Apache HTTP Server: פגיעות קריטית ב-mod_http2 מאפשרת הרצת קוד מרחוק ללא אימות

פגיעות קריטית ברכיב mod_http2 של Apache HTTP Server מאפשרת לתוקף מרוחק ללא אימות להריץ קוד ולהשתלט על תהליך השרת. הפגיעה היא בשרתים שבהם HTTP/2 מופעל, והתיקון זמין בגרסה 2.4.71.

מזהה	CVE-2026-119618
מוצר וגרסאות	Apache HTTP Server מגרסה 2.4.55 ועד 2.4.70, רק עם HTTP/2 מופעל
חומרה	CVSS 9.8 (לפי Red Hat) — קריטית
מנוצל בפועל	לא דווח; Wiz מסרה שלא ידוע על ניצול
תיקון	2.4.71

מה קרה

הפגיעות דווחה ב-26 באוקטובר, בין היתר על ידי הסורק OSS Scanner של Anthropic וחוקרי Google Cloud Vulnerability Research. לפי Red Hat, מחקר פומבי הדגים ניצול אמין בהגדרות ברירת המחדל, אך הוא לא פורסם בשם או בקישור. הגרסה 2.4.71 מתקנת גם קריסה ב-mod_md ובאג בחומרה נמוכה ב-mod_vhost_alias.

המודול העצמאי mod_h2 (גרסאות 2.0.8 עד 2.0.42) מושפע גם הוא, ולא פורסם לו תיקון: המאגר בארכיון לקריאה בלבד מאז 9 ביוני.

נקודות לשים לב

עדכן ל-Apache 2.4.71 או לחבילה מתוקנת של הדיסטרו. שים לב: גרסאות 2.4.67 עד 2.4.70 עדיין חשופות, גם אם תוקנה בהן פגיעות קודמת.
אין workaround רשמי מ-Apache. Wiz ממליצה להסיר h2 ו-h2c מההגדרה Protocols ולהשאיר http/1.1.
בדוק את ההגדרה גם ברמת השרת וגם בכל virtual host, כי Protocols יכולה להיות מוגדרת בשניהם.
לפי המדווח, ב-RHEL 9 ו-10 קיימים עדכונים (דירוג Important); ב-Debian bookworm ו-trixie לא היה תיקון בזמן הפרסום. בדוק את מצב החבילה בדיסטרו שלך.
אם אתה משתמש ב-mod_h2 העצמאי, אין תיקון — ההסרה של HTTP/2 מההגדרות היא האפשרות היחידה.