CVE-2026-119618 in Apache: come verificare se il tuo server è esposto

Apache ha corretto con la versione 2.4.71 una vulnerabilità critica di esecuzione di codice da remoto nel modulo mod_http2. Riguarda Apache HTTP Server nelle versioni dalla 2.4.55 alla 2.4.70, ma il rischio descritto richiede che HTTP/2 sia abilitato; sono interessate anche le build indipendenti di mod_h2 dalla 2.0.8 alla 2.0.42. Se amministri un server web, verifica entrambe le cose prima di decidere i passaggi successivi.

Verifica innanzitutto se il tuo server rientra nell'intervallo interessato

La falla, identificata come CVE-2026-119618, si trova in assign_headers() di mod_http2. Una condizione di race può corrompere la memoria del server e consentire a un utente malintenzionato non autenticato di eseguire codice con i privilegi del processo web. Non basta sapere che il server usa Apache: bisogna confermare la versione e verificare se HTTP/2 è attivo.

L'avviso del progetto Apache fissa l'intervallo interessato alle versioni dalla 2.4.55 alla 2.4.70. INCIBE include anche le versioni dalla 2.0.8 alla 2.0.42 del modulo indipendente mod_h2. La versione 2.4.71 corregge questa falla e altri due problemi di sicurezza, uno in mod_md e l'altro in mod_vhost_alias.

La condizione relativa a HTTP/2 è importante: la direttiva Protocols può abilitarlo come h2 su TLS o h2c su TCP non cifrato. Il progetto Apache indica l'intervallo di versioni; INCIBE consiglia di aggiornare alla versione 2.4.71 o successiva e, per mod_h2 distribuito separatamente, di applicare l'aggiornamento del fornitore.

Cosa fare, in ordine

1. Identifica quale server gestisce i tuoi siti. Verifica se Apache HTTP Server fa parte dell'infrastruttura che amministri o se è gestito dal tuo provider di hosting. Se non hai accesso al server o alla sua configurazione, chiedi al team responsabile quale versione è installata, se mod_http2 è abilitato e quando verrà applicata la correzione. Apache è il software che serve pagine e altri contenuti web; non dare per scontato che il tuo sito lo usi senza averlo verificato.

2. Verifica la versione installata. Confronta la versione di Apache HTTP Server con l'intervallo interessato: dalla 2.4.55 alla 2.4.70, inclusa. Se amministri il software come pacchetto di una distribuzione o come servizio gestito, verifica con il fornitore quale versione corretta include; il numero visualizzato potrebbe non descrivere da solo il modo in cui viene distribuita la correzione. Se usi mod_h2 separatamente, controlla anche se la sua versione è compresa tra 2.0.8 e 2.0.42.

3. Verifica se HTTP/2 è abilitato. Esamina la configurazione effettiva di Apache per individuare la direttiva Protocols e i valori h2 o h2c. La configurazione può essere applicata all'intero server o a uno specifico host virtuale, quindi controlla entrambi i livelli e ogni host virtuale attivo. Apache segnala che HTTP/2 è disabilitato per impostazione predefinita nella configurazione descritta, ma non dare per scontato che sia ancora così nella tua installazione.

4. Aggiorna ad Apache 2.4.71 o successivo. È la misura raccomandata da INCIBE per Apache HTTP Server. Se non puoi installare direttamente quella versione perché ricevi Apache tramite un fornitore, chiedi un aggiornamento che includa la correzione di CVE-2026-119618 e verifica che sia stato applicato. Nelle installazioni con mod_h2 indipendente, segui l'aggiornamento pubblicato dal fornitore del modulo.

5. Riduci il rischio mentre aspetti. Se non puoi aggiornare subito e HTTP/2 non è necessario, disabilita temporaneamente mod_http2 e proxy_http2 oppure rimuovi la negoziazione di HTTP/2, in modo da servire i contenuti solo tramite HTTP/1.1. watchTowr ha riassunto così la propria raccomandazione: “Patch now or drop h2 until you can”. Non disabilitare HTTP/2 senza prima verificare quali siti o servizi ne dipendono.

6. Verifica il risultato della modifica. Dopo aver aggiornato o rimosso HTTP/2, ricontrolla la versione e la configurazione effettiva, inclusi gli host virtuali. Se la modifica è stata effettuata da un fornitore, chiedi conferma che la specifica istanza sia stata corretta o che HTTP/2 sia disabilitato. La protezione dipende dall'installazione che gestisce le richieste, non solo dalla disponibilità di un aggiornamento.

Patch now or drop h2 until you can

— Ricercatori di watchTowr

Errori da evitare

Non confondere una versione vulnerabile con un'esposizione confermata. La falla riguarda l'intervallo indicato, ma la condizione descritta richiede che HTTP/2 sia abilitato. Al contrario, il fatto di non aver attivato HTTP/2 consapevolmente non dimostra che sia disabilitato: controlla la direttiva Protocols e la configurazione di ogni host virtuale.

Non affidarti soltanto a una percentuale aggregata. Wiz ha rilevato risorse vulnerabili nel 64% degli ambienti cloud analizzati e circa la metà di queste risorse era accessibile pubblicamente. Questo dato non stabilisce se il tuo server sia esposto: non tiene conto della configurazione di HTTP/2 di ogni installazione.

Non rimandare la correzione perché non sono noti attacchi. Wiz ha dichiarato di non essere a conoscenza di exploit pubblici né di attacchi mirati a questa falla, ma Apache ha indicato che un'indagine pubblica aveva dimostrato un exploit affidabile contro un server con mod_http2 attivo nella configurazione predefinita. La priorità pratica è aggiornare; disabilitare HTTP/2 è una misura temporanea da adottare quando non puoi farlo subito.

Non dimenticare i moduli aggiuntivi. La versione 2.4.71 corregge anche CVE-2026-106023 in mod_md e CVE-2026-109163 in mod_vhost_alias. INCIBE segnala che questi moduli hanno intervalli interessati specifici; mantenere Apache a una versione corretta risolve anche i problemi descritti nell'avviso.

La correzione di Apache HTTP Server è stata pubblicata l'11 novembre 2026. Se la tua installazione è ancora nell'intervallo interessato, la verifica da fare è concreta: confermare se HTTP/2 è attivo e applicare l'aggiornamento corrispondente oppure disabilitarlo temporaneamente.

Fonti: Hardware Upgrade, BleepingComputer, incibe.es, The Apache HTTP Server Project, Red Hat