Uma explicação de uma vulnerabilidade no mod_http2 do Apache HTTP Server que pode levar à execução remota de código (RCE). Cobre o que acontece, quem é afetado e como responder, do ponto de vista do defensor e sem passos de ataque.
- CVE
- CVE-2026-119618 (Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers)
- Gravidade
- Classificação da Apache: crítica (seu nível mais alto). Sem pontuação CVSS no boletim da Apache nem no registro da CVE.org (a Red Hat atribui sua própria pontuação de 9.8)
- Tipo
- Uso concorrente de um recurso compartilhado sem a sincronização adequada (CWE-362); corrupção de heap que leva a RCE
- Afetado
- Apache HTTP Server da 2.4.55 à 2.4.70. mod_h2 no GitHub: da 2.0.8 à 2.0.42
- Correção
- Apache HTTP Server 2.4.71 (lançada em 11 de novembro de 2026)
- Corrigidos junto
- CVE-2026-106023 (mod_md, importante), CVE-2026-109163 (mod_vhost_alias, baixa)
- Exploração
- Sem relato de exploração real (a Red Hat diz que uma pesquisa publicada demonstrou um ataque). Não consta da edição de 10 de novembro do CISA KEV
- Medida alternativa
- Nenhuma listada no boletim da Apache
A string de versão sozinha não basta
Debian, Red Hat e outros às vezes incorporam uma correção sem mudar o número da versão. apache2 -v ou httpd -v podem parecer antigos em um sistema corrigido. Inversamente, não confie na string de versão para se sentir seguro: confira o changelog do pacote ou o boletim da distribuição.
Que tipo de vulnerabilidade é
O boletim da Apache diz que em assign_headers() do mod_http2 recursos compartilhados são usados de forma concorrente sem a sincronização adequada, o que leva à corrupção de heap e pode levar à execução remota de código. Está classificada como CWE-362.
- O boletim da Apache não dá condições detalhadas de exploração, e este site não as especula.
- Foi encontrada por meio de dois relatos separados. O desenvolvedor de uma ferramenta de análise de código baseada em IA a comunicou à equipe de segurança da Apache em 26 de outubro de 2026, e a equipe de pesquisa de segurança de um provedor de nuvem em 3 de novembro.
- A Apache integrou a correção ao ramo 2.4 em 11 de novembro e lançou a 2.4.71 no mesmo dia.
- O mod_h2 independente distribuído no GitHub também é afetado (da 2.0.8 à 2.0.42). Se você o instalou separadamente do mod_http2 incluído com o Apache, verifique isso também.
Alcance afetado
| Item | Detalhe |
|---|---|
| Produto | Apache HTTP Server (mod_http2) |
| Versões afetadas | Da 2.4.55 à 2.4.70 |
| Versão corrigida | 2.4.71 |
| mod_h2 independente (GitHub) | Afetadas da 2.0.8 à 2.0.42 |
| Gravidade | Apache: crítica (sem CVSS). A Red Hat atribui sua própria pontuação de 9.8 |
| Medidas alternativas / mitigações | Nenhuma listada no boletim da Apache |
- A 2.4.54 e as anteriores estão fora do intervalo do boletim. Versões mais antigas acumulam outras vulnerabilidades, então considere atualizar de qualquer forma.
- O boletim não diz que apenas configurações com HTTP/2 habilitado são afetadas. A informação da próxima seção é da Red Hat.
Os outros dois problemas corrigidos na mesma 2.4.71
| CVE | Descrição | Classificação da Apache | Versões afetadas |
|---|---|---|---|
| CVE-2026-106023 | mod_md: uma desreferência de ponteiro NULL derruba um processo filho | importante | da 2.4.30 à 2.4.70 |
| CVE-2026-109163 | mod_vhost_alias: uma sobrescrita de 1 byte no buffer da pilha (um problema remanescente após a correção do CVE-2026-63292) | baixa | 2.4.69 e 2.4.70 |
Atualizar para a 2.4.71 corrige os três.
Situação nas distribuições (em 13 de novembro de 2026)
| Fornecedor | Situação |
|---|---|
| Debian | O rastreador de segurança lista bookworm (12) como corrigido na 2.4.71-1 |
| Ubuntu | Todas as versões estão em «Needs evaluation»; sem versão corrigida. Prioridade: High |
| Red Hat | RHEL 9 e 10 são afetados, classificação Important. RHEL 8 e anteriores não são afetados. Para o procedimento, veja o boletim de segurança da Red Hat RHSB-2026-017 |
- A Red Hat explica que RHEL 9 e 10 são classificados como Important e não como Critical porque cada fluxo HTTP/2 tem seu próprio alocador de memória (alocar cada fluxo de um alocador separado dificulta a exploração, segundo a Red Hat).
