Múltiples vulnerabilidades trong Apache HTTP Server được khai thác

Apache HTTP Server 2.4.55 đến 2.4.70 với mod_http2, 2.0.8 đến 2.0.42 của mod_h2, 2.4.30 đến 2.4.70 với mod_md, và 2.4.69, 2.4.70 với mod_vhost_alias đều có lỗ hổng. Lỗ hổng CVE-2026-119618 có thể cho phép thực thi mã remoto. Apache HTTP Server 2.4.71 đã vá 3 lỗ hổng, trong đó có 1 lỗ hổng nghiêm trọng.

Nội dung chính

• Apache HTTP Server 2.4.55 đến 2.4.70 với mod_http2
• 2.0.8 đến 2.0.42 của mod_h2
• 2.4.30 đến 2.4.70 với mod_md
• 2.4.69, 2.4.70 với mod_vhost_alias
• Lỗ hổng CVE-2026-119618 có thể thực thi mã remoto

Chi tiết sự việc

Các nhà nghiên cứu Anthropic, Anthony Weems và Simon Scannell từ Google Cloud Vulnerability Research đã báo cáo lỗ hổng có thể cho phép thực thi mã remoto trong Apache HTTP Server.

Lỗ hổng được vá trong phiên bản 2.4.71, trong đó có 1 lỗ hổng nghiêm trọng, 1 lỗ hổng cao và 1 lỗ hổng thấp.

Apache HTTP Server 2.4.55 đến 2.4.70 với mod_http2, 2.0.8 đến 2.0.42 của mod_h2, 2.4.30 đến 2.4.70 với mod_md, và 2.4.69, 2.4.70 với mod_vhost_alias đều có lỗ hổng.

Lỗ hổng CVE-2026-119618 do không đồng bộ hóa đủ khi truy cập vào các tài nguyên chia sẻ trong hàm assign_headers() của mod_http2 có thể gây thay đổi không mong muốn và cho phép thực thi mã remoto.

Nguy cơ này ảnh hưởng đến các tổ chức sử dụng Apache HTTP Server với các module trên.

Các tổ chức nên cập nhật Apache HTTP Server lên phiên bản 2.4.71 hoặc sau. Đối với các hệ thống sử dụng mod_h2 độc lập, cần cập nhật từ nhà cung cấp để bao gồm sửa chữa CVE-2026-119618.

Ngoài ra, cần tham khảo thông tin bảo mật từ Apache HTTP Server.

Khuyến nghị

• Cập nhật Apache HTTP Server lên phiên bản 2.4.71 hoặc sau.
• Nếu sử dụng mod_h2 độc lập, cập nhật từ nhà cung cấp để bao gồm sửa chữa CVE-2026-119618.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn INCIBE-CERT (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.