Apache vydal bezpečnostnú aktualizáciu pre kritickú zraniteľnosť v serveri HTTP Server, ktorá môže vzdialeným útočníkom umožniť spustiť kód bez autentifikácie. Chyba je evidovaná pod označením CVE-2026-119618, týka sa modulu HTTP/2 a bola opravená vo verzii Apache HTTP Server 2.4.71, vydanej 11. novembra 2026.
Apache uvádza ako zraniteľné upstream vydania 2.4.55 až 2.4.70. Zraniteľné sú aj samostatne distribuované verzie modulu mod_h2 z GitHubu, a to 2.0.8 až 2.0.42. Problém spočíva v nebezpečnom súbežnom prístupe k zdieľaným zdrojom vo funkcii assign_headers() tohto modulu, čo môže viesť k poškodeniu pamäte a vzdialenému spusteniu kódu.
Zverejnenie chyby vytvára naliehavú prioritu pre organizácie, ktoré prevádzkujú Apache služby dostupné z internetu so zapnutým HTTP/2. Skutočnú expozíciu však nemožno určiť len podľa verzie Apache: dôležitá je konfigurácia protokolov, opravy od distribútorov a cesta, ktorou prechádza sieťová prevádzka cez proxy servery.
Ako zraniteľnosť funguje
HTTP/2 umožňuje, aby viacero požiadaviek a odpovedí (tzv. streamov) zdieľalo jedno spojenie. Apache túto funkcionalitu poskytuje cez modul mod_http2 a konfigurácia určuje, ktoré služby a virtuálne hostiteľské servery (virtual hosts) protokol ponúkajú. Súbežnosť zlepšuje efektivitu spojení, no vyžaduje aj starostlivú koordináciu pamäte používanej pri spracovaní požiadaviek.
Podľa technického posúdenia spoločnosti Red Hat chyba umožňuje pracovnému vláknu (worker thread) zapisovať do pamäte, ktorú vlastní vlákno spojenia, a to cez zdieľaný alokátor bez zámkov (lock-free allocator). Táto nebezpečná interakcia môže poškodiť internú pamäť servera.
Red Hat udeľuje všeobecné skóre CVSS v3.1 9.8, čo zodpovedá útoku dostupnému cez sieť, ktorý nevyžaduje autentifikáciu ani interakciu používateľa. Úspešné zneužitie môže útočníkovi poskytnúť kontrolu nad procesom webového servera.
Bezprostrednou bezpečnostnou hranicou je teda proces Apache a jeho oprávnenia. Dopad závisí od toho, k čomu má proces prístup: dáta aplikácií, zapisovateľné adresáre webu, prístupové údaje či dostupné backendové služby môžu jeho závažnosť zvýšiť. Vzdialené spustenie kódu (RCE) sa nemá automaticky opisovať ako root prístup — relevantné zostávajú oprávnenia operačného systému a izolačné mechanizmy.
Technické údaje
| Parameter | Hodnota |
|---|---|
| CVE ID | CVE-2026-119618 |
| CVSS v3.1 | 9.8 (hodnotenie Red Hat) |
| Komponent | Modul HTTP/2 (mod_http2 / mod_h2), funkcia assign_headers() |
| Popis | Nebezpečný súbežný prístup k zdieľaným zdrojom cez alokátor bez zámkov; poškodenie pamäte a možné vzdialené spustenie kódu bez autentifikácie |
| Vektor útoku | Sieť, bez autentifikácie, bez interakcie používateľa |
Dotknuté produkty a opravené verzie
| Produkt | Dotknuté verzie | Stav / oprava |
|---|---|---|
| Apache HTTP Server (upstream) | 2.4.55 – 2.4.70 | Opravené vo verzii 2.4.71 (11. 11. 2026) |
| mod_h2 (samostatne distribuovaný na GitHube) | 2.0.8 – 2.0.42 | Vyžaduje aktualizáciu podľa vydania upstream |
| RHEL 9 a RHEL 10 | Balíky s modulom HTTP/2 | Hodnotenie Important (nie Critical); opravy pre viaceré vetvy vydané 11. 11. |
| RHEL 8 a staršie | – | Nie sú dotknuté, zraniteľný kód sa v nich nenachádza |
Ktoré nasadenia sú vystavené riziku
Apache stanovil dotknuté rozsahy pre upstream vydania a samostatný modul. Luxemburské centrum reakcie na incidenty CIRCL zdôrazňuje, že samotná inštalácia alebo načítanie modulu nerobí zraniteľnú cestu dosiahnuteľnou — služba musí prijímať HTTP/2.
Pozornosť si zaslúžia obe varianty: šifrované HTTP/2 (h2) aj nešifrované (h2c). Apache umožňuje nastavovať protokoly na úrovni servera aj jednotlivých virtuálnych hostiteľov, preto kontrola len hlavnej konfigurácie môže prehliadnuť virtual host, ktorý HTTP/2 zapína samostatne.
Rozdiely medzi platformami podľa Red Hat
Zistenia Red Hat k jednotlivým produktom ukazujú, prečo by organizácie nemali považovať každú inštaláciu Apache za rovnako zneužiteľnú.
Balíky RHEL 9 a RHEL 10 hodnotí Red Hat ako Important namiesto Critical, pretože ich HTTP/2 streamy používajú oddelené alokátory, čo podstatne zvyšuje zložitosť zneužitia. Aj tieto nasadenia však vyžadujú príslušné bezpečnostné aktualizácie.
