Apache HTTP Server administratoriem jāreaģē uz kritisku attālinātas koda izpildes ievainojamību CVE-2026-119618, kurai norādīts CVSS vērtējums 9,8. Problēma skar HTTP/2 moduli mod_http2 un var ļaut uzbrucējam bez autentifikācijas attālināti izpildīt patvaļīgas komandas serverī. Tas nozīmē, ka veiksmīga uzbrukuma gadījumā var tikt apdraudēta tīmekļa vietne, uz servera glabātie dati un citi tās pašas infrastruktūras resursi. Īpaša uzmanība jāpievērš publiski sasniedzamiem serveriem, kuros iespējots HTTP/2 protokols h2 vai h2c.
Par ievainojamām norādītas Apache HTTP Server versijas no 2.4.55 līdz 2.4.70, kā arī atsevišķi izplatītās mod_h2 moduļa versijas no 2.0.8 līdz 2.0.42. Organizācijām vispirms jāizveido pilns izmantoto Apache instalāciju saraksts un jāpārbauda ne tikai galvenā servera versija, bet arī moduļu komplektācija un HTTP/2 konfigurācija. Pārbaude jāveic gan ražošanas, gan testa, rezerves un reti izmantotās vidēs, jo novecojusi publiski pieejama sistēma var kļūt par sākuma punktu tālākam uzbrukumam.
Ieteicamais risinājums ir pēc iespējas ātrāk uzstādīt Apache HTTP Server 2.4.71 vai jaunāku laidienu. Pirms izmaiņu ieviešanas vēlams pārbaudīt lietotņu saderību, izveidot konfigurācijas rezerves kopiju un plānot kontrolētu pakalpojuma pārstartēšanu. Pēc atjaunināšanas jāpārliecinās, ka darbojas paredzētā binārā versija un ir ielādēts labotais mod_http2 modulis. Ja tūlītēja atjaunināšana nav iespējama, kā pagaidu riska mazināšanas pasākumu var izvērtēt HTTP/2 atspējošanu, taču šāda izmaiņa vispirms jāpārbauda, un tā neaizstāj drošības labojuma uzstādīšanu.
Linux distribūciju lietotājiem nevajadzētu paļauties tikai uz redzamo Apache versijas numuru. Debian, Ubuntu, Red Hat un citi uzturētāji drošības labojumus mēdz pārnest uz savām pakotnēm, saglabājot vecāku bāzes versijas apzīmējumu. Tādēļ jāizlasa konkrētā distribūcijas drošības paziņojums un jāpārbauda instalētās pakotnes pilnais laidiena numurs un atjauninājuma statuss. Vienlaikus ieteicams pārskatīt tīmekļa servera žurnālus, pievērst uzmanību neparastiem HTTP/2 pieprasījumiem, negaidīti palaistiem procesiem un izmaiņām failos. Ja ir aizdomas par kompromitēšanu, sistēmu jāizolē un jāveic incidenta izmeklēšana, neaprobežojoties ar atjauninājuma uzstādīšanu.
CVE papildinformācija
CVE-2026-119618 apraksta kritisku Apache HTTP Server mod_http2 ievainojamību, kas ietekmē serverus ar iespējotu HTTP/2 un var radīt neautentificētas attālinātas koda izpildes risku. Skartais produkts ir Apache HTTP Server, tostarp norādītās 2.4.55–2.4.70 versijas un atsevišķi izplatītā mod_h2 moduļa laidieni 2.0.8–2.0.42. Oficiālais CVE ieraksts: CVE-2026-119618.
Avots: cert.lv raksts · X ieraksts
