Разбор уязвимости в mod_http2 Apache HTTP Server, которая может привести к удалённому выполнению кода (RCE). Описано, что происходит, кто затронут и как реагировать, с точки зрения защиты и без шагов атаки.
- CVE
- CVE-2026-119618 (Apache HTTP Server: mod_http2: повреждение кучи и RCE в assign_headers)
- Серьёзность
- Оценка Apache: critical (высший уровень). В бюллетене Apache и в записи CVE.org балла CVSS нет (Red Hat присваивает собственный 9.8)
- Тип
- Одновременное использование общего ресурса без должной синхронизации (CWE-362); повреждение кучи, ведущее к RCE
- Затронуто
- Apache HTTP Server с 2.4.55 по 2.4.70. mod_h2 на GitHub: с 2.0.8 по 2.0.42
- Исправление
- Apache HTTP Server 2.4.71 (выпущена 11 ноября 2026 года)
- Исправлено вместе
- CVE-2026-106023 (mod_md, important), CVE-2026-109163 (mod_vhost_alias, low)
- Эксплуатация
- Об эксплуатации в реальных атаках не сообщается (Red Hat сообщает, что опубликованное исследование показало атаку). В выпуске CISA KEV от 10 ноября нет
- Обходное решение
- В бюллетене Apache не указано
Одной строки версии недостаточно
Debian, Red Hat и другие иногда переносят исправление в старую версию, не меняя номер. В исправленной системе apache2 -v или httpd -v может показывать старую версию. И наоборот, не успокаивайтесь по строке версии: проверьте журнал изменений пакета или бюллетень дистрибутива.
Что это за уязвимость
В бюллетене Apache сказано, что в assign_headers() в mod_http2 общие ресурсы используются одновременно без должной синхронизации, что приводит к повреждению кучи и может привести к удалённому выполнению кода. Классифицирована как CWE-362.
- В бюллетене Apache нет подробных условий эксплуатации, и этот сайт их не додумывает.
- Она обнаружена по двум отдельным сообщениям. Разработчик инструмента анализа кода на основе ИИ сообщил о ней команде безопасности Apache 26 октября 2026 года, а исследовательская команда безопасности облачного провайдера — 3 ноября.
- Apache влил исправление в ветку 2.4 11 ноября и в тот же день выпустил 2.4.71.
- Отдельный mod_h2, распространяемый на GitHub, тоже затронут (с 2.0.8 по 2.0.42). Если вы устанавливали его отдельно от mod_http2, входящего в Apache, проверьте и его.
Затронутый объём
| Позиция | Подробности |
|---|---|
| Продукт | Apache HTTP Server (mod_http2) |
| Затронутые версии | С 2.4.55 по 2.4.70 |
| Исправленная версия | 2.4.71 |
| Отдельный mod_h2 (GitHub) | Затронуты с 2.0.8 по 2.0.42 |
| Серьёзность | Apache: critical (без CVSS). Red Hat присваивает собственный 9.8 |
| Обходные решения / меры смягчения | В бюллетене Apache не указаны |
- Версии 2.4.54 и ранее вне диапазона бюллетеня. В старых версиях накопились другие уязвимости, поэтому всё равно рассмотрите обновление.
- В бюллетене не сказано, что затронуты только конфигурации с включённым HTTP/2. Сведения в следующем разделе принадлежат Red Hat.
Две другие проблемы, исправленные в том же 2.4.71
| CVE | Описание | Оценка Apache | Затронутые версии |
|---|---|---|---|
| CVE-2026-106023 | mod_md: разыменование нулевого указателя приводит к аварии дочернего процесса | important | с 2.4.30 по 2.4.70 |
| CVE-2026-109163 | mod_vhost_alias: перезапись 1 байта буфера в стеке (остаток проблемы после исправления CVE-2026-63292) | low | 2.4.69 и 2.4.70 |
Обновление до 2.4.71 исправляет все три.
Состояние в дистрибутивах (по состоянию на 13 ноября 2026 года)
| Вендор | Статус |
|---|---|
| Debian | Трекер безопасности указывает bookworm (12) как исправленный в 2.4.71-1 |
| Ubuntu | Для каждого выпуска «Needs evaluation»; исправленной версии нет. Приоритет: High |
| Red Hat | RHEL 9 и 10 затронуты, уровень Important. RHEL 8 и ранее не затронуты. Порядок действий см. в бюллетене безопасности Red Hat RHSB-2026-017 |
- Red Hat объясняет, что RHEL 9 и 10 имеют уровень Important, а не Critical, потому что каждый поток HTTP/2 получает собственный распределитель памяти (по словам Red Hat, выделение памяти для каждого потока из отдельного распределителя затрудняет эксплуатацию).
