Apache HTTP Server 2.4.71: RCE в mod_http2 с оценкой 9,8 без аутентификации

Что случилось

11 ноября проект Apache HTTP Server выпустил версию 2.4.71. Она закрывает критическую уязвимость CVE-2026-119618 в модуле mod_http2: атакующий, у которого есть сетевой доступ к серверу, может выполнить собственный код в процессе веб-сервера и полностью им управлять. Учётные данные для этого не требуются.

Затронуты серверы с включённым HTTP/2 — там, где в директиве Protocols указаны h2 (HTTP/2 поверх TLS) или h2c (поверх обычного TCP). При выключенном HTTP/2 уязвимость не срабатывает.

Детали

Уязвимы официальные выпуски Apache HTTP Server с 2.4.55 по 2.4.70 включительно. Отдельные сборки модуля, публикуемые на GitHub как mod_h2, уязвимы в диапазоне 2.0.8–2.0.42. Оценка по CVSS в бюллетене Red Hat — 9,8 из 10.

Red Hat пишет, что публичные исследования уже демонстрировали работоспособный эксплойт против сервера в конфигурации по умолчанию с включённым mod_http2, но саму работу не называет. Компания Wiz в тот же день заявила обратное: готового эксплойта нет, случаев эксплуатации в реальных атаках не зафиксировано.

Исправленные пакеты:

• Apache HTTP Server project — 2.4.71;
• RHEL 9 — mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981);
• RHEL 10 — mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978);
• RHEL 9.4, 9.6, 9.8, 10.0 и 10.2 в режиме расширенной поддержки — отдельные advisories;
• Debian unstable — apache2 2.4.71-1.

Debian bookworm, trixie и forky на момент публикации числятся уязвимыми без исправления, Amazon Linux 2, 2023 и 2027 Preview ждут патча, у Ubuntu страницы в трекере ещё не было. RHEL 6, 7 и 8 не затронуты — этого кода там нет. На RHEL 9 и 10 уязвимость помечена как Important, а не Critical: пакеты выдают каждому HTTP/2-потоку отдельный аллокатор памяти, и атаковать заметно сложнее.

В 2.4.71 попутно закрыты падение mod_md (уровень important) и однобайтовая перезапись стековой памяти в mod_vhost_alias (low).

Нашла проблему бесплатная служба сканирования OSS Scanner от Anthropic: заявка поступила 26 октября. Авторы отчёта — Энтони Уимс и Саймон Сканнелл из Google Cloud Vulnerability Research.

Что это значит

Обходного пути в бюллетене Apache нет. Пока пакеты не обновились, остаётся один вариант — убрать h2 и h2c из директивы Protocols, оставив там только HTTP/1.1. Проверять нужно и глобальную настройку, и каждый виртуальный хост: директива работает на обоих уровнях.

Отдельная сложность у тех, кто собирал автономный mod_h2. Проект закрыт: репозиторий стал read-only 9 июня, а список релизов заканчивается на 2.0.42 — последней уязвимой версии. Исправления им ждать неоткуда.

Полезно помнить и контекст. Предыдущая дыра в HTTP/2, CVE-2026-23918, была закрыта в 2.4.67 4 мая. Серверы, обновлённые до неё или до любой версии вплоть до 2.4.70, всё равно уязвимы к новой. Логика «обновились в мае, значит закрыто» здесь не спасает.