В Apache HTTP Server обнаружили критическую уязвимость, которая позволяет удалённо выполнить произвольный код на сервере. Под угрозой оказались версии с 2.4.55 по 2.4.70, а опасную ошибку одновременно нашли специалисты Google и система искусственного интеллекта Anthropic.
11 ноября Apache Software Foundation выпустила версию 2.4.71, закрывшую три уязвимости. Самая опасная получила идентификатор CVE-2026-119618 и критический уровень опасности. Проблема затрагивает mod_http2, модуль веб-сервера, который обрабатывает соединения по протоколу HTTP/2. Red Hat оценила серьёзность ошибки в 9,8 балла из 10 по шкале CVSS 3.
Уязвимость возникает в функции assign_headers(), которая обрабатывает HTTP-заголовки. Несколько потоков могут одновременно обращаться к общим данным без правильной синхронизации. В результате повреждается память в куче, где программа хранит динамически выделенные данные. При определённых условиях злоумышленник способен воспользоваться повреждением памяти для выполнения собственного кода.
Особенность ошибки связана с параллельной обработкой запросов. HTTP/2 позволяет передавать несколько запросов через одно соединение, что повышает производительность, но усложняет работу с общими ресурсами. Ранее исследователи уже находили похожие проблемы в mod_http2, включая уязвимость с двойным освобождением памяти, исправленную весной 2026 года.
Первой новую брешь обнаружила система Anthropic OSS Scanner, зарегистрировавшая находку под обозначением ANT-2026-MAPKT6MZ. Компания уведомила разработчиков Apache 26 октября. Независимо от Anthropic проблему нашли Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research. Их сообщение поступило 3 ноября. Уязвимы также отдельные выпуски mod_h2 с 2.0.8 по 2.0.42, распространяемые через GitHub.
Вторая ошибка, CVE-2026-106023, получила высокий уровень опасности. Модуль mod_md может обратиться к нулевому указателю при обработке HTTP-запроса, из-за чего аварийно завершается дочерний процесс сервера. Проблема затрагивает версии с 2.4.30 по 2.4.70. Третья уязвимость, CVE-2026-109163, связана с однобайтовой перезаписью памяти стека в mod_vhost_alias и затрагивает версии 2.4.69 и 2.4.70.
Согласно официальному бюллетеню, все три ошибки исправлены в Apache HTTP Server 2.4.71. Разработчики рекомендуют перейти на новый выпуск. Подтверждённых сведений об эксплуатации критической уязвимости в реальных атаках на момент публикации нет. Сам бюллетень также не содержит готового сценария эксплуатации или указаний на необходимые злоумышленнику дополнительные условия.
Для администраторов особенно актуальна проверка подключённого модуля mod_http2 и фактической версии серверного пакета. HTTP/2 уже становился причиной серьёзных проблем с доступностью веб-серверов. Например, атака HTTP/2 Bomb позволяла быстро исчерпать память Apache, nginx и других серверов. Однако новая ошибка опаснее потенциальными последствиями, поскольку допускает не только сбой, но и выполнение кода.