- Esta tabela é uma verificação datada e mudará. Confirme o mais recente na página de cada fornecedor para o seu ambiente.
Como verificar se você é afetado
Verifique a versão do Apache
Execute apache2 -v (família Debian) ou httpd -v (família RHEL). Da 2.4.55 à 2.4.70 podem ser afetadas. Um pacote de distribuição pode trazer a correção com o mesmo número de versão, então compare o changelog do pacote com as informações de segurança do fornecedor.
Verifique se o HTTP/2 está habilitado
Procure Protocols h2 ou h2c na configuração, e se o módulo http2 está carregado (saída de apachectl -M). Segundo a Red Hat, servidores com HTTP/2 habilitado são afetados e servidores apenas com HTTP/1.1 não são vulneráveis. Isso é o que diz a Red Hat; o boletim da Apache não faz essa distinção.
Encontre todos os lugares onde o Apache roda
Além dos servidores web, procure o Apache embutido em produtos (consoles de administração, appliances). Para saber como manter uma lista, veja a lista de verificação do inventário de ativos.
O que fazer hoje
Atualize para a 2.4.71 ou para o pacote corrigido da sua distribuição (prioridade máxima)
Para um Apache compilado por você, passe para a 2.4.71. Para instalações com pacotes, confira a página do fornecedor para ver se há um pacote corrigido e atualize. Depois de atualizar, reinicie ou recarregue o Apache, e execute antes apachectl configtest para detectar problemas de configuração.
Onde ainda não há correção, decida se você precisa do HTTP/2
O boletim da Apache não tem medida alternativa. Como acréscimo próprio deste site, onde há poucos motivos para usar HTTP/2, uma opção é remover h2 e h2c da configuração Protocols e usar apenas HTTP/1.1. Não é uma medida citada no boletim e pode afetar o desempenho e os clientes, então teste antes de decidir. Você pode reverter quando puder atualizar.
Mapeie o que está na frente do Apache
Se um balanceador de carga ou uma CDN termina o HTTP/2 e fala HTTP/1.1 com o backend, o Apache do backend pode nem estar falando HTTP/2. Verifique qual salto fala HTTP/2 na sua configuração.
Procure qualquer coisa incomum
Não há relato de exploração real, mas confira se nada estranho aconteceu antes da atualização. Procure processos filhos do Apache caindo repetidamente e arquivos ou processos desconhecidos. Veja como verificar se um site ou servidor foi hackeado.
Status da exploração
- O boletim da Apache não menciona exploração real.
- Não consta da edição de 10 de novembro do catálogo KEV da CISA.
- O registro da CVE.org não traz pontuação CVSS. A única gravidade é a classificação da Apache (crítica).
- Os relatos chegaram em 26 de outubro e 3 de novembro, e foi publicada em 11 de novembro. Não foi possível confirmar com informações públicas se foi explorada antes da publicação.
- A Red Hat diz que uma pesquisa publicada demonstrou um ataque crível contra servidores com HTTP/2 habilitado na configuração padrão (não é um relato de exploração real).
- Não foi possível confirmar informações públicas sobre a escala de ataques reais nem sobre quaisquer atores.
Fontes
- Apache HTTP Server Project — Apache HTTP Server 2.4 vulnerabilities (as três correções da 2.4.71, versões afetadas, datas de relatos e de correção)
- CVE.org — CVE-2026-119618 (publicado em 11 de novembro de 2026; CWE-362, gravidade crítica, sem CVSS)
- Debian — Debian Security Tracker CVE-2026-119618 (versões corrigidas para bookworm e trixie)
- Ubuntu — CVE-2026-119618 (precisa de avaliação, prioridade High)
- Red Hat — CVE-2026-119618 (RHEL 9 e 10 afetados, Important)
- CISA KEV — Known Exploited Vulnerabilities Catalog (não consta da edição de 10 de novembro do catálogo)
Desativar o HTTP/2 é listado aqui por este site como medida geral; não é uma medida alternativa indicada no boletim da Apache. Última verificação: 13 de novembro de 2026.
Leia a seguir
- Prática: O guia de correção de vulnerabilidades / Lista de verificação do inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Verificar uma intrusão: Como verificar se um site ou servidor foi hackeado
- Termos: O que é RCE / O que é CVSS?