Apache heeft maandag beveiligingsupdates uitgebracht voor meer dan een dozijn kwetsbaarheden in de HTTP Server en MINA, waaronder kritieke en hoog-risico fouten die kunnen worden misbruikt voor remote code execution (RCE). De Apache HTTP Server 2.4.67 bevat fixes voor elf kwetsbaarheden, waarvan tien alle eerdere versies treffen. Een van de belangrijkste is CVE-2026-23918, een double-free bug in de HTTP/2 protocolafhandeling die naast een denial-of-service (DoS) ook mogelijk code-uitvoering op afstand kan veroorzaken. Door een vroegtijdige reset te triggeren, kan een aanvaller de server laten crashen en mogelijk willekeurige code uitvoeren.

Daarnaast is er CVE-2026-28780, een heap buffer overflow die het mogelijk maakt om met speciaal opgemaakte AJP-berichten een DoS te veroorzaken en code uit te voeren. Verder zijn er drie kwetsbaarheden (CVE-2026-29168, CVE-2026-29169 en CVE-2026-33007) die DoS kunnen veroorzaken, en vier die informatielekken kunnen veroorzaken. Ook is een probleem met onjuiste neutralisatie van CRLF-sequenties opgelost (CVE-2026-33523), waarmee aanvallers HTTP-responses kunnen manipuleren. Daarnaast is een timing side-channel kwetsbaarheid verholpen (CVE-2026-33006) die Digest-authenticatie kan omzeilen.

Ook kondigde Apache maandag de uitrol aan van MINA 2.2.7 en 2.1.12, waarin twee kritieke kwetsbaarheden zijn opgelost die in eerdere versies onvolledig waren verholpen. CVE-2026-42778 betreft een onvolledige fix voor eerdere kwetsbaarheden die te maken hebben met onveilige deserialisatie, wat kan leiden tot remote code execution. De tweede, CVE-2026-42779, is een onvolledige fix voor een fout in de toegangscontrole die een allowlist kan omzeilen en code-uitvoering mogelijk maakt. Na de update moeten organisaties expliciet aangeven welke klassen de decoder accepteert in de ObjectSerializationDecoder-instantie, aldus Apache in hun bericht.