11 ноября 2026 года компания Apache выпустила HTTP Server 2.4.71, чтобы устранить CVE-2026-119618, критическую уязвимость повреждения кучи в mod_http2, которая, согласно бюллетеню безопасности Apache, может привести к удаленному выполнению кода (RCE). Ошибка находится в функции assign_headers(), затрагивает версии с 2.4.55 по 2.4.70 и может быть вызвана по протоколу HTTP/2 без аутентификации. Red Hat и Amazon оценили эту уязвимость в 9.8 балла по шкале CVSS v3.1, хотя CISA оценивает ее в 8.1.
Две команды обнаружили эту ошибку независимо друг от друга с разницей в восемь дней. Сканер OSS Scanner от Anthropic — это опциональный сканер на базе моделей для проектов с открытым исходнымходом. Он сообщил об ошибке 26 октября 2026 года. Энтони Вимс (Anthony Weems) и Саймон Сканнелл (Simon Scannell) из отдела исследований уязвимостей Google Cloud сообщили о ней восемь дней спустя, 3 ноября, согласно записи CVE.
На следующий день после того, как Apache обнародовала информацию об уязвимости oss-security, на GitHub был опубликован публичный концепт-принцип работы (PoC), демонстрирующий повреждение кучи, хотя на момент публикации этого блога PoC для RCE выпущен не был. Кроме того, не было зафиксировано ни одного подтвержденного случая эксплуатации в «диких» условиях (in-the-wild), а сам CVE не входит в каталог KEV агентства CISA.
Ошибка кроется в собственной реализации HTTP/2 от Apache, а не в каком-либо приложении, размещенном на сервере. Уязвимы только те серверы, на которых включен протокол HTTP/2. Организациям, попавшим в зону риска, рекомендуется обновиться до версии 2.4.71 или отключить HTTP/2, если исправление затягивается.
Команда исследователей угроз Sysdig (TRT) проанализировала общедоступные исследования и смоделировала успешную атаку, чтобы помочь защитникам разобраться в четырех ключевых деталях: кто подвержен риску, что было продемонстрировано, а что лишь заявлено, какие средства контроля во время выполнения (runtime) могут это обнаружить и какие меры минимизации следует предпринять до применения патча. Они также провели тестирование и выяснили, что существующие средства обнаружения угроз в реальном времени от Sysdig зафиксировали каждый шаг после эксплуатации.
Хронология
Дата
Событие
26 октября 2026 г., 12:00 UTC
OSS Scanner от Anthropic сообщает об уязвимости как ANT-2026-MAPKT6MZ
30 октября 2026 г.
Зарезервирован идентификатор CVE
3 ноября 2026 г., 15:50 UTC
Отдел исследований уязвимостей Google Cloud сообщает об уязвимости
9 ноября 2026 г., 02:54 UTC
Исправление зафиксировано в ветке 2.4.x как 824beab
11 ноября 2026 г., 12:19 UTC
Публичное раскрытие информации на
11 ноября 2026 г., 12:52 UTC
Red Hat публикует свою оценку и исправления для RHEL 9 и 10
11 ноября 2026 г., 14:54 UTC
Опубликована запись CVE
12 ноября 2026 г., 09:54 UTC
Debian DSA-6620-1 выпускает исправления для trixie
12 ноября 2026 г.
На GitHub размещен публичный PoC, демонстрирующий повреждение кучи
Затронутые версии Apache HTTP Server
Ошибка содержится в mod_http2, модуле HTTP/2 для Apache HTTP Server. Тот же модуль выпускается отдельно как mod_h2 on GitHub и также затронут уязвимостью.
Хотя бюллетень безопасности Apache оценивает уязвимость как критическую, запись CVE, которую Apache ведет в качестве Национального центра нумерации CVE (CNA), фактически не содержит связанной оценки по шкале CVSS. Тем не менее, и Red Hat, и оценивают уязвимость как критическую и ставят ей 9.8 балла по шкале CVSS v3.1, а оценивает ее как уязвимость высокой степени тяжести с балом 8.1 по шкале CVSS v3.1.
Red Hat оценивает собственные сборки RHEL 9 и 10 как важные (Important), а не критические. Эти сборки выделяют каждый поток HTTP/2 из «отдельного аллокатора, что существенно увеличивает сложность эксплуатации уязвимости».
Серьезность и приоритетность этой уязвимости в среде организации зависят в первую очередь от того, включен ли HTTP/2.
Версия
Статус
Исправленная версия / Что делать
версии httpd 2.4.55 – 2.4.70
Уязвимы
Обновитесь до версии 2.4.71.
