Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Krytyczna luka CVE-2026-119618 w mod_http2 serwera Apache, poprawka w wersji 2.4.71

Luka CVE-2026-119618 (CVSS 9.8) w module mod_http2 serwera Apache HTTP Server od 2.4.55 do 2.4.70 pozwala bez logowania wykonać kod. Poprawka jest w wersji 2.4.71.

Karta wpisu: Krytyczna luka CVE-2026-119618 w mod_http2 serwera Apache, poprawka w wersji 2.4.71

Apache HTTP Server w wersjach od 2.4.55 do 2.4.70 ma krytyczną lukę CVE-2026-119618 w module mod_http2. Pozwala ona zdalnie, bez logowania, wykonać kod na serwerze. Poprawka jest w wersji 2.4.71. Red Hat ocenia lukę na 9.8 w skali CVSS. Podaje też, że publiczne badania pokazały niezawodny exploit na domyślnej konfiguracji z włączonym mod_http2, ale nie wskazuje tych badań. Firma Wiz podała tego samego dnia, że exploit nie jest dostępny i nie zgłoszono wykorzystania luki w atakach.

Kogo dotyczy

Luka dotyczy tylko serwerów z włączonym HTTP/2, czyli z dyrektywą Protocols ustawioną na h2 lub h2c. Obejmuje też samodzielne wydania modułu mod_h2 od 2.0.8 do 2.0.42. W systemach Red Hat Enterprise Linux 9 i 10 Red Hat ocenia lukę jako ważną, a nie krytyczną.

Co zrobić

Jeśli używasz wydań projektu Apache, zaktualizuj serwer do wersji 2.4.71. Ta wersja poprawia też błędy w modułach mod_md i mod_vhost_alias. Dystrybucje wydają własne pakiety: w Red Hat Enterprise Linux 9 poprawka to mod_http2-2.0.26-7.el9_9.1.

TAB. 2

Źródła

1
The Hacker News — Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościPostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów

Wszystkie wpisy →

Blog 24/7
13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media13.11Quantum Systems potwierdza cyberatak: złośliwa aktualizacja QBase trafiła do klientówbleepingcomputer.com13.11Trezor: implanty w portfelach Safe 5 od resellera CryptoBilis kradną frazę odzyskiwaniathehackernews.com13.11Ransomware sparaliżował białoruskiego dostawcę chmury ActiveCloud na kilka dnitherecord.media13.11Fałszywy instalator GTA 6 z Google Colab kradnie hasła, konta Steam i kryptowalutyhelpnetsecurity.com13.11TSMC potwierdza wyciek danych pracowników z systemów dostawcy usług chmurowychtherecord.media