Crítico2026-11-13
CVE-2026-119618 — corrupção de heap e execução remota de código no mod_http2 do Apache HTTP Server (afetadas da 2.4.55 à 2.4.70, corrigido na 2.4.71): explicação e correção
Uma falha no mod_http2 do Apache HTTP Server em que recursos compartilhados são usados de forma concorrente sem a sincronização adequada (CWE-362), o que pode levar à execução remota de código (RCE). A Apache a classifica como crítica, seu nível mais alto, e não informa pontuação CVSS. As versões da 2.4.55 à 2.4.70 são afetadas e a 2.4.71 (11 de novembro de 2026) a corrige, junto com outros dois problemas. Não há relato de exploração real, mas a Red Hat diz que uma pesquisa publicada mostrou um ataque crível contra servidores com configuração padrão e HTTP/2 habilitado, e o boletim não lista nenhuma medida alternativa. A visão deste site: atualize o quanto antes para a 2.4.71 qualquer Apache com HTTP/2 habilitado e, até que sua distribuição publique uma correção, verifique se você precisa do HTTP/2.