Apache HTTP Server 2.4.71 opravuje kritickou chybu v mod_http2, která může vést ke spuštění kódu

Co se stalo

Projekt Apache HTTP Server (httpd) vydal 11. listopadu 2026 verzi 2.4.71. Podle bezpečnostní stránky projektu opravuje tři chyby: jednu kritickou, jednu důležitou a jednu s nízkou závažností. Nejvážnější je CVE-2026-119618 v modulu mod_http2, který v Apachi obsluhuje protokol HTTP/2. Apache ji popisuje jako „poškození haldy a RCE v assign_headers“, tedy chybu, která může útočníkovi umožnit spustit na serveru vlastní kód.

Oznámení ve stejný den rozeslal do konference oss-security Eric Covener z Apache. Záznam v NVD vyšel 11. 11. 2026 odpoledne, zatím bez skóre CVSS. Apache chybu hodnotí vlastní stupnicí jako kritickou (critical).

Chybu nahlásily dva týmy nezávisle na sobě: skener open source od Anthropicu (26. 10. 2026) a Anthony Weems a Simon Scannell z Google Cloud Vulnerability Research (3. 11. 2026). Oprava vyšla dva týdny po prvním hlášení.

Technické podrobnosti

Chyba je ve funkci assign_headers() modulu mod_http2. Apache ji řadí do kategorie souběhu – „souběžné spuštění se sdíleným prostředkem bez správné synchronizace“ (CWE-362). HTTP/2 přenáší přes jedno spojení více požadavků najednou a Apache je zpracovává ve více vláknech. Když dvě vlákna sahají na stejná data bez správného zamykání, může se poškodit paměť na haldě. Takové poškození podle Apache může vést ke vzdálenému spuštění kódu s oprávněním pracovního procesu httpd.

Apache ani NVD další podrobnosti, podmínky zneužití nebo ukázkový kód nezveřejnily. Popis chyby nezmiňuje potřebu přihlášení – útočník podle všeho potřebuje jen navázat se serverem spojení přes HTTP/2. Spolehlivé zneužití souběhu bývá obtížnější než u běžného přetečení, na to se ale nespoléhejte.

Verze 2.4.71 opravuje i dvě další chyby:

Koho se to týká

• Apache HTTP Server 2.4.55 až 2.4.70, který má načtený modul mod_http2 a HTTP/2 povolené v direktivě Protocols (h2 pro HTTPS, h2c pro nešifrované HTTP).
• Samostatný modul mod_h2 z GitHubu ve verzích 2.0.8 až 2.0.42. Ve které verzi mod_h2 je oprava, Apache na bezpečnostní stránce neuvádí.

Výchozí hodnota Protocols je podle dokumentace Apache jen http/1.1, HTTP/2 se tedy musí zapnout. Konfigurace distribucí, ovládacích panelů a hostingů to ale často dělají. Zda je váš server dotčený, zjistíte takto (na Debianu a Ubuntu apache2ctl, jinde apachectl nebo httpd):

apache2ctl -v                      # verze serveru
apache2ctl -M | grep -i http2      # je načtený http2_module?
grep -Rni "^\s*Protocols" /etc/apache2/ /etc/httpd/ 2>/dev/null

Server je zranitelný, když má verzi 2.4.55 až 2.4.70, načtený http2_module a někde v konfiguraci Protocols s h2 nebo h2c. U balíčků z distribuce rozhoduje jejich bezpečnostní oznámení, ne samotné číslo verze. Debian Security Tracker k 12. 11. 2026 vede jako opravenou jen větev sid (2.4.71-1); bookworm, trixie i forky jsou zatím zranitelné.

Jak poznat napadení

Apache indikátory napadení nezveřejnil a o zneužívání nepíše. Pár našich tipů z praxe:

• V error_log sledujte neobvyklé pády pracovních procesů (zprávy typu AH00052: child pid … exit signal Segmentation fault), hlavně opakované a ve spojení s provozem HTTP/2. Poškození haldy se často projeví nejdřív pádem.
• Hledejte nové procesy spuštěné pod uživatelem webového serveru (www-data, apache), neznámé soubory v adresářích, kam smí zapisovat, a nová odchozí spojení ze serveru.
• Podezřelé IP adresy a domény z logů rychle vytáhnete naším extraktorem IOC – běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte na Apache HTTP Server 2.4.71, nebo nainstalujte opravený balíček, jakmile ho vaše distribuce vydá. Po aktualizaci server restartujte (systemctl restart apache2 nebo httpd) a ověřte verzi.
2. Pokud oprava ještě není k dispozici, zvažte dočasné vypnutí HTTP/2. V konfiguraci změňte Protocols h2 http/1.1 na Protocols http/1.1 (odeberte i h2c), nebo na Debianu a Ubuntu modul vypněte příkazem a2dismod http2. Pak apache2ctl configtest a restart. Web poběží dál přes HTTP/1.1. Toto opatření je naše odvození z toho, že chyba je v mod_http2 – Apache dočasné řešení neuvádí.
3. Projděte proxy a load balancery. Pokud před Apachem stojí nginx, HAProxy nebo CDN a s Apachem mluví přes HTTP/2 (h2 nebo h2c), je Apache dál vystavený. Ověřte i to, zda se k němu nedá připojit napřímo z internetu.
4. Při aktualizaci počítejte i s opravou CVE-2026-106023 v mod_md (automatické certifikáty Let's Encrypt a jiných ACME autorit) – chyba způsobí pád procesu.
5. Webové servery jsou častým cílem i v Česku a na Slovensku. Pokud najdete známky napadení, server odpojte, zajistěte logy a incident nahlaste NÚKIB (na Slovensku SK-CERT).

Časová osa

Aktualizace

• 12. 11. 2026 – první verze článku.