La RCE contestata in Apache richiede HTTP/2 attivo
Apache HTTP Server 2.4.71 corregge CVE-2026-119618, presentata come RCE senza autenticazione ma sfruttabile solo sui server con HTTP/2 attivo. Red Hat sostiene che una ricerca pubblica abbia dimostrato un exploit affidabile; Wiz afferma che non è disponibile alcun exploit e che non risultano attacchi in-the-wild. SecurityWeek riferisce che il PoC pubblico mostra corruzione della memoria e crash del processo, non esecuzione di codice.
La falla nasce quando più thread accedono contemporaneamente agli stessi dati degli header HTTP/2 senza coordinarsi: nel momento sbagliato, la memoria del server può corrompersi. È una race condition; i server configurati solo per HTTP/1.1 non sono vulnerabili.
Sono interessati Apache HTTP Server 2.4.55–2.4.70 e le versioni standalone di mod_h2 dalla 2.0.8 alla 2.0.42. La patch 2.4.71 corregge il server Apache, ma una distribuzione separata di mod_h2 richiede la correzione del relativo vendor. L’inventario delle versioni, da solo, non misura l’esposizione: HTTP/2 può essere attivo anche su singoli virtual host.
Apache HTTP Server patches critical HTTP/2 remote code execution flaw
A critical vulnerability in the HTTP/2 module of Apache HTTP Server could be exploited by an unauthenticated attacker to obtain remote code execution (RCE).