версии httpd до 2.4.55
Не указаны Apache как уязвимые
Никаких действий для данного CVE не требуется.
Автономный mod_h2 2.0.8 – 2.0.42
Уязвим. Репозиторий находится в архиве с 9 июня 2026 года.
Исправленный выпуск отсутствует; 2.0.42 — последняя версия. Перейдите на встроенный модуль в httpd 2.4.71 или отключите HTTP/2.
RHEL 9
Уязвим (Важно)
mod_http2-2.0.26-7.el9_9.1, RHSA-2026:98981
RHEL 9.4 SAP / 9.6 EUS / 9.8 EUS
Уязвим (Важно)
RHSA-2026:98968 / :98954 / :98982
RHEL 10
Уязвим (Важно)
mod_http2-2.0.29-5.el10_3.1, RHSA-2026:98978
RHEL 10.0 EUS / 10.2 EUS
Уязвим (Важно)
RHSA-2026:98953 / :98979
RHEL 6, 7, 8
Не уязвимы
Никаких действий для данного CVE не требуется.
Само по себе ношение номера версии не подтверждает уязвимость, проверьте следующие дополнительные факторы:
- Пакеты дистрибутивов: Поставщики часто бэкпортируют исправления без изменения версии в основной ветке (upstream), поэтому проверяйте бюллетень вашего вендора, а не только вывод httpd -v или apache2 -v. По состоянию на 13 ноября исправления выпущены для Debian 12 и 13 (2.4.71-1~deb12u1 и 2.4.71-1~deb13u1), Ubuntu с 22.04 по 26.10, Alpine, Fedora, Amazon Linux 2 и 2023, а также Wolfi и Chainguard. SUSE, openSUSE, Photon OS и несколько сборок RHEL все еще ожидали исправлений от вендоров.
- По состоянию на 13 ноября исправления выпущены для Debian 12 и 13 (2.4.71-1~deb12u1 и 2.4.71-1~deb13u1), Ubuntu с 22.04 по 26.10, Alpine, Fedora, Amazon Linux 2 и 2023, а также Wolfi и Chainguard.
- SUSE, openSUSE, Photon OS и несколько сборок RHEL все еще ожидали исправлений от вендоров.
- Сторонние продукты: Вендоры, переупаковывающие httpd, такие как Red Hat JBoss Core Services (jbcs-httpd24-mod_http2) и образы Red Hat Hardened Images, могут числиться уязвимыми только на основании номера версии. То, уязвимы ли вы, зависит от того, что поставляется в составе продукта. Убедитесь, что модуль mod_http2 действительно присутствует и загружен. Например, сканирование образа httpd в Red Hat Hardened Images от Sysdig показывает его как уязвимый, но в образе нет mod_http2, поэтому риск можно принять. Проверьте статус исправления в бюллетене вендора.
- Недавние обновления: Серверы, обновленные до версии 2.4.67 из-за уязвимости в HTTP/2 в мае (), по-прежнему находятся в диапазоне версий, затронутых этим CVE.
Как работает уязвимость RCE в HTTPd
HTTP/2 передает множество запросов по одному соединению в виде параллельных потоков, и именно в этой параллельности кроется данная уязвимость.
В бюллетене Apache эта уязвимость называется «Параллельное выполнение с использованием общего ресурса при ненадлежащей синхронизации» (Concurrent Execution using Shared Resource with Improper Synchronization) в функции assign_headers(), а в записи CVE указан идентификатор CWE-362. Red Hat указывает CWE-20. Red Hat описывает первопричину как ситуацию, когда «рабочий поток (worker thread) производит запись в память, принадлежащую потоку соединения (connection thread), через общий аллокатор без блокировок». На практике два потока могут повредить одну и ту же кучу.
Исправление представляет собой изменение одной строки в функции assign_headers(). До исправления запрос с типом содержимого (content type), который уже завершился, приводил к записи нулевого заголовка Content-Length в собственную таблицу заголовков HTTP/2-запроса (req->headers). Исправление записывает его в таблицу для конкретного запроса (r->headers_in). Сообщение к коммиту не содержит объяснений. Заявление Red Hat раскрывает контекст многопоточности.
Что доступно для эксплуатации
Уязвимость зависит от конфигурации. Red Hat заявляет, что уязвимы только те серверы, у которых HTTP/2 включен с помощью директивы Protocols:
Путь
Доходит ли до уязвимого кода?
Подробности
Protocols включает h2
Да
HTTP/2 поверх TLS.
Protocols включает h2c
Да
HTTP/2 поверх незашифрованного TCP. Публичный PoC нацелен именно на это.
