Een ernstige kwetsbaarheid in Apache HTTP Server's HTTP/2 module maakt het mogelijk voor onbevoegden om op afstand code uit te voeren zonder authenticatie.
In de Apache HTTP Server is een kritieke kwetsbaarheid ontdekt in de HTTP/2 module, mod_http2, die het mogelijk maakt voor een aanvaller om zonder authenticatie op afstand code uit te voeren op de server. De kwetsbaarheid, geregistreerd als CVE-2026-119618, treft versies 2.4.55 tot en met 2.4.70 en is verholpen in versie 2.4.71, die gisteren is uitgebracht. Alleen servers met ingeschakelde HTTP/2 functionaliteit zijn kwetsbaar, aldus Red Hat, dat de server levert binnen Red Hat Enterprise Linux.
Volgens Red Hat kan een aanvaller die toegang heeft tot de server deze kwetsbaarheid misbruiken om volledige controle over het serverproces te verkrijgen. De ernst van de kwetsbaarheid wordt door de leverancier beoordeeld met een score van 9,8 op de CVSS-schaal. In de beoordeling wordt ook vermeld dat er publiek onderzoek is dat een betrouwbare exploit demonstreert tegen een standaardconfiguratie met mod_http2 ingeschakeld, hoewel de bron hiervan niet wordt genoemd. Beveiligingsbedrijf Wiz meldde later op de dag dat er geen exploit beschikbaar was en dat er geen meldingen zijn van actieve uitbuiting in het wild.
HTTP/2 wordt alleen geactiveerd wanneer de Protocols-directive dit toestaat, waarbij 'h2' staat voor HTTP/2 over TLS en 'h2c' voor HTTP/2 over plain TCP, zoals beschreven in de module documentatie. Deze instelling kan gelden voor de gehele server of per virtuele host, waardoor beheerders zowel de serverbrede als individuele hostconfiguraties moeten controleren. Voor standalone builds van de module, beschikbaar als mod_h2 op GitHub, geldt de kwetsbaarheid voor versies 2.0.8 tot en met 2.0.42. Deze builds zijn sinds juni 2026 niet meer bijgewerkt.
Beheerders die gebruikmaken van de officiële releases van het Apache HTTP Server project wordt geadviseerd te upgraden naar versie 2.4.71, waarin ook andere beveiligingsproblemen zijn opgelost. Distributies zoals Red Hat Enterprise Linux leveren eigen builds met eigen versienummers. Voor RHEL 9 en 10 zijn patches inmiddels beschikbaar, waarbij Red Hat de kwetsbaarheid als belangrijk (Important) classificeert in plaats van kritisch, vanwege extra beveiligingsmaatregelen in hun mod_http2-pakketten die het misbruik bemoeilijken. Oudere versies zoals RHEL 8 en eerder bevatten de kwetsbare code niet.
De status van verschillende distributies is terug te vinden in de beveiligingstrackers van Debian en Amazon Linux, waar sommige versies nog kwetsbaar zijn of een patch in afwachting is. Voor Ubuntu is er nog geen statuspagina beschikbaar. Er is geen workaround beschikbaar in de officiële advisories, maar in een vulnerability analyse wordt aanbevolen om tijdelijk de protocollen 'h2' en 'h2c' uit de Protocols-directive te verwijderen, zodat alleen HTTP/1.1 wordt gebruikt, voor servers die nog niet kunnen updaten.
