un allocatore lock-free, un meccanismo che assegna la memoria senza coordinare l'accesso tramite lock. L'interazione difettosa corrompe la memoria interna e può consentire l'esecuzione di comandi a un attaccante con accesso di rete al server, senza credenziali né interazione dell'utente.
Il modo in cui sono confezionati i pacchetti cambia la difficoltà di questo attacco. Red Hat Enterprise Linux (RHEL) 9 e 10 assegnano un allocatore separato a ogni stream HTTP/2, aumentando in modo sostanziale la complessità dello sfruttamento, afferma Red Hat. Per queste versioni la gravità è Importante anziché Critica. Il codice vulnerabile è stato introdotto in mod_http2 2.0.8; le versioni precedenti del modulo e RHEL 8 e versioni precedenti non sono interessate.
Le build standalone di mod_h2 distribuite tramite GitHub sono vulnerabili dalla 2.0.8 alla 2.0.42. Al momento del rapporto del 12 novembre, l'elenco delle release si fermava alla 2.0.42, senza una release standalone corretta. Il repository è stato archiviato il 9 giugno ed è in sola lettura da allora.
The Hacker News fa risalire al 26 ottobre una segnalazione della falla effettuata tramite OSS Scanner di Anthropic. Il servizio gratuito analizza progetti open source usando i modelli di IA di Anthropic. Secondo la stessa fonte, Anthony Weems e Simon Scannell, di Google Cloud Vulnerability Research, avrebbero segnalato il problema «la settimana scorsa»; Red Hat riconosce entrambi i ricercatori.
Scegliere la correzione per la build installata
Per le installazioni che usano le release di Apache, gli amministratori dovrebbero installare la 2.4.71, la versione corretta indicata nell'avviso di sicurezza di Apache, come riportato da The Hacker News. La stessa versione corregge anche un crash in mod_md con gravità Importante e una sovrascrittura di un byte nella memoria dello stack in mod_vhost_alias, classificata come Bassa.
Una correzione precedente per HTTP/2 non è sufficiente: Apache 2.4.67, rilasciata il 4 maggio, ha corretto CVE-2026-23918, ma quella versione e le successive fino alla 2.4.70 restano nell'intervallo di versioni interessate dalla nuova falla.
Red Hat ha pubblicato gli aggiornamenti l'11 novembre. I pacchetti e gli avvisi elencati nel report di The Hacker News sono:
- RHEL 9:
mod_http2-2.0.26-7.el9_9.1, coperto da RHSA-2026:98981. - RHEL 10:
mod_http2-2.0.29-5.el10_3.1, coperto da RHSA-2026:98978. - RHEL 9.4 Update Services for SAP Solutions: una correzione in RHSA-2026:98968.
- RHEL 9.6, 9.8, 10.0 e 10.2 Extended Update Support: correzioni in RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 e RHSA-2026:98979, rispettivamente. Gli amministratori dovrebbero ottenere il pacchetto indicato nell'avviso della propria release.
Il report indica come interessati Red Hat JBoss Core Services e Red Hat Hardened Images, senza correzioni elencate. Red Hat avverte inoltre che i prodotti costruiti su componenti interessati, comprese le offerte basate su container, potrebbero essere esposti senza comparire separatamente nella tabella dei prodotti interessati.
Altrove, la disponibilità delle correzioni restava disomogenea il 12 novembre. The Hacker News, citando il security tracker di Debian, indica come corretta la versione unstable, detta anche sid, con apache2 2.4.71-1. Debian bookworm, trixie e forky risultano vulnerabili, senza correzioni elencate. Il tracker di Amazon mostrava correzioni in attesa per Amazon Linux 2 (Core), Amazon Linux 2023 e Amazon Linux 2027 Preview. Il tracker di Ubuntu non aveva una pagina per questo CVE al momento del controllo della testata.
Sui sistemi Red Hat, il solo confronto con la versione upstream può generare un avviso fuorviante. Il fornitore applica le correzioni in backport nelle versioni di pacchetto esistenti per preservare la compatibilità, quindi uno scanner potrebbe segnalare come vulnerabile un pacchetto già corretto se controlla solo il numero di versione. Red Hat consiglia uno scanner approvato tramite il proprio programma Vulnerability Scanner Certification.
Gli amministratori in attesa di un aggiornamento possono disabilitare HTTP/2. L'avviso di Apache non fornisce alcuna soluzione alternativa, riferisce The Hacker News, ma Wiz consiglia di rimuovere h2 e h2c dalle impostazioni Protocols interessate, lasciando Protocols http/1.1. La stessa modifica di configurazione vale per le installazioni standalone di mod_h2 interessate.