Protocols задана для виртуального хоста
Да, для этого виртуального хоста
Проверьте блоки vhost, а также параметры на уровне сервера.
Только HTTP/1.1
По данным Red Hat, серверы, обслуживающие только HTTP/1.1, не уязвимы.
В записи Bugzilla компании Red Hat указано, что неаутентифицированный злоумышленник может вызвать уязвимость, «отправляя специально сформированные кадры HTTP/2». Это ставит серверы httpd, смотрящие в интернет и поддерживающие HTTP/2, в первую категорию для установки патчей. Эта таблица не охватывает обратные прокси-серверы, установленные перед httpd.
Эксплуатация RCE в HTTPd: что было продемонстрировано, а что заявлено
Согласно странице CVE от Red Hat, публичные исследования показали «надежный эксплойт для сервера с конфигурацией по умолчанию». Однако без указания имени исследователя или ссылок на детали это невозможно проверить. На момент публикации этого блога ни один другой исследователь безопасности или вендор не подтвердил факт эксплуатации.
По состоянию примерно на 16:00 UTC 12 ноября поиск по CVE на GitHub выдал четыре репозитория: концептуальный прототип (PoC), трекер статуса патчей и два инструмента для обнаружения или оценки.
PoC сообщает о повреждении кучи (heap corruption), а не о выполнении кода. В его файле README воздействие описывается как «Повреждение кучи в дочернем процессе httpd; потенциальное удаленное выполнение кода».
Доказательства получены на лабораторной сборке:
- Настройка: httpd 2.4.70, собранный из исходного кода в контейнере debian:bookworm, запущенный с prefork MPM и протоколами h2c http/1.1.
- Результаты: PoC отправил 6080 запросов. AddressSanitizer сообщил о пяти сбоях, включая использование памяти после ее освобождения (use-after-free) в куче, выделенной в assign_headers(). ThreadSanitizer сообщил о 31 состязании потоков в аллокаторе (allocator races).
- Исправленная сборка: В сборке 2.4.71 подобных проблем обнаружено не было.
- Триггер: Запрос, который заканчивается без тела, содержит заголовок Content-Type, но не содержит Content-Length, вызывает эту ошибку. Коммит с исправлением затрагивает именно этот путь кода.
Файл README не демонстрирует контроль над поврежденной памятью, а автор не опубликовал никаких эксплойтов.
Суть в том, что неаутентифицированный HTTP/2-трафик может вызвать сбой и повреждение кучи уязвимого httpd. Удаленное выполнение кода возможно, но пока никто не продемонстрировал это публично. Считайте сбои вероятными везде, где включен HTTP/2, а выполнение кода — реальным риском.
Влияние RCE в HTTPd
Никаких публичных данных по состоянию на 13 ноября 2026 года не указывает на эксплуатацию в дикой природе, массовые сканирования или публичные RCE-эксплойты. При этом основные источники подтверждают следующее:
- Риск неаутентифицированного RCE: Red Hat заявляет, что удаленный злоумышленник, имеющий доступ к серверу, может выполнять произвольные команды без аутентификации. В Bugzilla добавляется, что команды выполняются с правами процесса httpd.
- Сбои воркеров: Публичный PoC вызывает сбои дочерних процессов httpd на уязвимой сборке.
- Продолжительное время уязвимости: Затронутый диапазон начинается с версии 2.4.55, поэтому серверы, пропатченные от более ранних уязвимостей HTTP/2, все еще могут быть уязвимы.
- Пути, для которых еще нет исправлений: Для автономного модуля mod_h2 нет исправленного релиза. Некоторые дистрибутивы, включая SUSE, openSUSE, Photon OS и CentOS Stream 10, по состоянию на 13 ноября все еще ожидали исправлений от вендоров.
Обнаружение RCE в HTTPd с помощью Sysdig Secure
У клиентов Sysdig Secure есть три уровня защиты от CVE-2026-119618. Записи Threat Intelligence показывают, где работают затронутые Apache-хосты, Vulnerability Management сопоставляет их с бюллетенями безопасности каждого дистрибутива, а средства Runtime Detections фиксируют действия успешного эксплойта после того, как злоумышленник проникает в уязвимую среду.
Анализ угроз (Threat intelligence)
У клиентов Sysdig Secure есть две записи для CVE-2026-119618 в ленте Threat Intelligence. Каждая запись содержит список затронутых хостов и работающих нагрузок Kubernetes. Одна запись использует SBOM для поиска затронутых версий Apache HTTP Server, mod_http2 и пакетов вендора, содержащих этот модуль. Вторая запись перечисляет ресурсы, для которых Sysdig Vulnerability Management сообщает об этой уязвимости.
