Lỗ hổng nghiêm trọng trong Apache HTTP/2 có thể cho phép kẻ tấn công chưa xác thực thực thi mã từ xa

Module mod_http2 của Apache HTTP Server đang chứa một lỗ hổng nghiêm trọng, được theo dõi với mã CVE-2026-119618, có thể cho phép kẻ tấn công từ xa chạy mã trên máy chủ. Lỗ hổng ảnh hưởng các phiên bản từ 2.4.55 đến 2.4.70 và đã được khắc phục trong phiên bản 2.4.71 ra mắt hôm qua.

Theo Red Hat, chỉ những máy chủ bật HTTP/2 mới bị ảnh hưởng. Kẻ tấn công chỉ cần tiếp cận được máy chủ là có thể khai thác mà không cần xác thực, và có thể nắm toàn quyền kiểm soát tiến trình máy chủ. Hãng này chấm lỗ hổng 9,8/10 theo thang CVSS.

Mức độ và tình trạng khai thác

Đánh giá của Red Hat công bố hôm qua cũng cho biết nghiên cứu công khai đã chứng minh một cách khai thác đáng tin cậy nhắm vào máy chủ ở cấu hình mặc định có bật mod_http2, nhưng không nêu tên hay dẫn liên kết tới nghiên cứu đó. Cùng ngày, công ty bảo mật Wiz cho biết chưa có mã khai thác sẵn có và chưa ghi nhận trường hợp bị khai thác ngoài thực tế.

HTTP/2 chỉ chạy khi chỉ thị Protocols bật nó lên: dùng h2 cho HTTP/2 qua TLS và h2c cho HTTP/2 qua TCP thường. Chỉ thị này có thể đặt cho toàn máy chủ hoặc cho từng virtual host, nên quản trị viên cần kiểm tra cả cấu hình chung lẫn từng virtual host.

Phạm vi ảnh hưởng và bản vá

Các bản dựng độc lập của module, phát hành trên GitHub với tên mod_h2, bị ảnh hưởng từ phiên bản 2.0.8 đến 2.0.42. Quản trị viên dùng bản phát hành chính thức của dự án Apache HTTP Server nên nâng lên phiên bản 2.4.71. Bản này cũng sửa một lỗi gây sập trong mod_md (mức quan trọng) và một lỗi ghi đè một byte bộ nhớ stack trong mod_vhost_alias (mức thấp).

Các bản phân phối Linux đóng gói bản dựng riêng với số phiên bản gói riêng. Trên Red Hat Enterprise Linux 9, bản vá có dạng mod_http2-2.0.26-7.el9_9.1. Red Hat đã phát hành bản vá cho RHEL 9 và 10 hôm qua, xếp lỗ hổng ở mức Important thay vì Critical, vì gói mod_http2 của họ cấp bộ cấp phát bộ nhớ riêng cho từng luồng HTTP/2, khiến việc tấn công khó hơn nhiều. RHEL 8 và các bản cũ hơn không chứa đoạn mã dễ bị tổn thương.

Khuyến nghị xử lý

Khuyến cáo của Apache HTTP Server không đưa ra cách xử lý tạm thời. Trong phân tích của mình, Wiz khuyên quản trị viên chưa thể cập nhật nên loại bỏ h2 và h2c khỏi chỉ thị Protocols, chỉ giữ lại Protocols http/1.1. Cách này cũng áp dụng cho máy chủ dùng các bản dựng độc lập mod_h2.

Dự án mod_h2 độc lập đến nay chưa phát hành bản vá. Danh sách phát hành trên GitHub dừng ở 2.0.42, phiên bản cuối cùng bị ảnh hưởng, và kho mã đã chuyển sang chế độ chỉ đọc từ ngày 9/6.

Lỗ hổng được báo cáo ngày 26/10 bởi OSS Scanner của Anthropic, dịch vụ quét miễn phí cho dự án mã nguồn mở dùng mô hình AI của công ty. Anthony Weems và Simon Scannell thuộc Google Cloud Vulnerability Research báo cáo vấn đề này vào tuần trước.

Trước đó, lỗ hổng HTTP/2 CVE-2026-23918 đã được vá trong phiên bản 2.4.67 phát hành ngày 4/5. Những máy chủ đã cập nhật lên bản đó, hoặc bất kỳ bản nào sau đó đến 2.4.70, vẫn chạy phiên bản bị ảnh hưởng bởi lỗ hổng mới này.

Nguồn: The Hacker News