V modulu mod_http2 webového serveru Apache byla nalezena kritická zranitelnost CVE-2026-119618. Chyba v synchronizaci vláken při zpracování hlaviček protokolu HTTP/2 může způsobit poškození paměti na haldě a za určitých okolností umožňuje vzdálené spuštění kódu. K útoku není podle dostupných informací potřeba přihlášení. Zranitelnost nezávisle objevili výzkumníci z firem Anthropic a Google Cloud.
Problém se týká webového serveru Apache ve verzích 2.4.55 až 2.4.70 a oprava je součástí vydání 2.4.71, které vyšlo 11. listopadu. Zasaženy jsou také samostatné verze modulu mod_h2 od verze 2.0.8 do 2.0.42.
Podle dat společnosti Wiz má zranitelné prostředky 64 procent sledovaných cloudových prostředí a v 51 procentech jsou zranitelné instance veřejně dostupné. Jde o údaje z analýzy Wiz, které nezohledňují konfiguraci jednotlivých systémů. V době zveřejnění analýzy nebyl známý veřejný exploit ani hlášení o zneužití chyby v praxi.
Správci by měli Apache co nejdříve aktualizovat na opravenou verzi. Pokud okamžitá aktualizace není možná, lze dočasně vypnout podporu HTTP/2 a ponechat pouze HTTP/1.1.
ČLÁNKY DO MAILU