Управление уязвимостями (Vulnerability management)
Sysdig vulnerability management обнаруживает CVE-2026-119618 в вашей среде. Чтобы расставить приоритеты для устранения, начните с обращенных в интернет рабочих нагрузок и пакетов, используемых во время выполнения.
Сканирование уязвимостей Sysdig сообщает об этой CVE с разбивкой по дистрибутивам и релизам, причем каждый статус соответствует собственному бюллетеню вендора. Строки меняются со статуса «Ожидание исправления вендора» на «Сообщено», по мере того как вендоры выпускают исправления и они попадают в ленту. Таблица отражает статус по состоянию на 13 ноября 2026 года. В SaaS обновления базы данных уязвимостей поступают в сканеры автоматически, поэтому для новых бюллетеней обновление сканера не требуется.
Дистрибутив
Релизы
Результаты сканирования уязвимостей
Red Hat Enterprise Linux
9, 9.6 EUS, 9.8 EUS
Сообщено, исправлено в mod_http2 2.0.26-7.el9_9.1
Red Hat Enterprise Linux
10, 10.0 EUS, 10.2 EUS, 9.4 E4S
Исправление вендора опубликовано (10: mod_http2 2.0.29-5.el10_3.1), добавляется
Red Hat Enterprise Linux
6, 7, 8
Не затронуты
CentOS Stream
Сообщено, исправление вендора пока отсутствует
CentOS Stream
Ожидание исправления вендора
AlmaLinux, Rocky Linux, Oracle Linux
9, 10
Ожидание исправления вендора
AlmaLinux, Rocky Linux, Oracle Linux
Не затронуты
Debian
12, 13
Сообщено, исправлено в 2.4.71-1~deb12u1 и 2.4.71-1~deb13u1
Debian
11 (ELTS), 14 (testing)
Ожидание исправления вендора
Ubuntu
22.04, 24.04, 26.04, 26.10
Сообщено, исправлено в обновлениях безопасности от 12 ноября
Ubuntu
20.04 (ESM)
Ожидание исправления вендора
Ubuntu
16.04, 18.04 (ESM)
Не затронуты
Alpine
3.21, 3.22, 3.23, 3.24
Сообщено, исправлено в 2.4.71-r0
Wolfi и Chainguard
Rolling
Сообщено, исправлено в 2.4.71-r0
Fedora
43, 44
Сообщено, исправлено в mod_http2 2.0.42-3.fc43 и 2.0.42-2.fc44
Amazon Linux
2, 2023
Сообщено, исправлено в 2.4.71-1.amzn2.0.1 и 2.4.71-1.amzn2023.0.1
Azure Linux
3.0
Исправление вендора опубликовано (2.4.71-1.azl3), добавляется
SUSE Linux Enterprise Server
15 SP7, 16.0
Ожидание исправления вендора
openSUSE
Leap 16.0, Tumbleweed
Ожидание исправления вендора
Photon OS
4.0, 5.0
Ожидание исправления вендора
Alibaba Cloud Linux
Не затронуты
Apache, собранный из исходного кода
Официальные образы httpd, Bitnami, скопированные бинарные файлы
Сообщено через сканирование автономных бинарных файлов, исправлено в 2.4.71
Red Hat Hardened Images
httpd
Указан как затронутый, так как это отмечено в списке Red Hat. В образе нет mod_http2, примите риск во внимание
Обнаружение во время выполнения (Runtime detection)
Sysdig TRT симулировала успешный эксплойт внутри уязвимого сервера Apache, как внутри контейнера, так и в качестве хост-сервиса. Существующие средства обнаружения угроз времени выполнения зафиксировали каждый шаг без изменения правил, включая:
- Неудачные попытки эксплойтов, вызывающие сбой рабочих процессов веб-сервера
- Команды или командную оболочку, запущенные веб-сервером, включая обратные оболочки (reverse shells)
- Инструменты, загруженные и запущенные веб-сервером
- Процесс веб-сервера, замененный кодом злоумышленника
Успешная атака предоставит злоумышленнику выполнение кода с правами воркера httpd. После этого злоумышленники действуют так же, как и при любом другом RCE в веб-сервере: открывают обратную оболочку, скачивают и запускают утилиту, запускают майнер, крадут облачные учетные данные или пытаются повысить привилегии в ядре локально.
Обнаружение RCE в HTTPd с помощью открытого ПО Falco
Falco видит системные вызовы, а не кадры HTTP/2. Он не может видеть сам вредоносный запрос, но может видеть то, к чему этот запрос приводит на хосте. Сюда относится оболочка или неожиданный бинарный файл, порожденный процессом httpd, неожиданное исходящее соединение или запись в конфиденциальный путь.
