Организацията Apache Software Foundation публикува спешно обновление за критична уязвимост в уеб сървъра Apache HTTP Server, която позволява отдалечено изпълнение на зловреден код (Remote Code Execution, RCE) без нужда от автентикация. Тъй като този софтуер обслужва приблизително един от всеки пет уебсайта в интернет, проблемът засяга широк кръг от уеб платформи, онлайн магазини и фирмени портали на българския пазар.
Какво представлява уязвимостта в Apache HTTP Server
Дефектът се проследява под идентификатор CVE-2026-119618 и се намира в модула mod_http2, който управлява заявките по протокола HTTP/2. По официална информация от Apache става дума за грешка от тип състезание (race condition) и некоректна синхронизация при едновременно изпълнение на нишки във функцията assign_headers(). Липсата на правилна изолация при паралелен достъп до споделени системни ресурси води до повреждане на динамичната памет (heap corruption).
Според изследователите от компанията за сигурност Wiz, това увреждане на паметта може да бъде използвано от външен атакуващ за отдалечено стартиране на произволни команди с правата на потребителя, от чието име работи процесът на уеб сървъра. Уязвимостта е открита паралелно от скенера OSS Scanner на Anthropic (докладвана на 26 октомври) и от изследователите Антъни Уиймс и Саймън Сканел от екипа на Google Cloud (докладвана на 3 ноември).
Кои сървъри и конфигурации са засегнати
Проблемът обхваща основните версии на Apache HTTP Server от 2.4.55 до 2.4.70 включително, както и самостоятелния модул mod_h2 от версия 2.0.8 до 2.0.42. Производителят Red Hat оцени критичността на проблема с CVSS оценка от 9.8 от максимални 10 точки.
За да бъде възможно изпълнението на атаката обаче, съществува важно условие: на сървъра задължително трябва да е включена поддръжката на HTTP/2. Въпреки че по подразбиране в Apache този протокол не е активен, много системни администратори го пускат целенасочено за ускоряване на трафика. Сървъри, които обработват трафик единствено през стандартния протокол HTTP/1.1, не са уязвими към тази уязвимост.
Данните от телеметрията на Wiz сочат, че 64% от анализираните облачни среди съдържат инсталации на засегнатите версии, като повече от половината (51%) са публично достъпни от интернет. От Wiz подчертават, че тези цифри отчитат инсталираната софтуерна версия и не във всички случаи уязвимостта е активирана на ниво конфигурация.
Специалистите по сигурност от Defiant изрично предупреждават, че актуализациите на платформите за управление на съдържание (като WordPress) не могат да неутрализират заплахата. Тъй като уязвимостта е на ниво уеб сървър, защитата трябва да се реализира в операционната система и настройките на самия Apache.
Състояние на експлоатацията и допълнителни корекции
При пускането на новата версия 2.4.71 на 11 ноември Wiz обяви, че няма данни за активни атаки в интернет пространството. В същото време в GitHub вече съществува публично достъпен код за концептуално потвърждение (Proof of Concept, PoC), който показва повреждане на паметта и срив на уеб процеса. Red Hat също съобщава за изследвания, демонстриращи надежден начин за експлоатация срещу сървъри с пуснат mod_http2.
Освен CVE-2026-119618, новата версия 2.4.71 отстранява още два проблема: дефект с нулеви указатели в mod_md (CVE-2026-106023), който може да доведе до спиране на сървъра, и слабост от ниско ниво в mod_vhost_alias (CVE-2026-109163), свързана с презаписване на данни в паметта.
Какво да направите сега: стъпки за защита
Ако поддържате уеб сървъри под Linux или нает виртуален сървър (VPS), експертите от фирмата watchTowr съветват незабавно да обновите софтуера или да изключите модула за HTTP/2 до инсталирането на корекцията.
Установете дали използвате версия на Apache между 2.4.55 и 2.4.70 и проверете конфигурационните файлове за наличието на зареден модул mod_http2 (или протокол h2).
Приложете официалното обновление до Apache HTTP Server 2.4.71 или обновете пакетите през хранилищата на използваната дистрибуция (Red Hat, Ubuntu, Debian).
Ако средата изисква тестване преди ъпгрейд, спрете mod_http2 и оставете уеб сървъра да обслужва единствено протокол HTTP/1.1, което премахва риска от експлоатация.
Препоръки за бизнеса
Уеб сървърите са основен периметър на дигиталната инфраструктура на всяка фирма. Незащитен публичен уеб сървър дава директна възможност на външни нападатели да получат достъп до вътрешните бази данни и приложения. Екипът на Defend.bg може да помогне при инспекцията на сървърната среда, прегледа на настройките за HTTP/2 и сигурното прилагане на софтуерните обновления.
