یک آسیب‌پذیری بحرانی در ماژول HTTP/2 سرور HTTP Apache می‌تواند توسط یک مهاجم غیرمجاز برای اجرای کد از راه دور (RCE) مورد سوءاستفاده قرار گیرد.
شرکت نرم افزاری Apache این مشکل را که اکنون با شناسه CVE-2026-119618 ردیابی می‌شود، برطرف کرده است، اما تعداد قابل توجهی از سرورها آسیب‌پذیر و از طریق اینترنت عمومی قابل دسترسی هستند.
این آسیب‌پذیری که توسط تیم‌های اسکنر OSS شرکت Anthropic و تحقیقات آسیب‌پذیری گوگل کلود کشف شده است، یک وضعیت رقابتی در ماژول mod_http2 است که می‌تواند حافظه heap را خراب کند.
مهاجمی که با موفقیت از آن سوءاستفاده کند، می‌تواند کدی را با امتیازات فرآیند وب سرور در نسخه‌های HTTP Server 2.4.55 تا 2.4.70 و mod_h2 مستقل نسخه‌های 2.0.8 تا 2.0.42 اجرا کند.
سرور HTTP آپاچی یک نرم‌افزار رایگان و متن‌باز است که درخواست‌های مرورگرهای وب را مدیریت می‌کند و صفحات، تصاویر و سایر محتوای وب‌سایت را ارائه می‌دهد. این ابزاری پرکاربرد است که تخمین زده می‌شود تقریباً از هر پنج وب‌سایت، یک وب‌سایت را پشتیبانی می‌کند.
طبق داده‌های تله‌متری از شرکت امنیت ابری Wiz، 64٪ از محیط‌های ابری دارای منابع آسیب‌پذیر هستند و تقریباً نیمی از آنها نمونه‌های در معرض دید عموم دارند.
با این حال، این اعداد پیکربندی سرور را در نظر نمی‌گیرند، که نیاز به فعال بودن HTTP/2 دارد (پیش‌فرض خاموش است).
محققان شرکت امنیت سایبری watchTowr این وضعیت را تأیید کردند و به ادمین ها توصیه می‌کنند که در اولین فرصت وصله را نصب کرده یا تا زمانی که امکان نصب وصله ها نیست، می‌توانند h2 را حذف کنند.
به دلیل همگام‌سازی نامناسب هنگام اجرای منابع اشتراک‌گذاری شده توسط threads همزمان، یک مهاجم می‌تواند باعث ایجاد heap corruption شود. این اتفاق در نهایت می‌تواند برای دستیابی به RCE در سرور میزبان مورد استفاده قرار گیرد و به مهاجم غیرمجاز اجازه دهد تا دستورات دلخواه را با امتیازات فرآیند وب سرور اجرا کند.
آخرین نسخه Apache HTTP Server همچنین دو نقص اضافی، CVE-2026-106023 – یک null pointer dereference در «mod_md» و CVE-2026-109163 – یک نقص data overwrite با شدت کم در «mod_vhost_alias» را برطرف می‌کند.
منبع: