Apache HTTP Server 2.4.71 opravuje kritickou chybu v modulu mod_http2

Projekt Apache HTTP Server vydal 11. listopadu 2026 verzi 2.4.71. Opravuje tři zranitelnosti a jednu z nich ohodnotil bezpečnostní tým projektu jako kritickou. Je to CVE-2026-119618 v modulu mod_http2, tedy v té části serveru, která obsluhuje druhou verzi protokolu HTTP.

Chyba je souběh, anglicky race condition: dvě vlákna serveru sahají na tutéž paměť bez toho, aby se o pořadí domluvila. Apache ji vede pod označením CWE-362 a popisuje ji ve funkci assign_headers(). Červená nit je podle rozboru Red Hatu v tom, že pracovní vlákno jednoho požadavku zapisuje do paměti, která patří vláknu spojení. Výsledkem je poškozená halda a z ní se dá vyjít až ke spuštění cizího kódu pod oprávněním procesu webového serveru. Útočník k tomu nepotřebuje žádné přihlášení, musí se ale dostat na službu, která druhou verzi protokolu nabízí.

Koho se to týká

Zasažené jsou verze Apache HTTP Serveru od 2.4.55 do 2.4.70 včetně a samostatný modul mod_h2 z GitHubu od 2.0.8 do 2.0.42. Rozhoduje ale nastavení: chyba se projeví jen tam, kde server druhou verzi opravdu nabízí, tedy kde je direktivou Protocols zapnuté h2 nebo h2c. Server, který umí jen starou verzi 1.1, zranitelný není. Říká to Red Hat i bezpečnostní firma Wiz a plyne to i z toho, kde chyba sedí.

Kolik serverů to je, se přesně spočítat nedá. Apache podle přehledu W3Techs z 12. listopadu 2026 obsluhuje 20,9 % webů, u kterých se dá webový server rozpoznat, a druhou verzi protokolu používá 35,2 % všech webů. Wiz k tomu přidává vlastní měření ze svých zákaznických prostředí: zranitelný zdroj má podle něj 64 % cloudových prostředí a 51 % z nich má takový server vystavený do internetu. To jsou čísla jednoho dodavatele z jeho vlastního vzorku, ne nezávislý průzkum.

Tři opravy v jednom vydání

Zranitelnost	Modul	Závažnost podle Apache	Zasažené verze
CVE-2026-119618	mod_http2	kritická	2.4.55 až 2.4.70
CVE-2026-106023	mod_md	důležitá	2.4.30 až 2.4.70
CVE-2026-109163	mod_vhost_alias	nízká	2.4.69 a 2.4.70

Druhá chyba shodí podřízený proces serveru při zpracování požadavku, třetí přepíše jeden bajt na zásobníku a navazuje na starší CVE-2026-63292 z říjnového vydání. Ani jedna z těch tří ale není v souboru změn CHANGES, který se k vydání 2.4.71 distribuuje. Oddíl o 2.4.71 v něm vyjmenovává patnáct běžných oprav a řádek SECURITY: v něm není žádný, kdežto u staršího vydání 2.4.69 jich je dvacet. Kdo tedy čte jen seznam změn, o bezpečnostních opravách se z něj nedozví nic.

Hodnocení se u téže chyby rozchází

Apache k záznamu žádnou známku CVSS nepřipojil, jen slovní „critical“. Red Hat vypočítal 9,8 z deseti (vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) a chybu vede pod jiným označením třídy, CWE-20. Americká databáze NVD měla 13. listopadu záznam pořád ve stavu „Awaiting Analysis“, tedy bez vlastního hodnocení. V katalogu zneužívaných zranitelností CISA toho dne chyba nebyla.

Red Hat navíc rozlišuje mezi obecným hodnocením chyby a hodnocením pro vlastní produkty. U chyby samotné uvádí „kritická“, pro RHEL 9 a RHEL 10 ji ale snižuje na „důležitá“: jeho balíčky mod_http2 prý přidělují paměť každému proudu zvlášť, což zneužití výrazně ztěžuje. RHEL 8 a starší zasažené nejsou vůbec, protože verze mod_http2 před 2.0.8 ten kód ještě neměly.

Co zdroje říkají o zneužití

Red Hat ve svém stanovisku píše, že „veřejný výzkum předvedl spolehlivé zneužití proti serveru ve výchozím nastavení se zapnutým modulem mod_http2“ (přeloženo). Rozbor firmy Wiz vydaný týž den píše něco jiného: hotové zneužití podle něj k dispozici není a o útocích v praxi nejsou žádná hlášení. Obojí může platit zároveň, protože předvedení ve výzkumu, veřejně dostupný nástroj a útok na cizí server jsou tři různé věci. Ani jedna strana ale neuvádí, o který konkrétní výzkum jde.

Co s tím

Opravou je přechod na 2.4.71. Debian už ji má ve větvi sid jako 2.4.71-1 a pro Debian 12 Bookworm ji vydal jako bezpečnostní aktualizaci 2.4.71-1~deb12u1; připravovaná větev Forky zůstávala podle evidence Debianu u zranitelné 2.4.69-1. Red Hat vydal 11. listopadu balíčky mod_http2 pro RHEL 9 a RHEL 10 včetně rozšířené podpory starších vydání.

Kdo aktualizovat hned nemůže, může druhou verzi protokolu dočasně vypnout. V konfiguraci se najde direktiva, která ji zapíná, a obě její hodnoty se z ní odeberou:

Protocols h2 h2c

Samostatný modul mod_h2 je na tom hůř. Wiz radí přejít u něj na verzi novější než 2.0.42, jenže žádná taková zatím nevyšla: poslední vydání v repozitáři je v2.0.42 z 29. května 2026 a od 20. října tam nepřibyl ani jeden commit. Kdo si modul staví sám z GitHubu, musí si opravu vzít z hlavního stromu httpd, nebo druhou verzi protokolu vypnout.

Našel ji strojový skener i lidé

Chybu nahlásili dva nezávislí nálezci a v poděkování stojí oba. Prvním je „OSS Scanner“ firmy Anthropic, který ji vede pod vlastním číslem ANT-2026-MAPKT6MZ a bezpečnostnímu týmu Apache ji poslal 26. října 2026. Druhým jsou Anthony Weems a Simon Scannell z Google Cloud Vulnerability Research, kteří se ozvali 3. listopadu. Oznámení do konference oss-security odeslal 11. listopadu dopoledne vývojář Eric Covener. Vlastní oprava ve větvi 2.4.x je přitom na jediném řádku zdrojového souboru h2_request.c modulu mod_http2.

Zdroje

• Apache HTTP Server 2.4 vulnerabilities – seznam oprav v 2.4.71 včetně závažnosti, rozsahu verzí a poděkování nálezcům
• Oznámení CVE-2026-119618 v konferenci oss-security (Eric Covener, 11. 11. 2026)
• Záznam CVE-2026-119618 v registru CVE
• Red Hat: CVE-2026-119618 – známka CVSS, popis příčiny a zasažené produkty
• Debian Security Tracker: CVE-2026-119618
• Wiz: Critical RCE Vulnerability in Apache HTTP Server
• W3Techs: Usage statistics of Apache a Podíl druhé verze protokolu HTTP
• Vydání modulu mod_h2 na GitHubu