Lỗ hổng nghiêm trọng trong Apache HTTP/2 cho phép thực thi mã từ xa

Một lỗ hổng nghiêm trọng trong module mod_http2 của Apache HTTP/2 có thể cho phép kẻ tấn công không xác thực thực thi mã từ xa. Lỗ hổng này xuất hiện từ phiên bản 2.4.55 đến 2.4.70 của Apache HTTP Server và phiên bản 2.0.8 đến 2.0.42 của mod_h2. Apache đã phát hành phiên bản 2.4.71 để sửa lỗi này.

C(IT-Connect · Cybersécurité (Pháp)Biên tập & Phân tích

lúc 02:40 Thứ Sáu, 13 tháng 11, 20260 lượt xem

Lỗ hổng nghiêm trọng trong Apache HTTP/2 cho phép thực thi mã từ xa

Nội dung chính

Lỗ hổng CVE-2026-119618 nằm trong module mod_http2 và có thể cho phép thực thi mã từ xa.
Lỗ hổng xuất hiện từ phiên bản 2.4.55 đến 2.4.70 của Apache HTTP Server và phiên bản 2.0.8 đến 2.0.42 của mod_h2.
Apache đã phát hành phiên bản 2.4.71 để sửa lỗi này.
Kẻ tấn công không xác thực có thể thực thi mã từ xa với quyền của quá trình server Web.

Chi tiết sự việc

serveur Apache hoạt động với HTTP/2? Một lỗ hổng nghiêm trọng trong mod_http2 cho phép kẻ tấn công không xác thực thực thi mã từ xa. Apache HTTP Server 2.4.71 đã được phát hành ngày 11/11/2026 để sửa chữa vấn đề này, nhưng ai có thể tận dụng nó?

Lỗ hổng này nằm trong hàm assign_headers() của mod_http2 và liên quan đến một tình trạng cạnh tranh: nhiều quá trình đồng thời thay đổi cùng một vùng nhớ mà không phối hợp. Theo Wiz, kẻ tấn công từ xa có thể làm hỏng vùng nhớ để thực thi mã với quyền của quá trình server web.

Tất cả các phiên bản từ 2.4.55 (tháng 1/2023) đến 2.4.70 và 2.0.8 đến 2.0.42 của mod_h2 đều bị ảnh hưởng. Để server bị tấn công, mod_http2 phải được kích hoạt và HTTP/2 phải được bật qua directive Protocols với giá trị h2 (HTTP/2 trên TLS) hoặc h2c (HTTP/2 không TLS).

Lỗ hổng này đã được phát hiện bởi OSS Scanner của Anthropic vào ngày 26/10/2026, và được Google Cloud Vulnerability Research báo cáo độc lập vào ngày 3/11/2026. Điều này cho thấy lỗ hổng này có thể sẽ được phát hiện!

Red Hat cho biết các nghiên cứu công khai đã chứng minh một exploit có thể hoạt động, nhưng không cung cấp chi tiết. Wiz lại cho biết không có exploit nào được công bố và không có hoạt động nào được báo cáo. Mới đây, một PoC đã được đăng tải trên GitHub, cho thấy việc làm hỏng vùng nhớ trên phiên bản 2.4.70, nhưng không thể thực thi mã.

Để bảo vệ khỏi CVE-2026-119618, bạn cần cập nhật lên Apache HTTP Server 2.4.71 hoặc một gói tích hợp fix. Trong thực tế, bạn phụ thuộc vào phân phối của mình và việc cung cấp gói này: Red Hat Enterprise Linux 9 và 10 có các gói mod_http2-2.0.26-7.el9_9.1 và mod_http2-2.0.29-5.el10_3.1. Debian Bookworm, Trixie và Forky đều có fix trong Security Repository. Amazon Linux đang chờ fix cho Amazon Linux 2, 2023 và 2027 Preview. Ubuntu chưa có trang theo dõi cho CVE này.

Để kiểm tra, bạn có thể sử dụng lệnh sudo apachectl -M | grep -w http2_module để xem mod_http2 có được kích hoạt hay không, và sử dụng grep -Rni "Protocols" /etc/apache2/ /etc/httpd/ 2>/dev/null để tìm tất cả các hướng dẫn Protocols. Sau đó, bạn cần xóa h2 và h2c từ mỗi hướng dẫn này.

Bạn cũng có thể vô hiệu hóa module HTTP/2 trực tiếp để không tải nó, bằng cách sử dụng a2dismod http2 dưới Debian và Ubuntu. Các khách hàng sẽ chuyển sang HTTP/1.1, một giải pháp chấp nhận được trong thời gian vá lỗi, ngay cả khi hiện tại chưa có dấu hiệu nào cho thấy lỗ hổng này đã được khai thác.

Đây cũng là cơ hội để nhắc lại các lỗ hổng đã được vá trong Apache2 trước đây và gần đây:

Tháng 5/2026: Lỗ hổng CVE-2026-23918 cho phép gây ra tấn công từ chối dịch vụ chỉ với hai gói tin đơn giản. Thậm chí, nếu bạn đã cài đặt phiên bản 2.4.67 vào thời điểm đó, bạn không nên yên tâm: các phiên bản từ 2.4.67 đến 2.4.70 đều bị ảnh hưởng bởi lỗ hổng mới này.

Tháng 6/2026: Tấn công HTTP/2 Bomb, có khả năng làm đầy bộ nhớ RAM của máy chủ NGINX, Apache hoặc IIS chỉ trong vòng một phút.

Lỗ hổng zero-day mới

SignDrop: Đây là lỗ hổng zero-day mới cho phép đánh lừa bảo vệ CLFS của Windows để đạt được quyền SYSTEM.

Khuyến nghị

Cập nhật Apache HTTP Server lên phiên bản 2.4.71.
Dừng sử dụng HTTP/2 cho đến khi có bản vá.
Kiểm tra và xóa bỏ module mod_http2 nếu không cần thiết.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn IT-Connect · Cybersécurité (Pháp). Vui lòng đối chiếu bài gốc trước khi sử dụng.

🛡️ Thông tin lỗ hổng liên quan (1)

Tổng hợp tự động từ MITRE CVE · NIST NVD · FIRST EPSS · CISA KEV · dịch bằng AI

CVE-2026-119618Chưa có CVSSEPSS 0.41% · top 64%Chưa có trong KEVCWE-362

Apache HTTP Server: mod_http2: lỗi xâm nhập mã nguồn từ xa và hỏng bộ đệm trong assign_headers

Vulnerability trong việc thực thi đồng thời sử dụng tài nguyên chia sẻ mà không có đồng bộ hóa đúng trong hàm assign_headers() của mod_http2 trong Apache HTTP Server có thể dẫn đến RCE (Remote Code Execution). Vấn đề này ảnh hưởng đến Apache HTTP Server từ phiên bản 2.4.55 đến 2.4.70. Các phiên bản của mod_h2 từ GitHub từ 2.0.8 đến 2.0.42 cũng bị ảnh hưởng.

CNA cấp mã: apache · Loại lỗi: CWE-362

Sản phẩm bị ảnh hưởng: Apache Software Foundation Apache HTTP Server (2.4.55 → ≤ 2.4.70)

Tham chiếu:httpd.apache.org (khuyến cáo)

Hồ sơ CVE NVD ↗CVE.org ↗Tin liên quan