Критическая RCE-уязвимость в Apache HTTP Server затрагивает 64% облачных сред
Critical RCE Vulnerability in Apache HTTP Server
В модуле mod_http2 Apache HTTP Server обнаружена критическая уязвимость CVE-2026-119618 — состояние гонки в функции assign_headers() приводит к повреждению памяти и позволяет неаутентифицированному атакующему выполнить произвольный код. По данным Wiz, 64% облачных сред содержат уязвимые ресурсы, а 51% — публично доступные экземпляры. Пропатченные версии: Apache HTTP Server 2.4.71 и mod_h2 новее 2.0.42. Рекомендуется срочное обновление или временное отключение HTTP/2.
По данным Wiz, 64% облачных сред имеют ресурсы, уязвимые к CVE-2026-119618. Рекомендуется немедленное применение патчей.
- acidburnNSA
Похоже, это первая проблема, получившая рейтинг 'critical' с 2021 года. https://httpd.apache.org/security/vulnerabilities_24.html
- jamesy0ung
Патч выглядит так: https://github.com/apache/httpd/commit/5ed39287660daacd1233c...
- rurcliped
Для тех, кто временно отключает Apache httpd, есть один шаг, который иногда упускают: cron-задача или systemd-таймер для certbot. Это может перезапустить httpd и оставить его работающим. Иными словами, в некоторых распространённых сценариях использования Let's Encrypt стандартных инструкций вроде "systemctl disable --now apache2" недостаточно, чтобы httpd оставался выключенным.
- throooooo
У меня большой опыт администрирования Linux, но я не трогал Apache больше десяти лет. Я думал, что на данный момент в основном используют nginx или другие решения.
- ankit9673
Каждая новая уязвимость заставляет меня задуматься: почему мы не так уж хорошо пишем безопасный код?
- thehamkercat
> Что такое CVE-2026-111497?
> CVE-2026-119618 — это критическая уязвимость высокой степени опасности, связанная с....
две CVE? (111497 != 11968)
- account42
> в модуле HTTP/2 Apache HTTP Server (mod_http2)
Мне кажется, задним умом понимаешь, что HTTP/2 был ошибкой. Теоретические преимущества просто не оправдывают добавленной сложности. Определённо не стоило продвигать его так быстро, как это было сделано.
- neurostimulant
Скорее всего, большинство установок Apache/PHP работают на mpm_prefork и не подвержены этой уязвимости.