Una richiesta di rete può bastare per eseguire codice su alcuni server Apache: CVE-2026-119618 interessa mod_http2 e non richiede autenticazione, purché HTTP/2 sia abilitato. Apache ha pubblicato la versione 2.4.71 l'11 novembre per correggerla. Red Hat assegna alla vulnerabilità un punteggio di 9,8 su 10 in CVSS e la classifica come critica.
Il problema non riguarda tutte le installazioni di Apache HTTP Server. Secondo Red Hat, sono esposti i server che utilizzano HTTP/2 tramite mod_http2; quelli configurati esclusivamente per HTTP/1.1 non sono vulnerabili. La versione corretta risolve anche altre due vulnerabilità, meno gravi, in mod_md e mod_vhost_alias.
Una condizione di competizione in assign_headers()
L'origine è in assign_headers(), una funzione di mod_http2. La vulnerabilità è dovuta a una condizione di competizione: durante l'elaborazione simultanea delle richieste, un thread può modificare la memoria appartenente a un altro. RedesZone descrive il risultato come corruzione dell'heap; Red Hat spiega che un worker può scrivere nella memoria di un thread di connessione tramite un allocatore condiviso senza blocco.
Il problema, registrato come CVE-2026-119618, può consentire a un aggressore remoto di eseguire comandi arbitrari e assumere il controllo del processo del server. Red Hat elenca inoltre tra gli impatti il possibile accesso o la modifica di informazioni sensibili e l'interruzione del servizio. La valutazione CVSS v3.1 indica un vettore di attacco di rete, bassa complessità, nessun privilegio richiesto né interazione dell'utente e impatti elevati su riservatezza, integrità e disponibilità.
La vulnerabilità interessa le versioni di Apache HTTP Server dalla 2.4.55 alla 2.4.70. L'aggiornamento 2.4.71, annunciato dalla Apache Software Foundation e dal progetto Apache HTTP Server, corregge il problema per chi utilizza le versioni distribuite direttamente dal progetto.
HTTP/2 deve essere attivato perché il server sia esposto
La direttiva che determina l'esposizione è Protocols. In essa, h2 abilita HTTP/2 su TLS e h2c lo abilita su TCP non crittografato. Il valore può essere impostato per l'intero server o per uno specifico host virtuale; perciò, controllare solo la configurazione globale non basta a verificare tutti i siti ospitati.
La documentazione del modulo e gli avvisi di sicurezza indicano che le installazioni configurate per servire esclusivamente HTTP/1.1 non sono interessate. Se invece nella direttiva di un host virtuale compare h2 o h2c, occorre tenere conto anche di tale impostazione. Il controllo deve riguardare sia la configurazione generale sia quella di ciascun host virtuale.
L'ambito comprende anche le build autonome del modulo pubblicate su GitHub come mod_h2: le versioni interessate vanno dalla 2.0.8 alla 2.0.42. Il repository è stato archiviato il 9 giugno ed è passato alla modalità di sola lettura; non è disponibile una versione corretta per quel ramo. La misura di mitigazione tramite configurazione indicata per Apache si applica anche a queste build.
Red Hat e Wiz non concordano sulla disponibilità di exploit
La disponibilità di un exploit affidabile è il punto su cui divergono le valutazioni pubblicate. Red Hat afferma che esiste un exploit affidabile, dimostrato da una ricerca pubblica contro un server con mod_http2 abilitato nella configurazione predefinita. Il suo avviso non identifica tale ricerca. Wiz, invece, ha sostenuto lo stesso giorno che non era disponibile alcun exploit e che non erano stati segnalati casi di sfruttamento attivo.
“una ricerca pubblica ha dimostrato l'esistenza di un exploit affidabile”
— Red Hat
Il problema è stato individuato il 26 ottobre da OSS Scanner di Anthropic, un servizio di analisi del codice open source che utilizza i modelli di IA dell'azienda, secondo The Hacker News. Anthony Weems e Simon Scannell, di Google Cloud Vulnerability Research, lo hanno segnalato indipendentemente il 3 novembre, secondo RedesZone; nella scheda CVE Red Hat ringrazia anche loro per la segnalazione.
Le fonti non offrono una conclusione condivisa sulla disponibilità dell'exploit. Red Hat descrive una ricerca pubblica che ne dimostra l'affidabilità; Wiz nega che ne esista uno disponibile e che siano noti casi di sfruttamento su sistemi reali. Il punteggio di 9,8 corrisponde alla valutazione di Red Hat: la scheda CVE segnala che i punteggi per i componenti open source possono variare tra i fornitori a causa di differenze di versione o build.
