Apache corrige falha crítica que pode permitir invasão remota de servidores sem senha

Uma vulnerabilidade crítica no módulo HTTP/2 do Apache HTTP Server pode permitir que invasores executem códigos remotamente em servidores vulneráveis, sem necessidade de autenticação. Identificada como CVE-2026-119618, a falha afeta as versões 2.4.55 até 2.4.70 e foi corrigida na versão 2.4.71, lançada em 11 de novembro de 2026.

O problema está localizado no módulo mod_http2 e afeta exclusivamente servidores com o protocolo HTTP/2 habilitado. Segundo a Red Hat, um invasor com acesso à rede do servidor pode explorar a vulnerabilidade para executar código e potencialmente assumir o controle completo do processo do Apache.

A falha recebeu pontuação CVSS 9.8 de 10, classificação que indica gravidade crítica devido à possibilidade de exploração remota, sem autenticação ou privilégios prévios.

Exploração e divergências sobre a disponibilidade de ataques

Em sua avaliação de segurança, publicada em 11 de novembro, a Red Hat afirmou que pesquisas públicas demonstraram a existência de um exploit confiável contra servidores com configurações padrão e o módulo mod_http2 habilitado.

Entretanto, a empresa não identificou nem disponibilizou referências para essas pesquisas.

No mesmo dia, a empresa de segurança Wiz apresentou uma avaliação diferente, informando que não havia exploits disponíveis publicamente nem registros de exploração ativa da vulnerabilidade.

Até o momento, portanto, as informações divulgadas não confirmam ataques reais utilizando a CVE-2026-119618, embora a possibilidade de execução remota de código represente um risco significativo para ambientes vulneráveis.

Quais servidores estão vulneráveis?

A vulnerabilidade depende da ativação do HTTP/2 por meio da diretiva Protocols, utilizada na configuração do Apache.

O protocolo pode ser habilitado de duas maneiras:

• h2: HTTP/2 sobre conexões criptografadas com TLS.

• h2c: HTTP/2 sobre conexões TCP sem TLS.

Como essa configuração pode ser aplicada globalmente ou individualmente a hosts virtuais, os administradores precisam verificar tanto as configurações gerais quanto as de cada virtual host.

Versões independentes do módulo, distribuídas pelo projeto mod_h2, também estão vulneráveis, especificamente da 2.0.8 até a 2.0.42.

Atualizações disponíveis para Apache, Red Hat e Debian

O projeto Apache disponibilizou a versão 2.4.71 para corrigir a CVE-2026-119618. A atualização também resolve duas outras vulnerabilidades: uma falha de travamento no módulo mod_md, classificada como importante, e uma sobrescrita de um byte na memória de pilha do mod_vhost_alias, considerada de baixa gravidade.

A disponibilidade das correções varia conforme a distribuição Linux, já que cada fornecedor mantém seus próprios pacotes e numerações.

Plataforma	Situação	Versão corrigida
Apache HTTP Server	Corrigido	2.4.71
Red Hat Enterprise Linux 9	Corrigido	mod_http2-2.0.26-7.el9_9.1
Red Hat Enterprise Linux 10	Corrigido	mod_http2-2.0.29-5.el10_3.1
RHEL 9.4 SAP e versões 9.6, 9.8, 10.0 e 10.2 com suporte estendido	Corrigido	Conforme boletins da Red Hat
RHEL 6, 7 e 8	Não afetado	Não necessário
Red Hat JBoss Core Services e Hardened Images	Afetado	Sem correção informada
Debian unstable (sid)	Corrigido	apache2 2.4.71-1
Debian bookworm, trixie e forky	Vulnerável	Sem correção informada
Amazon Linux 2, 2023 e 2027 Preview	Correção pendente	Não disponível
Ubuntu	Situação não informada	Não disponível

Embora a vulnerabilidade tenha classificação CVSS 9.8, a Red Hat considera sua gravidade importante, e não crítica, no RHEL 9 e 10.

Segundo a empresa, os pacotes mod_http2 dessas versões utilizam um alocador de memória independente para cada fluxo HTTP/2, mecanismo que dificulta significativamente a exploração.

O RHEL 8 e as versões anteriores não possuem o código vulnerável.

Como reduzir os riscos enquanto a atualização não está disponível

O comunicado oficial do Apache não apresenta uma solução alternativa específica. Entretanto, a Wiz recomenda desabilitar temporariamente o HTTP/2 nos servidores que ainda não podem receber a atualização.

A mitigação consiste em remover h2 e h2c da diretiva Protocols, mantendo apenas:

Protocols http/1.1

Essa alteração impede o uso de HTTP/2 nas configurações afetadas, mantendo o servidor operando com HTTP/1.1.

A medida também se aplica às instalações que utilizam versões independentes do mod_h2. O projeto ainda não disponibilizou uma versão corrigida, e seu repositório no GitHub permanece arquivado e somente para leitura desde 9 de junho de 2026.

A última versão publicada, 2.0.42, continua vulnerável.

Vulnerabilidade foi identificada com auxílio de inteligência artificial

A CVE-2026-119618 foi reportada inicialmente em 26 de outubro pelo OSS Scanner, da Anthropic, serviço gratuito de análise de segurança para projetos de código aberto que utiliza modelos de inteligência artificial da empresa.

Os pesquisadores Anthony Weems e Simon Scannell, da equipe Google Cloud Vulnerability Research, também reportaram a vulnerabilidade na semana anterior à divulgação da correção.

O Apache já havia corrigido outra vulnerabilidade relacionada ao HTTP/2, identificada como CVE-2026-23918, na versão 2.4.67, lançada em 4 de maio.

Entretanto, servidores atualizados para essa versão, ou para qualquer outra até a 2.4.70, continuam vulneráveis à CVE-2026-119618.

Para administradores que utilizam versões oficiais do Apache HTTP Server, a recomendação é atualizar para a 2.4.71. Em distribuições Linux que mantêm pacotes próprios, é necessário acompanhar os boletins de segurança dos respectivos fornecedores e aplicar as correções disponibilizadas.