RHEL 8 a staršie nie sú dotknuté, pretože zraniteľný kód neobsahujú. Advisory spoločnosti uvádza opravy pre viaceré vetvy RHEL 9 a 10 vydané 11. novembra; ostatné dotknuté produkty vyžadujú vlastnú kontrolu stavu balíkov.
Pre administrátorov z toho vyplýva praktický záver: nainštalovaný balík treba overiť podľa advisory jeho dodávateľa. Samotný reťazec verzie nemusí preukázať, či distribúcia opravu už nezaradila spätne (backport).
Kontext zneužitia: tvrdenia o verejnom exploite treba čítať opatrne
Dostupné posúdenia sa v otázke verejného exploitu líšia.
Red Hat uvádza, že verejný výskum preukázal spoľahlivé zneužitie voči predvolene nakonfigurovanému serveru so zapnutým mod_http2. Naopak, posúdenie spoločnosti Wiz zo 11. novembra uvádzalo, že exploit nie je dostupný a v čase publikácie nebolo hlásené žiadne zneužívanie v praxi (in the wild).
Tieto tvrdenia neznamenajú aktívnu útočnú kampaň. Preukázaný exploit, verejne stiahnuteľný exploit kód a potvrdené škodlivé zneužitie sú tri samostatné tvrdenia. CIRCL výslovne upozorňuje, že publikovaná demonštrácia sama o sebe nepreukazuje zneužívanie v praxi.
Wiz zároveň uvádza, že 64 % cloudových prostredí vo vlastných dátach obsahuje zraniteľné zdroje. Tento údaj treba pripisovať pozorovanému súboru dát spoločnosti Wiz — nemožno ho interpretovať ako podiel všetkých webov alebo všetkých Apache serverov dostupných z internetu, ktoré môžu útočníci zneužiť.
Reverzné proxy môžu zmeniť obraz expozície
To, že verejný web ponúka HTTP/2, ešte neznamená, že jeho Apache backend HTTP/2 prevádzku spracúva.
CIRCL vysvetľuje, že ak CDN, load balancer alebo reverzný proxy ukončuje HTTP/2 a ďalej posiela iba HTTP/1.1, externá HTTP/2 relácia samotná túto zraniteľnosť Apache nevystavuje. Tímy preto musia overiť, aký protokol sa používa medzi frontendom a Apache, ako aj prípadný priamy prístup k origin serveru.
V praxi to znamená, že kontrola infraštruktúry musí sledovať celú cestu požiadavky. Test verejného endpointu popisuje správanie frontendu, no o alternatívnych listeneroch, interných službách či adresách origin serverov môže povedať veľmi málo.
Mitigácie a odporúčania
Trvalým riešením je aktualizácia na Apache HTTP Server 2.4.71 alebo na výslovne opravený build od dodávateľa. Stránka na stiahnutie Apache uvádza verziu 2.4.71, publikovanú 11. novembra, ako aktuálnu.
Ak sa musí patchovanie odložiť, HTTP/2 možno dočasne vypnúť obmedzením konfigurácie protokolov:
apache
Protocols http/1.1Wiz ako dočasnú mitigáciu odporúča odstrániť odkazy na h2 a h2c. Administrátori by mali skontrolovať prepísania na úrovni virtual hostov, overiť platnosť konfigurácie a potvrdiť, že zmena sa na dotknutých službách skutočne prejavila.
CIRCL odporúča po aktualizácii reštartovať dotknuté procesy a overiť bežiaci build. Zároveň radí skontrolovať neočakávané pády worker procesov, podozrivé podriadené procesy, neoprávnené zmeny súborov a nezvyčajné odchádzajúce spojenia. Ide o investigatívne indície, nie o dôkaz kompromitácie špecifický pre túto zraniteľnosť.
Objav a ďalšie opravy vo verzii 2.4.71
Apache pripisuje objav chyby nástroju Anthropic OSS Scanner a výskumníkom Anthony Weems a Simon Scannell z Google Cloud Vulnerability Research. Publikovaná časová os uvádza hlásenie od Anthropic z 26. októbra, hlásenie od Google z 3. novembra a opravu s vydaním 11. novembra.
Verzia 2.4.71 rieši aj dve ďalšie zraniteľnosti:
| CVE | Závažnosť | Popis | Dotknuté verzie |
|---|---|---|---|
| CVE-2026-106023 | Important | Dereferencia nulového ukazovateľa (null-pointer dereference) v module mod_md, ktorá môže spôsobiť pád podriadeného procesu | 2.4.30 – 2.4.70 |
| CVE-2026-109163 | Low | Prepísanie zásobníka (stack-buffer overwrite) v module mod_vhost_alias | 2.4.69 a 2.4.70 |
Všetky tri zraniteľnosti sa nachádzajú v oficiálnom bezpečnostnom advisory Apache.
Záverečné zhodnotenie
Pre bezpečnostných vedúcich je prvoradé identifikovať dosiahnuteľné HTTP/2 služby, zistiť ich stav opráv podľa dodávateľa a uzavrieť vystavené cesty. Dôkazy o nezvyčajnom správaní servera by mali spustiť vyšetrovanie súbežne s nápravou: nainštalovaná bezpečnostná aktualizácia nepreukazuje, či systém nebol kompromitovaný už predtým.