В модуле HTTP/2 (mod_http2) Apache HTTP Server была обнаружена критическая уязвимость синхронизации (CVE-2026-119618). Ошибка проистекает из состояния гонки (race condition) при одновременном выполнении в функции assign_headers() во время обработки общих ресурсов. В случае успешной эксплуатации удаленный неаутентифицированный злоумышленник может повредить кучу (heap memory) для достижения произвольного выполнения кода (RCE).
На момент публикации этого блога эксплойты отсутствуют, равно как и сообщения об их использовании в реальных условиях.
Что такое CVE-2026-111497?
CVE-2026-119618 — это критическая уязвимость высокой степени тяжести, связанная с состоянием гонки в Apache HTTP Server, которая была независимо обнаружена командами Anthropic и Google Cloud’s Vulnerability Research Team.
В частности, ошибка существует в функции assign_headers() модуля HTTP/2 (mod_http2). Из-за ненадлежащей синхронизации при выполнении параллельных потоков, использующих общие ресурсы, злоумышленник может вызвать повреждение кучи. Это повреждение памяти в конечном итоге может быть использовано для достижения RCE на сервере-хосте, что позволяет неавторизованным злоумышленникам выполнять произвольные команды с привилегиями процесса веб-сервера.
Данные Wiz Research: каков риск для облачных сред?
В облачных средах скомпрометированный экземпляр Apache, выполняющий контейнеризированные или виртуализированные рабочие нагрузки, может служить точкой входа для латерального перемещения (lateral movement), потенциально подвергая угрозе соседние микросервисы или конечные точки метаданных облака.
Согласно данным Wiz, 64% облачных сред имеют ресурсы, уязвимые к CVE-2026-119618, а 51% облачных сред имеют публично доступные экземпляры. Обратите внимание, что это не учитывает конфигурацию.
Какие продукты затронуты?
Уязвимость затрагивает развертывания, использующие возможности HTTP/2 в Apache HTTP Server, в диапазонах версий, указанных в таблице ниже:
Какие действия должны предпринять команды безопасности?
Команды безопасности и инженеры должны выполнить следующие шаги по исведению и минимизации рисков:
1. Обновите развертывания
- Обновите Apache HTTP Server: обновите затронутые инсталляции до версии Apache HTTP Server 2.4.71 или новее. Этот выпуск устраняет состояние гонки в assign_headers().
Обновите Apache HTTP Server: обновите затронутые инсталляции до версии Apache HTTP Server 2.4.71 или новее. Этот выпуск устраняет состояние гонки в assign_headers().
- Обновите автономные модули: если вы управляете автономными сборками mod_h2 с GitHub, обновите модуль до версии новее 2.0.42.
Обновите автономные модули: если вы управляете автономными сборками mod_h2 с GitHub, обновите модуль до версии новее 2.0.42.
2. Внедрите временные меры защиты
Если немедленное исправление невозможно по операционным соображениям, временно отключите поддержку HTTP/2, чтобы устранить вектор атаки.
- Отредактируйте файл конфигурации (например, httpd.conf), чтобы ограничить активные протоколы до HTTP/1.1, удалив ссылки h2 и h2c:
Отредактируйте файл конфигурации (например, httpd.conf), чтобы ограничить активные протоколы до HTTP/1.1, удалив ссылки h2 и h2c:
Клиенты Wiz могут использовать готовый поисковый запрос и рекомендацию в Wiz Threat Center для поиска уязвимых экземпляров в своей среде.
Ссылки
Примечания к выпуску Apache HTTP Server