Веб-серверы легитимно порождают вспомогательные процессы, поэтому правила, применяемые к httpd, требуют настройки для снижения числа ложных срабатываний. Применимы описанные выше стратегии постреализационного этапа.
Рекомендации
Применить патч
- Обновите httpd на каждом сервере: перейдите на версию 2.4.71 или на исправленный пакет вашего поставщика. Для RHEL 9 это mod_http2-2.0.26-7.el9_9.1, для RHEL 10 — mod_http2-2.0.29-5.el10_3.1, а для Debian trixie — apache2 2.4.71-1~deb13u1. Установка патча — единственное полноценное решение.
- Перезапустите httpd и пересоберите образы после применения патча: работающий сервер сохраняет старый модуль в памяти. Проверьте версию пакета внутри запущенной рабочей нагрузки.
- Замените отдельный mod_h2: проект отправлен в архив, и его последний релиз 2.0.42 уязвим.
Временные меры защиты, если вы не можете установить патч сегодня
- Отключите HTTP/2: в и оповещении oss-security от Apache не указано обходных путей. Wiz рекомендует удалить h2 и h2c, чтобы параметр имел вид Protocols http/1.1. Это рекомендация Wiz, а не Apache. Она согласуется с заявлением Red Hat о том, что серверы, использующие только HTTP/1.1, не уязвимы. Примените это изменение для всего сервера и в каждом виртуальном хосте. Перезапустите или перезагрузите httpd, чтобы изменения вступили в силу. Сначала протестируйте сервисы, чувствительные к задержкам. Клиенты переключатся на HTTP/1.1, что может замедлить работу многопоточных задач.
- Примените это изменение для всего сервера и в каждом виртуальном хосте.
- Перезапустите или перезагрузите httpd, чтобы изменения вступили в силу.
- Сначала протестируйте сервисы, чувствительные к задержкам. Клиенты переключатся на HTTP/1.1, что может замедлить работу многопоточных задач.
Ограничьте область поражения
- Запускайте рабочие процессы httpd от имени непривилегированного пользователя: ограничьте права на чтение и запись для скомпрометированного процесса.
- Защитите секретные данные от доступа со стороны сервера: используйте менеджер секретов, а не переменные среды или файлы, которые может прочитать рабочий процесс.
Проведите расследование и аудит
- Проведите аудит среды: найдите каждый хост и рабочую нагрузку под управлением httpd 2.4.55–2.4.70 или mod_h2 2.0.8–2.0.42 с включенным HTTP/2, в первую очередь обращенные в интернет. Клиенты Sysdig Secure могут использовать записи Threat Intelligence и результаты Vulnerability Management.
- Обратите внимание на сбои дочерних процессов httpd: повторяющиеся сегментационные сбои (segfaults) дочерних процессов на сервере с включенным HTTP/2 соответствуют поведению общедоступного PoC-эксплойта.
- Проверьте активность процессов httpd: ищите оболочки (shells), загрузки или исходящие соединения от рабочих процессов httpd с момента публичного раскрытия уязвимости 11 ноября.
- Включите стандартные политики времени выполнения: средства обнаружения угроз в реальном времени от Sysdig зафиксируют попытку эксплуатации, даже если результаты сканирования уязвимостей пока отсутствуют.
Заключение
CVE-2026-119618 — это ошибка многопоточности в модуле HTTP/2 сервера httpd, а не уязвимость в обслуживаемых им приложениях. Повреждение кучи и сбои продемонстрированы публично. Заявление о выполнении кода пока не подтверждено на практике, но именно этот риск должен определять приоритетность установки патчей. Специалистам по безопасности следует начать с серверов с поддержкой HTTP/2, имеющих доступ из интернета.
Временные интервалы по-прежнему важны для команд безопасности. Две группы независимо друг от друга сообщили об уязвимости с разницей в восемь дней. Одной из «групп» был автоматизированный сканер на базе моделей, а другой — команда исследователей-людей. К 12 ноября, через день после публикации информации, на GitHub появился общедоступный PoC, вызывающий повреждение кучи. Промежуток между «публикацией бюллетеня» и «рабочим эксплойтом» очень мал, и организации должны быть готовы к быстрому реагированию на такие уведомления.
В данном случае лучше всего сначала установить патч. Пока каждый сервер не будет обновлен и перезапущен, отключите HTTP/2 там, где это возможно, и используйте средства обнаружения угроз для минимизации рисков. Датчик времени выполнения не увидит повреждение кучи, но он обнаружит последующие действия успешного эксплойта.
