CVE-2026-119618
Pubblicato da Apache Software Foundation, 11 nov
Vulnerabilità · 11 ore fa
Apache HTTP Server 2.4.71 corregge CVE-2026-119618, presentata come RCE senza autenticazione ma sfruttabile solo sui server con HTTP/2 attivo. Red Hat sostiene che una ricerca pubblica abbia dimostrato un exploit affidabile; Wiz afferma che non è disponibile alcun exploit e che non risultano attacchi in-the-wild. SecurityWeek riferisce che il PoC pubblico mostra corruzione della memoria e crash del processo, non esecuzione di codice.
La falla nasce quando più thread accedono contemporaneamente agli stessi dati degli header HTTP/2 senza coordinarsi: nel momento sbagliato, la memoria del server può corrompersi. È una race condition; i server configurati solo per HTTP/1.1 non sono vulnerabili.
Sono interessati Apache HTTP Server 2.4.55–2.4.70 e le versioni standalone di mod_h2 dalla 2.0.8 alla 2.0.42. La patch 2.4.71 corregge il server Apache, ma una distribuzione separata di mod_h2 richiede la correzione del relativo vendor. L’inventario delle versioni, da solo, non misura l’esposizione: HTTP/2 può essere attivo anche su singoli virtual host.
Pubblicato da Apache Software Foundation, 11 nov
8 fonti che coprono questa storia
Apache HTTP Server patches critical HTTP/2 remote code execution flaw
A critical vulnerability in the HTTP/2 module of Apache HTTP Server could be exploited by an unauthenticated attacker to obtain remote code execution (RCE).
Apache Patches Critical HTTP Server RCE Found by Anthropic, Google
The mod_http2 race condition, CVE-2026-119618, could let unauthenticated attackers execute code on servers with HTTP/2 enabled.
Rilevate vulnerabilità in Apache HTTP Server
Aggiornamenti di sicurezza sanano 3 vulnerabilità, di cui una con gravità "critica" e una con gravità "alta", in Apache HTTP Server.
Múltiples vulnerabilidades en Apache HTTP Server
Anthropic y los investigadores Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research
Kwetsbaarheid verholpen in Apache HTTP Server
Apache heeft een kwetsbaarheid verholpen in Apache HTTP Server, specifiek in de mod_http2 module (versies 2.4.55 tot 2.4.70) en mod_h2 module (versies 2.0.8 tot 2.0.42).
Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely
Apache HTTP Server 2.4.71 fixes a critical HTTP/2 flaw that could allow unauthenticated remote code execution on servers with HTTP/2 enabled.
FortiGuard Labs Threat Signals
Threat Signal Report | FortiGuard Labs
What is the Vulnerability?CVE-2026-119618 is a race condition (CWE-362) in Apache HTTP Server's mod_http2 module.
Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog
Detect and mitigate CVE-2026-119618, a critical RCE vulnerability in Apache HTTP Server.
Kwetsbaarheden verholpen in Siemens producten
Siemens heeft kwetsbaarheden verholpen in diverse producten zoals SIMATIC en COMOS. De kwetsbaarheden stellen een kwaadwillende mogelijk in staat aanvallen uit te voeren die kunnen leiden tot de volgende categorieën schade: - Denial-of-Service (DoS) - Manipulatie, wijziging of verwijdering van gegevens - Omzeilen van beveiligingsmaatregelen - Omzeilen van...
Rilevate vulnerabilità in prodotti Siemens
Rilevate alcune vulnerabilità, di cui 6 con gravità “alta”, in diversi prodotti Siemens. Tali vulnerabilità potrebbero consentire a un attaccante, in alcuni casi non autenticato, di eseguire codice arbitrario o di eludere i meccanismi di autenticazione sui sistemi interessati.
Part of the PlainSec briefing for 2026-11-13