Attālinātā koda izpildes (RCE) ievainojamība CVE-2026-119618 Apache HTTP Server
Apache publicējis informāciju par kritisku ievainojamību CVE-2026-119618 ( CVSS 9.8.), kas skar Apache HTTP Server HTTP/2 moduli mod_http2. Veiksmīgi izmantojot šo ievainojamību, uzbrucējs var attālināti izpildīt patvaļīgas komandas serverī bez nepieciešamības autentificēties.
Ievainojami ir serveri, kuros iespējots HTTP/2 protokols (h2 vai h2c).
Ietekmētās versijas:
- Apache HTTP Server versijas 2.4.55–2.4.70
- Atsevišķi izplatītās mod_h2 moduļa versijas no 2.0.8 - 2.0.42
Rekomendējam nekavējoties izvērtēt ievainojamības ietekmi un identificēt visas organizācijas infrastruktūrā izmantotās Apache HTTP Server instalācijas, pārbaudīt to versijas un uzstādīt 2.4.71 versiju (vai jaunāku), ja tas vēl nav izdarīts.
Debian, Ubuntu, Red Hat un citu Linux distribūciju lietotājiem jāņem vērā konkrētais drošības atjauninājumu statuss un jāpārbauda, vai tajos ir iekļauts šīs ievainojamības labojums (security backport), nevis jāpaļaujas tikai uz Apache versijas numuru.
Papildu informācija:
