Kritická chyba v module HTTP/2 webového servera Apache môže umožniť spustenie k…

Čo sa stalo

Projekt Apache HTTP Server vydal 11. novembra 2026 verziu 2.4.71, ktorá opravuje chybu CVE-2026-119618. Chyba je v module mod_http2, ktorý zabezpečuje komunikáciu cez protokol HTTP/2, konkrétne vo funkcii assign_headers(). Bezpečnostný tím Apache ju označil za kritickú a uvádza, že môže viesť k vzdialenému spusteniu kódu.

Chybu 26. októbra 2026 nahlásil Anthropic OSS Scanner, bezplatná služba, ktorá pomocou AI modelov firmy Anthropic preveruje open-source projekty. Nezávisle od neho na ňu 3. novembra 2026 upozornili aj Anthony Weems a Simon Scannell z tímu Google Cloud Vulnerability Research.

Zneužívanie v praxi zatiaľ nikto nepotvrdil. Chyba nie je v katalógu CISA KEV a európska databáza zraniteľností EUVD (záznam EUVD-2026-123532) neuvádza, že by sa zneužívala. Podľa The Hacker News bezpečnostná firma Wiz 11. novembra uviedla, že funkčný útočný kód nie je dostupný a o útokoch nevie. Red Hat však vo svojom hodnotení píše, že verejný výskum ukázal spoľahlivý spôsob zneužitia na serveri v predvolenej konfigurácii so zapnutým mod_http2, tento výskum ale nemenuje.

Prečo je to nebezpečné

Ide o takzvaný súbeh (race condition, CWE-362). Server vybavuje veľa vecí naraz a dve časti programu pracujú s tou istou pamäťou bez poriadneho zosúladenia. Predstavte si dvoch úradníkov, ktorí naraz vypĺňajú ten istý formulár: každý prepíše kus toho, čo napísal druhý, a výsledok je nezmysel. Tu sa takto poškodí pamäť servera (Apache hovorí o poškodení haldy) a útočník môže takéto poškodenie premeniť na spustenie vlastného kódu.

Podľa Red Hatu, ktorý Apache dodáva v rámci Red Hat Enterprise Linux, útočník nepotrebuje žiadne prihlásenie. Stačí, aby sa k serveru dostal po sieti, pri verejnom webe teda cez internet. Ak uspeje, môže prevziať úplnú kontrolu nad procesom servera. Útočník by tak mal prístup ku všetkému, čo vidí proces Apache, napríklad k súborom webov a konfiguráciám s heslami k databázam. Odtiaľ by sa mohol pokúsiť preniknúť ďalej do siete.

CVSS je medzinárodná stupnica závažnosti od 0 do 10. Americká databáza NVD zatiaľ skóre nepridelila. Red Hat chybu podľa The Hacker News hodnotí 9,8 z 10, teda takmer najvyššou známkou.

Pri vlastných balíkoch pre RHEL 9 a 10 ju však Red Hat vedie len ako „Important“ (dôležitú), pretože jeho verzia mod_http2 dáva každému HTTP/2 prúdu vlastnú správu pamäte, čo útok výrazne sťažuje. Katalóg CISA KEV je zoznam chýb, ktoré americká agentúra CISA eviduje ako aktívne zneužívané. Táto chyba v ňom zatiaľ nie je.

Koho sa to týka

Zasiahnutý je Apache HTTP Server vo verziách 2.4.55 až 2.4.70 a samostatne vydávaný modul mod_h2 z GitHubu vo verziách 2.0.8 až 2.0.42. Podľa Red Hatu sú ohrozené len servery so zapnutým HTTP/2. O tom rozhoduje direktíva Protocols (hodnota h2 znamená HTTP/2 cez TLS, h2c HTTP/2 bez šifrovania), ktorá môže byť nastavená pre celý server alebo len pre jeden virtuálny host.

Apache patrí k najrozšírenejším webovým serverom. Beží na zdieľaných webhostingoch, firemných weboch, e-shopoch, intranetoch aj ako reverzná proxy pred aplikáciami. HTTP/2 býva zapnuté najmä na weboch s HTTPS.

Linuxové distribúcie majú vlastné čísla balíkov. Stav podľa The Hacker News:

Red Hat Enterprise Linux 6, 7 a 8: nie sú zasiahnuté, zraniteľný kód neobsahujú
Red Hat Enterprise Linux 9 a 10: zasiahnuté, oprava je vydaná
Red Hat JBoss Core Services a Red Hat Hardened Images: zasiahnuté, oprava zatiaľ nie je uvedená
Debian bookworm, trixie a forky: zraniteľné, oprava zatiaľ nie je uvedená. Debian unstable (sid) je opravený
Amazon Linux 2, Amazon Linux 2023 a Amazon Linux 2027 Preview: oprava sa pripravuje
Ubuntu: 12. novembra 2026 ešte nemalo pre chybu stavovú stránku

Pozor: ak ste kvôli staršej chybe HTTP/2 (CVE-2026-23918) aktualizovali na 2.4.67 alebo neskoršiu verziu až po 2.4.70, nová chyba sa vás stále týka.

