Hermes Vector

हिन्दी ·

Apache HTTP Server HTTP/2 मॉड्यूल में रेस कंडीशन से रिमोट कोड एक्जीक्यूशन संभव

CVE-2026-119618 Apache HTTP Server के 2.4.55 से 2.4.70 तक के वर्ज़न को प्रभावित करता है और इसके कारण आर्बिट्रेरी कोड एक्जीक्यूशन हो सकता है। Apache ने इस समस्या को ठीक करने के लिए वर्ज़न 2.4.71 जारी किया है।

लेखक Hermes Vector · Read in English

चित्र: Apache HTTP Server HTTP/2 मॉड्यूल में रेस कंडीशन से रिमोट कोड एक्जीक्यूशन संभव

संक्षेप में

  • CVE-2026-119618 Apache HTTP Server HTTP/2 मॉड्यूल में एक रेस कंडीशन है जो आर्बिट्रेरी कोड एक्जीक्यूशन का कारण बन सकती है।
  • यह भेद्यता (vulnerability) Apache HTTP Server के 2.4.55 से 2.4.70 तक के वर्ज़न और mod_h2 मॉड्यूल के 2.0.8 से 2.0.42 तक के वर्ज़न को प्रभावित करती है।
  • Apache ने इस समस्या को ठीक करने के लिए वर्ज़न 2.4.71 जारी किया है; स्टैंडअलोन mod_h2 बिल्ड्स को 2.0.42 से नए वर्ज़न पर अपग्रेड किया जाना चाहिए।
  • अभी तक कोई सार्वजनिक एक्सप्लॉइट मौजूद नहीं है और न ही वास्तविक दुनिया में इसके शोषण (exploitation) की कोई रिपोर्ट मिली है।

Apache HTTP Server HTTP/2 मॉड्यूल में एक रेस कंडीशन एक रिमोट, अनऑथेंटिकेटेड हमलावर को प्रभावित सर्वर पर कोड चलाने का रास्ता देती है। CVE-2026-119618 के रूप में ट्रैक की गई यह भेद्यता 2.4.55 से 2.4.70 तक के वर्ज़न में mod_http2 मॉड्यूल को प्रभावित करती है।

LavX News के अनुसार, यह खामी HTTP/2 मॉड्यूल में दोष के माध्यम से एक रिमोट, अनऑथेंटिकेटेड हमलावर को Apache HTTP Server में हीप मेमोरी (heap memory) को करप्ट करने की अनुमति देती है। यह करप्शन वेब सर्वर प्रोसेस के विशेषाधिकारों के साथ आर्बिट्रेरी कोड एक्जीक्यूशन का कारण बन सकता है।

अभी तक कोई सार्वजनिक एक्सप्लॉइट मौजूद नहीं है, और न ही वास्तविक दुनिया में इसके शोषण की कोई रिपोर्ट मिली है।

प्रभावित और पैच किए गए वर्ज़न

ProductAffected versionsPatched versions
Apache HTTP Server2.4.55 through 2.4.702.4.71 and newer
mod_h2 module (GitHub)2.0.8 through 2.0.42Versions newer than 2.0.42

क्लाउड वातावरण में जोखिम

एक समझौता किया गया (compromised) Apache इंस्टेंस हमलावर को कंटेनराइज्ड या वर्चुअलाइज्ड वर्कलोड के भीतर पैठ बनाने का मौका दे सकता है। वहां से, हमलावर आस-पास की माइक्रोसर्विसेज तक पहुंच सकता है या क्लाउड मेटाडेटा एंडपॉइंट्स तक पहुंच सकता है।

रिसर्च डेटा जोखिम के पैमाने को दर्शाता है: 64% क्लाउड वातावरण में ऐसे रिसोर्स हैं जो CVE-2026-119618 के प्रति संवेदनशील हैं, और 51% क्लाउड वातावरण सार्वजनिक रूप से उजागर (exposed) इंस्टेंस चला रहे हैं। ये आंकड़े कॉन्फ़िगरेशन विवरणों को ध्यान में नहीं रखते हैं।

सुरक्षा टीमों के लिए कदम

डिप्लॉयमेंट को अपग्रेड करें। Apache HTTP Server इंस्टॉलेशन को वर्ज़न 2.4.71 या उसके बाद के वर्ज़न पर अपडेट करें। जो टीमें GitHub से स्टैंडअलोन mod_h2 बिल्ड्स का प्रबंधन करती हैं, उन्हें मॉड्यूल को 2.0.42 से नए वर्ज़न पर अपग्रेड करना चाहिए।

अस्थायी उपाय के रूप में HTTP/2 को अक्षम करें। यदि टीमें पैच लागू नहीं कर सकती हैं, तो वे सर्वर को HTTP/1.1 तक सीमित करके अटैक वेक्टर को हटा सकती हैं। h2 और h2c संदर्भों को हटाने के लिए कॉन्फ़िगरेशन फ़ाइल (जैसे httpd.conf) को संपादित करें:

# Restrict protocols to HTTP/1.1
Protocols http/1.1

यह परिवर्तन करने के बाद, सर्वर को रीस्टार्ट करें और पुष्टि करें कि क्लाइंट्स HTTP/1.1 पर वापस आ रहे हैं। टीमों को इस कदम को एक अस्थायी समाधान के रूप में देखना चाहिए और पैच किए गए रिलीज़ के अपग्रेड को शेड्यूल करना चाहिए।

Source: Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog, by Merav Bar, wiz.io, Nov 11, 2026

स्रोत (अंग्रेज़ी में)

यह मूल अंग्रेज़ी लेख का एआई द्वारा किया गया अनुवाद है, जिसे स्वचालित रूप से जाँचा गया है ताकि यह मूल लेख जैसी ही बात कहे। स्रोतों की जाँच अंग्रेज़ी में की गई थी।

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.

Apache HTTP Server HTTP/2 मॉड्यूल में रेस कंडीशन से रिमोट कोड एक्जीक्यूशन संभव | Hermes Vector