Apache HTTP Server 2.4.71 corregge una falla critica in mod_http2
Chi gestisce un server con Apache HTTP Server dalla 2.4.55 alla 2.4.70 deve aggiornare alla 2.4.71. La release, uscita l’11 novembre 2026, corregge CVE-2026-119618, una falla classificata critica in mod_http2 che può portare a esecuzione di codice da remoto. Secondo la pagina ufficiale delle vulnerabilità di Apache httpd 2.4, la stessa versione corregge anche altre due falle: una importante in mod_md e una di gravità bassa in mod_vhost_alias.
Chi è esposto e cosa fare
Apache indica come interessate le versioni dalla 2.4.55 alla 2.4.70. È coinvolto anche mod_h2 distribuito da GitHub, nelle versioni dalla 2.0.8 alla 2.0.42.
Per sapere se sei esposto, controlla la versione di httpd: se rientra nell’intervallo, la correzione è la 2.4.71. La pagina non descrive workaround, condizioni di configurazione necessarie né se la falla sia già sfruttata.
La falla: cosa permette a chi attacca
CVE-2026-119618 è definita da Apache come una vulnerabilità di esecuzione concorrente con risorsa condivisa e sincronizzazione impropria. Si trova nella funzione assign_headers() di mod_http2 e provoca una corruzione dell’heap, che può portare a esecuzione di codice da remoto (RCE). Apache le assegna gravità critica.
La pagina non dà altri dettagli tecnici su come la falla venga attivata.
Versioni vulnerabili e corrette
| CVE | Gravità | Modulo | Versioni colpite | Corretta in |
|---|---|---|---|---|
| CVE-2026-119618 | critica | mod_http2 | 2.4.55–2.4.70 (mod_h2 da GitHub: 2.0.8–2.0.42) | 2.4.71 |
| CVE-2026-106023 | importante | mod_md | 2.4.30–2.4.70 | 2.4.71 |
| CVE-2026-109163 | bassa | mod_vhost_alias | 2.4.69 e 2.4.70 | 2.4.71 |
Le altre due correzioni della 2.4.71 e il precedente della 2.4.69
- CVE-2026-106023 è un dereferenziamento di puntatore NULL in mod_md durante l’elaborazione di richieste HTTP e provoca il crash del processo figlio. È stata segnalata il 29 settembre 2026 da hexb1n, Yang Song e JiaSheng He (360 Vulnerability Research Institute, con 360 TuLongFeng), da Lucian Nitescu e da Bartlomiej Dmitruk di striga.ai.
- CVE-2026-109163 è una sovrascrittura di 1 byte nello stack in mod_vhost_alias, che Apache collega a CVE-2026-63292 e che riguarda solo la 2.4.69 e la 2.4.70. È stata segnalata il 5 ottobre 2026 da cinque ricercatori, fra cui Gustavo Aiello e Wojciech Tatarski di CloudLinux/TuxCare.
- La 2.4.69, uscita il 1° ottobre 2026, aveva già corretto CVE-2026-57941, un use-after-free in mod_http2 di gravità moderata, e CVE-2026-63292 in mod_vhost_alias. Quest’ultima richiede un header Host oltre 8192 byte, VirtualDocumentRoot con uno specificatore di hostname e LimitRequestFieldSize alzato oltre il valore predefinito.
Chi l’ha scoperta e quando
Secondo Apache, CVE-2026-119618 è stata trovata dall’OSS Scanner di Anthropic, registrata come ANT-2026-MAPKT6MZ, e da Anthony Weems e Simon Scannell di Google Cloud Vulnerability Research.
Anthropic l’ha segnalata al security team il 26 ottobre 2026, Google il 3 novembre 2026. La correzione è entrata nel ramo 2.4.x l’11 novembre 2026, lo stesso giorno della release 2.4.71.