Ako zistiť, či ste zasiahnutí

Najprv zistite verziu Apache. Podľa systému použite jeden z týchto príkazov:

apachectl -v      # alebo: httpd -v, apache2ctl -v

Pri balíkoch z distribúcie je dôležitá verzia balíka, nie len číslo Apache:

rpm -q httpd mod_http2     # Red Hat a príbuzné
dpkg -l apache2            # Debian, Ubuntu

Potom zistite, či je načítaný modul HTTP/2 a kde je zapnutý:

apachectl -M | grep http2
grep -Rni "Protocols" /etc/httpd/ /etc/apache2/ 2>/dev/null

Ak Protocols obsahuje h2 alebo h2c v hlavnej konfigurácii alebo v ktoromkoľvek virtuálnom hoste a verzia spadá do zasiahnutého rozsahu, server je ohrozený. Zvonka si HTTP/2 overíte aj takto (výsledok 2 znamená HTTP/2):

curl -s -o /dev/null --http2 -w '%{http_version}\n' https://vasa-domena.sk

Na spravovanom webhostingu tieto príkazy väčšinou nespustíte. Opýtajte sa poskytovateľa, či už má Apache s opravou.

Ako to opraviť

Apache chybu opravuje vo verzii 2.4.71 z 11. novembra 2026. Tá zároveň opravuje pád v module mod_md (hodnotený ako dôležitý) a prepis jedného bajtu pamäte v mod_vhost_alias (nízka závažnosť). Opravené balíky distribúcií podľa The Hacker News:

Red Hat Enterprise Linux 9: mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981)
Red Hat Enterprise Linux 10: mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978)
RHEL 9.4 Update Services for SAP Solutions a 9.6, 9.8, 10.0 a 10.2 Extended Update Support: RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 a RHSA-2026:98979
Debian unstable (sid): apache2 2.4.71-1

Postupujte v tomto poradí:

Začnite servermi dostupnými z internetu, ktoré majú zapnuté HTTP/2.
Nainštalujte aktualizáciu z distribúcie (napríklad dnf update httpd mod_http2 alebo apt update && apt upgrade), prípadne prejdite na Apache 2.4.71, ak ho kompilujete sami.
Skontrolujte konfiguráciu príkazom apachectl configtest a Apache reštartujte, aby sa načítal nový modul.
Znovu overte verziu podľa predchádzajúcej sekcie.

Ak aktualizácia pre váš systém ešte nie je (napríklad Debian bookworm, trixie a forky, Amazon Linux alebo JBoss Core Services), Apache dočasné riešenie neuvádza. Firma Wiz odporúča HTTP/2 vypnúť: z direktívy Protocols odstráňte h2 a h2c, aby zostalo len toto:

Protocols http/1.1

Zmenu urobte v hlavnej konfigurácii aj vo všetkých virtuálnych hostoch a Apache reštartujte. Weby budú fungovať ďalej cez HTTP/1.1. Samostatný mod_h2 z GitHubu opravenú verziu nemá a projekt je od 9. júna archivovaný. Podľa The Hacker News sa rovnaká zmena direktívy Protocols týka aj serverov s týmto modulom. Dlhodobo zvážte prechod na mod_http2 dodávaný priamo s Apache 2.4.71.

Čo ak už ste mohli byť napadnutí

Apache ani ďalšie zdroje zatiaľ nezverejnili konkrétne indikátory napadnutia a útoky v praxi nikto nepotvrdil. Ak však server so zraniteľnou verziou a zapnutým HTTP/2 bežal na internete, skontrolujte:

chybový log Apache (/var/log/httpd/error_log alebo /var/log/apache2/error.log), kde opakované pády podprocesov, napríklad hlásenia „Segmentation fault“, môžu naznačovať pokusy o poškodenie pamäte
procesy bežiace pod používateľom Apache (apache alebo www-data), ktoré tam nepatria, napríklad shell alebo neznáme programy
nové či zmenené súbory vo webových adresároch a v /tmp, najmä skripty, ktoré ste nenahrali
neznáme používateľské účty, SSH kľúče a naplánované úlohy (cron)
nezvyčajné odchádzajúce spojenia zo servera

Ak nájdete niečo podozrivé, samotná aktualizácia nestačí. Server izolujte od siete, zachovajte logy a prizvite odborníka na riešenie incidentov. Zmeňte aj heslá a kľúče, ktoré boli na serveri uložené, napríklad prístupy k databázam.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Kritická chyba v module HTTP/2 webového servera Apache môže umožniť spustenie kódu bez prihlásenia