Разработчики веб-сервера Apache 11 ноября выпустили исправление критической уязвимости CVE-2026-119618. Ошибка находится в модуле обработки протокола HTTP/2 и, согласно официальному уведомлению проекта, может привести к удалённому выполнению произвольного кода. Затронуты версии сервера от 2.4.55 до 2.4.70 включительно; исправление вошло в выпуск 2.4.71
Причина — некорректная синхронизация параллельных потоков при обращении к общим ресурсам: она способна вызвать повреждение динамической памяти. Проект указал среди обнаруживших проблему сканер открытого кода Anthropic и исследователей Google Cloud. По сообщению Wiz, атакующему не требуется проходить аутентификацию, а успешная эксплуатация позволяет выполнять команды с правами процесса веб-сервера
Администраторам следует обновить затронутые установки до исправленного выпуска. Если сделать это сразу невозможно, Wiz рекомендует временно отключить поддержку второй версии протокола и оставить только первую. При этом компания сообщила, что на момент публикации её материала публичного эксплойта и сведений об использовании уязвимости в реальных атаках не было
Повреждение памяти ещё не означает, что произвольное выполнение кода уже продемонстрировано. Здесь важно различать потенциальное последствие, указанное разработчиками, и подтверждённый захват сервера. Отсутствие публичного эксплойта уточняет картину угрозы, но не даёт оснований откладывать установку доступного исправления
Первоисточник — Wiz
Сообщите редакции. Существенные исправления мы отмечаем в материале