- Эта таблица — проверка на определённую дату, и она будет меняться. Актуальные сведения для вашей среды проверяйте на странице каждого вендора.
Как проверить, затронуты ли вы
Проверьте версию Apache
Выполните apache2 -v (семейство Debian) или httpd -v (семейство RHEL). Затронуты могут быть 2.4.55–2.4.70. Пакет дистрибутива может содержать исправление под тем же номером версии, поэтому сверьте журнал изменений пакета с информацией по безопасности вендора.
Проверьте, включён ли HTTP/2
Найдите в конфигурации Protocols h2 или h2c и проверьте, загружен ли модуль http2 (вывод apachectl -M). По данным Red Hat, серверы с включённым HTTP/2 затронуты, а серверы только с HTTP/1.1 не уязвимы. Это утверждение Red Hat; в бюллетене Apache такого различия нет.
Найдите все места, где работает Apache
Помимо веб-серверов, поищите Apache, встроенный в продукты (консоли администрирования, программно-аппаратные комплексы). Как вести список, см. в чек-листе инвентаризации активов.
Что сделать сегодня
Обновитесь до 2.4.71 или до исправленного пакета дистрибутива (высший приоритет)
Для Apache, собранного вами самостоятельно, перейдите на 2.4.71. Для установки из пакетов проверьте на странице вендора исправленный пакет и обновитесь. После обновления перезапустите или перезагрузите Apache, предварительно выполнив apachectl configtest, чтобы поймать проблемы конфигурации.
Там, где исправления ещё нет, решите, нужен ли вам HTTP/2
В бюллетене Apache обходного решения нет. Как собственное дополнение этого сайта: если причин использовать HTTP/2 мало, один из вариантов — убрать h2 и h2c из настройки Protocols и работать только по HTTP/1.1. Это не мера из бюллетеня, она может повлиять на производительность и клиентов, поэтому проверьте перед решением. Вернуть всё обратно можно, когда получится обновиться.
Выясните, что стоит перед Apache
Если балансировщик нагрузки или CDN завершает HTTP/2 и общается с бэкендом по HTTP/1.1, бэкенд-Apache может вообще не говорить по HTTP/2. Проверьте, какой участок в вашей схеме работает по HTTP/2.
Проверьте, нет ли чего-то необычного
Об эксплуатации в реальных атаках не сообщается, но проверьте, не происходило ли чего-то странного до обновления. Ищите дочерние процессы Apache, которые повторно аварийно завершаются, и незнакомые файлы или процессы. См. как проверить, взломан ли сайт или сервер.
Состояние эксплуатации
- В бюллетене Apache об эксплуатации в реальных атаках не упоминается.
- В выпуске каталога CISA KEV от 10 ноября её нет.
- В записи CVE.org нет балла CVSS. Единственная оценка серьёзности — оценка Apache (critical).
- Сообщения пришли 26 октября и 3 ноября, а опубликована уязвимость 11 ноября. Эксплуатировали ли её до публикации, по публичной информации подтвердить не удалось.
- Red Hat сообщает, что опубликованное исследование показало реалистичную атаку на серверы с включённым HTTP/2 в конфигурации по умолчанию (это не сообщение об эксплуатации в реальных атаках).
- Публичных сведений о масштабе реальных атак или об их участниках подтвердить не удалось.
Источники
- Apache HTTP Server Project — Apache HTTP Server 2.4 vulnerabilities (три исправления в 2.4.71, затронутые версии, даты сообщения и исправления)
- CVE.org — CVE-2026-119618 (опубликовано 11 ноября 2026 года; CWE-362, серьёзность critical, без CVSS)
- Debian — Debian Security Tracker CVE-2026-119618 (исправленные версии для bookworm и trixie)
- Ubuntu — CVE-2026-119618 (требуется оценка, приоритет High)
- Red Hat — CVE-2026-119618 (RHEL 9 и 10 затронуты, Important)
- CISA KEV — Known Exploited Vulnerabilities Catalog (в выпуске каталога от 10 ноября не значится)
Отключение HTTP/2 приведено здесь этим сайтом как общая мера; это не обходное решение, названное в бюллетене Apache. Последняя проверка: 13 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Проверка на вторжение: Как проверить, взломан ли сайт или сервер
- Термины: Что такое RCE / Что такое CVSS?