Uma falha crítica no módulo mod_http2 do Apache HTTP Server pode permitir que um invasor remoto execute código no servidor. Identificada como
CVE-2026-119618
, ela afeta as versões da 2.4.55 à 2.4.70 e foi corrigida na versão 2.4.71, lançada ontem.
Segundo a Red Hat, que inclui o servidor no Red Hat Enterprise Linux, a falha afeta apenas sistemas com HTTP/2 habilitado.
Um invasor que consiga acessar o servidor não precisa de autenticação para explorar a falha e pode assumir o controle total do processo do servidor, afirma a empresa. A falha recebeu nota 9,8 de 10 na escala CVSS.
A avaliação da Red Hat, publicada ontem, também afirma que “pesquisas públicas demonstraram um exploit confiável” contra um servidor com a configuração padrão e o mod_http2 habilitado. A empresa não identifica nem fornece um link para essa pesquisa. Mais tarde, naquele mesmo dia, a empresa de segurança Wiz declarou que não havia exploit disponível e que nenhum ataque havia sido registrado em ambientes reais.
O HTTP/2 só funciona quando é habilitado pela diretiva Protocols, conforme explica a documentação do módulo. A diretiva usa h2 para HTTP/2 sobre TLS e h2c para HTTP/2 sobre TCP sem criptografia. Ela pode ser configurada para todo o servidor ou para um único host virtual. Por isso, os administradores devem verificar tanto a configuração geral quanto a de cada host virtual.
As compilações independentes do módulo, distribuídas no GitHub como mod_h2, são afetadas da versão 2.0.8 à 2.0.42.
Administradores que usam as versões distribuídas pelo próprio projeto Apache HTTP Server devem atualizar para a versão 2.4.71, indicada como corrigida no comunicado de segurança do projeto. Essa versão também corrige uma falha que causa interrupção no mod_md, classificada como importante, e uma sobrescrita de um byte na memória da pilha no mod_vhost_alias, classificada como de baixa gravidade.
As distribuições listadas abaixo oferecem suas próprias compilações do servidor, com números de versão específicos para cada pacote. No Red Hat Enterprise Linux 9, por exemplo, a correção está disponível no pacote mod_http2-2.0.26-7.el9_9.1.
A Red Hat disponibilizou ontem correções para o Red Hat Enterprise Linux 9 e 10. Nessas versões, a empresa classifica a falha como importante, e não crítica. Segundo sua avaliação de gravidade, os pacotes mod_http2 dessas versões usam um alocador de memória separado para cada fluxo HTTP/2, o que torna um ataque muito mais difícil. O Red Hat Enterprise Linux 8 e versões anteriores não contêm o código vulnerável.
| Plataforma | Situação | Pacote corrigido |
|---|---|---|
| Versões do projeto Apache HTTP Server | Corrigida | 2.4.71 |
| Red Hat Enterprise Linux 9 | Corrigida (RHSA-2026:98981) | mod_http2-2.0.26-7.el9_9.1 |
| Red Hat Enterprise Linux 10 | Corrigida (RHSA-2026:98978) | mod_http2-2.0.29-5.el10_3.1 |
| Red Hat Enterprise Linux 9.4 Update Services for SAP Solutions, além das versões 9.6, 9.8, 10.0 e 10.2 Extended Update Support | Corrigida (RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 e RHSA-2026:98979) | Consulte cada comunicado |
| Red Hat Enterprise Linux 6, 7 e 8 | Não afetadas | Não é necessário |
| Red Hat JBoss Core Services e Red Hat Hardened Images | Afetados, sem correção listada | Nenhuma listada |
| Debian instável (sid) | Corrigida | apache2 2.4.71-1 |
| Debian bookworm, trixie e forky | Vulneráveis | Nenhuma listada |
| Amazon Linux 2 (Core), Amazon Linux 2023 e Amazon Linux 2027 Preview | Correção pendente | Nenhuma listada |
| Ubuntu | Sem página de status | Nenhuma listada |
As informações sobre o Debian foram obtidas no rastreador de segurança da distribuição, e as referentes ao Amazon Linux, no rastreador da própria plataforma. Segundo o The Hacker News, quando o veículo consultou o rastreador de CVEs do Ubuntu, hoje, ainda não havia uma página sobre a falha.
O comunicado de segurança do Apache HTTP Server não apresenta uma solução alternativa. Na análise da vulnerabilidade, a Wiz recomenda que os administradores que ainda não possam atualizar removam h2 e h2c da diretiva Protocols e mantenham Protocols http/1.1.
Até o momento, o projeto independente mod_h2 não publicou uma versão corrigida. A lista de versões no GitHub termina na 2.0.42, a última afetada, e o repositório está em modo somente leitura desde que foi arquivado, em 9 de junho. A alteração na diretiva Protocols também se aplica a servidores que usam essas compilações.
A falha foi reportada em 26 de outubro pelo Anthropic OSS Scanner, um serviço gratuito de análise de projetos open source que usa os modelos de IA da empresa. Anthony Weems e Simon Scannell, da equipe Google Cloud Vulnerability Research, também a reportaram na semana passada.
Uma falha anterior no HTTP/2, identificada como
CVE-2026-23918
, foi corrigida na versão 2.4.67, lançada em 4 de maio. Servidores atualizados para essa versão ou para qualquer versão posterior até a 2.4.70 continuam vulneráveis à nova falha.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...