Patch e pacchetti delle distribuzioni
Red Hat ha pubblicato correzioni per Red Hat Enterprise Linux 9 e 10, ma classifica la vulnerabilità come Important in questi prodotti, anziché Critical. La motivazione fornita è che i pacchetti mod_http2 assegnano memoria separata a ciascun flusso HTTP/2, rendendo più difficile lo sfruttamento. Secondo l'azienda, RHEL 8 e le versioni precedenti non contengono il codice vulnerabile.
In RHEL 9, il pacchetto corretto è mod_http2-2.0.26-7.el9_9.1; per RHEL 10 è mod_http2-2.0.29-5.el10_3.1. The Hacker News riporta inoltre correzioni per RHEL 9.4 Update Services for SAP Solutions e per le versioni 9.6, 9.8, 10.0 e 10.2 Extended Update Support, tramite gli avvisi RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 e RHSA-2026:98979.
La situazione varia a seconda della distribuzione. Debian unstable (sid) risulta corretto con apache2 2.4.71-1, mentre Debian bookworm, trixie e forky risultano vulnerabili, senza che sia indicato un pacchetto corretto. Per Amazon Linux 2 (Core), Amazon Linux 2023 e Amazon Linux 2027 Preview, la correzione è in sospeso. Al momento della consultazione, il tracker di Ubuntu non disponeva di una pagina per questo CVE.
The Hacker News segnala inoltre Red Hat JBoss Core Services e Red Hat Hardened Images come interessati, senza indicare una correzione. I numeri di pacchetto delle distribuzioni non corrispondono necessariamente alle versioni del progetto Apache: ogni fornitore pubblica le proprie build e i propri pacchetti.
La versione 2.4.71 corregge altri due problemi
L'aggiornamento non si limita all'esecuzione remota di codice. CVE-2026-106023 corregge un puntatore nullo in mod_md che può causare l'arresto di un processo figlio durante la gestione di una richiesta. Interessa Apache 2.4.30–2.4.70 e RedesZone lo classifica come importante; nel riepilogo di The Hacker News è descritto come un problema di gravità importante.
CVE-2026-109163 corregge una sovrascrittura di un byte nello stack di mod_vhost_alias, classificata come di bassa gravità. Il problema interessa le versioni 2.4.69 e 2.4.70. La pubblicazione giapponese di窓の杜 elenca questi tre CVE tra le vulnerabilità risolte dalla versione 2.4.71 e aggiunge che l'aggiornamento include correzioni in mod_deflate, mod_dav e mod_remoteip, oltre a miglioramenti funzionali in mod_md.
La versione 2.4.71 è stata pubblicata l'11 novembre 2026. Il progetto Apache HTTP Server la presenta come la versione più recente disponibile del ramo stabile 2.4.x. La Apache Software Foundation descrive Apache HTTP Server come un server web open source per sistemi operativi moderni.
Cosa fare se non è possibile aggiornare subito
L'avviso di Apache non propone soluzioni alternative. Per chi utilizza le versioni del progetto, la correzione definitiva consiste nell'aggiornare alla versione 2.4.71; le distribuzioni che gestiscono pacchetti propri dispongono delle rispettive versioni e dei relativi avvisi. Per le build autonome di mod_h2 non è disponibile una versione corretta.
Come misura temporanea per chi non può aggiornare, Wiz consiglia di rimuovere h2 e h2c dalla direttiva Protocols e lasciare soltanto Protocols http/1.1. La modifica deve interessare la configurazione globale e tutti gli host virtuali. RedesZone avverte che la disattivazione di HTTP/2 può influire sulle prestazioni e su alcuni client e consiglia di provarla prima in un ambiente di test e di controllare i log per individuare arresti o riavvii insoliti dei processi worker.
L'aggiornamento arriva dopo altri cicli di correzioni: la versione 2.4.69 ha risolto 20 CVE a ottobre e la 2.4.68 ne ha risolti altri 13 a giugno, secondo RedesZone. A maggio, la versione 2.4.67 aveva corretto un altro problema di HTTP/2, CVE-2026-23918. Aver installato quella versione — o qualsiasi versione successiva fino alla 2.4.70 — non protegge da CVE-2026-119618: tutte rientrano ancora nell'intervallo interessato.
Fonti: RedesZone, The Hacker News, Apache HTTP Server Project, Red Hat, The Hacker News, 窓の杜
