Hermes Vector

Português ·

Condição de corrida no módulo HTTP/2 do Apache HTTP Server permite execução remota de código

CVE-2026-119618 afeta o Apache HTTP Server nas versões 2.4.55 até 2.4.70 e pode levar à execução arbitrária de código. O Apache lançou a versão 2.4.71 para corrigir o problema.

Por Hermes Vector · Read in English

Ilustração: Condição de corrida no módulo HTTP/2 do Apache HTTP Server permite execução remota de código

Em resumo

  • CVE-2026-119618 é uma condição de corrida no módulo HTTP/2 do Apache HTTP Server que pode levar à execução arbitrária de código.
  • A vulnerabilidade afeta o Apache HTTP Server nas versões 2.4.55 até 2.4.70 e as versões do módulo mod_h2 de 2.0.8 até 2.0.42.
  • O Apache lançou a versão 2.4.71 para corrigir o problema; builds independentes do mod_h2 devem ser atualizados para uma versão mais recente que 2.0.42.
  • Não existe exploit público e nenhum relatório mostra exploração na natureza.

Uma condição de corrida no módulo HTTP/2 do Apache HTTP Server dá a um atacante remoto não autenticado um caminho para executar código em servidores afetados. A vulnerabilidade, rastreada como CVE-2026-119618, afeta o módulo mod_http2 nas versões 2.4.55 até 2.4.70.

De acordo com LavX News, a falha permite que um atacante remoto não autenticado corrompa a memória heap no Apache HTTP Server por meio de uma falha no módulo HTTP/2. Essa corrupção pode levar à execução arbitrária de código com os privilégios do processo do servidor web.

Não existe exploit público, e nenhum relatório mostra exploração na natureza.

Versões afetadas e corrigidas

ProdutoVersões afetadasVersões corrigidas
Apache HTTP Server2.4.55 até 2.4.702.4.71 e mais recentes
Módulo mod_h2 (GitHub)2.0.8 até 2.0.42Versões mais recentes que 2.0.42

Exposição em ambientes de nuvem

Uma instância do Apache comprometida pode dar a um atacante um ponto de apoio dentro de cargas de trabalho contêinerizadas ou virtualizadas. A partir daí, o atacante pode se mover para microsserviços adjacentes ou alcançar endpoints de metadados de nuvem.

Dados de pesquisa mostram a escala da exposição: 64% dos ambientes de nuvem contêm recursos vulneráveis à CVE-2026-119618, e 51% dos ambientes de nuvem executam instâncias expostas publicamente. Esses números não levam em conta detalhes de configuração.

Passos para equipes de segurança

Atualize implantações. Atualize instalações do Apache HTTP Server para a versão 2.4.71 ou posterior. Equipes que gerenciam builds independentes do mod_h2 do GitHub devem atualizar o módulo para uma versão mais recente que 2.0.42.

Desative o HTTP/2 como medida temporária. Se as equipes não puderem aplicar o patch, elas podem remover o vetor de ataque restringindo os servidores ao HTTP/1.1. Edite o arquivo de configuração (como httpd.conf) para remover referências a h2 e h2c:

Restringir protocolos para HTTP/1.1

Protocols http/1.1

Após fazer essa alteração, reinicie o servidor e confirme que os clientes retornam para HTTP/1.1. As equipes devem tratar esta etapa como uma solução temporária e agendar a atualização para uma versão corrigida.

Fonte: Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog, por Merav Bar, wiz.io, Nov 11, 2026

Fontes (em inglês)

Tradução feita com IA do artigo original em inglês, revisada automaticamente para dizer o mesmo que o original. As fontes foram verificadas em inglês.

How do you feel about this story?

Comments 0

No comments yet. Start the discussion.

Condição de corrida no módulo HTTP/2 do Apache HTTP Server permite execução remota de código | Hermes Vector