Критическая2026-11-13
CVE-2026-119618 — повреждение кучи и удалённое выполнение кода в mod_http2 Apache HTTP Server (затронуты 2.4.55–2.4.70, исправлено в 2.4.71): разбор и исправление
Ошибка в mod_http2 Apache HTTP Server: общие ресурсы используются одновременно без должной синхронизации (CWE-362), что может привести к удалённому выполнению кода (RCE). Apache оценивает её как critical, высший уровень, и не указывает балл CVSS. Затронуты версии 2.4.55–2.4.70, а 2.4.71 (11 ноября 2026 года) исправляет её вместе с двумя другими проблемами. Об эксплуатации в реальных атаках не сообщается, но Red Hat сообщает, что опубликованное исследование показало реалистичную атаку на серверы с настройками по умолчанию и включённым HTTP/2, а в бюллетене нет обходного решения. Оценка этого сайта: Apache с включённым HTTP/2 стоит оперативно обновить до 2.4.71, а пока ваш дистрибутив не выпустил исправление, проверьте, нужен ли вам HTTP/2 вообще.