Kritická chyba v modulu HTTP/2 webového serveru Apache může umožnit spuštění kó…

Co se stalo

Projekt Apache HTTP Server vydal 11. listopadu 2026 verzi 2.4.71, která opravuje chybu CVE-2026-119618. Chyba se nachází v modulu mod_http2, který obstarává komunikaci přes protokol HTTP/2, konkrétně ve funkci assign_headers(). Bezpečnostní tým Apache ji označil za kritickou a uvádí, že může vést ke vzdálenému spuštění kódu.

Chybu 26. října 2026 nahlásil Anthropic OSS Scanner, bezplatná služba, která pomocí AI modelů firmy Anthropic prověřuje open-source projekty. Nezávisle na ni 3. listopadu 2026 upozornili také Anthony Weems a Simon Scannell z týmu Google Cloud Vulnerability Research.

Zneužívání v praxi zatím nikdo nepotvrdil. Chyba není v katalogu CISA KEV a evropská databáze zranitelností EUVD (záznam EUVD-2026-123532) neuvádí, že by se zneužívala. Podle The Hacker News bezpečnostní firma Wiz 11. listopadu uvedla, že funkční útočný kód není k dispozici a o útocích neví. Red Hat však ve svém hodnocení píše, že veřejný výzkum ukázal spolehlivý způsob zneužití na serveru ve výchozí konfiguraci se zapnutým mod_http2, tento výzkum ale nejmenuje.

Proč je to nebezpečné

Jde o takzvaný souběh (race condition, CWE-362). Server vyřizuje mnoho věcí najednou a dvě části programu pracují se stejnou pamětí bez pořádné koordinace. Představte si dva úředníky, kteří najednou vyplňují tentýž formulář: každý přepíše kus toho, co napsal ten druhý, a výsledkem je nesmysl. Zde se tímto způsobem poškodí paměť serveru (Apache mluví o poškození haldy) a útočník může takové poškození proměnit ve spuštění vlastního kódu.

Podle Red Hatu, který Apache dodává jako součást Red Hat Enterprise Linux, útočník nepotřebuje žádné přihlášení. Stačí, aby se k serveru dostal po síti, u veřejného webu tedy přes internet. Pokud uspěje, může převzít plnou kontrolu nad procesem serveru. Útočník by tak měl přístup ke všemu, co vidí proces Apache, například k souborům webů a konfiguracím s hesly k databázím. Odtud by se mohl pokusit proniknout dál do sítě.

CVSS je mezinárodní stupnice závažnosti od 0 do 10. Americká databáze NVD zatím skóre nepřidělila. Red Hat chybu podle The Hacker News hodnotí 9,8 z 10, tedy téměř nejvyšší známkou.

U vlastních balíčků pro RHEL 9 a 10 ji však Red Hat vede jen jako „Important“ (důležitou), protože jeho verze mod_http2 dává každému HTTP/2 proudu vlastní správu paměti, což útok výrazně ztěžuje. Katalog CISA KEV je seznam chyb, které americká agentura CISA eviduje jako aktivně zneužívané. Tato chyba v něm zatím není.

Koho se to týká

Zasažen je Apache HTTP Server ve verzích 2.4.55 až 2.4.70 a samostatně vydávaný modul mod_h2 z GitHubu ve verzích 2.0.8 až 2.0.42. Podle Red Hatu jsou ohroženy jen servery se zapnutým HTTP/2. O tom rozhoduje direktiva Protocols (hodnota h2 znamená HTTP/2 přes TLS, h2c HTTP/2 bez šifrování), která může být nastavena pro celý server nebo jen pro jeden virtuální host.

Apache patří k nejrozšířenějším webovým serverům. Běží na sdílených webhostinzích, firemních webech, e-shopech, intranetech i jako reverzní proxy před aplikacemi. HTTP/2 bývá zapnuté hlavně na webech s HTTPS.

Linuxové distribuce mají vlastní čísla balíčků. Stav podle The Hacker News:

Red Hat Enterprise Linux 6, 7 a 8: nejsou zasaženy, zranitelný kód neobsahují
Red Hat Enterprise Linux 9 a 10: zasaženy, oprava je vydaná
Red Hat JBoss Core Services a Red Hat Hardened Images: zasaženy, oprava zatím není uvedena
Debian bookworm, trixie a forky: zranitelné, oprava zatím není uvedena. Debian unstable (sid) je opravený
Amazon Linux 2, Amazon Linux 2023 a Amazon Linux 2027 Preview: oprava se připravuje
Ubuntu: 12. listopadu 2026 ještě nemělo pro chybu stavovou stránku

Pozor: pokud jste kvůli starší chybě HTTP/2 (CVE-2026-23918) aktualizovali na 2.4.67 nebo novější verzi až po 2.4.70, nová chyba se vás stále týká.

Jak zjistit, zda jste zasaženi

Nejprve zjistěte verzi Apache. Podle systému použijte jeden z těchto příkazů:

apachectl -v      # nebo: httpd -v, apache2ctl -v

U balíčků z distribuce je důležitá verze balíčku, nejen číslo Apache:

rpm -q httpd mod_http2     # Red Hat a příbuzné
dpkg -l apache2            # Debian, Ubuntu

Pak zjistěte, zda je načtený modul HTTP/2 a kde je zapnutý:

apachectl -M | grep http2
grep -Rni "Protocols" /etc/httpd/ /etc/apache2/ 2>/dev/null

Pokud Protocols obsahuje h2 nebo h2c v hlavní konfiguraci nebo v kterémkoli virtuálním hostu a verze spadá do zasaženého rozsahu, server je ohrožený. Zvenku si HTTP/2 ověříte také takto (výsledek 2 znamená HTTP/2):

curl -s -o /dev/null --http2 -w '%{http_version}\n' https://vase-domena.cz

Na spravovaném webhostingu tyto příkazy většinou nespustíte. Zeptejte se poskytovatele, zda už má Apache s opravou.

Jak to opravit

Apache chybu opravuje ve verzi 2.4.71 z 11. listopadu 2026. Ta zároveň opravuje pád v modulu mod_md (hodnocený jako důležitý) a přepis jednoho bajtu paměti v mod_vhost_alias (nízká závažnost). Opravené balíčky distribucí podle The Hacker News:

Red Hat Enterprise Linux 9: mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981)
Red Hat Enterprise Linux 10: mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978)
RHEL 9.4 Update Services for SAP Solutions a 9.6, 9.8, 10.0 a 10.2 Extended Update Support: RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 a RHSA-2026:98979
Debian unstable (sid): apache2 2.4.71-1

Postupujte v tomto pořadí:

Začněte servery dostupnými z internetu, které mají zapnuté HTTP/2.
Nainstalujte aktualizaci z distribuce (například dnf update httpd mod_http2 nebo apt update && apt upgrade), případně přejděte na Apache 2.4.71, pokud si ho kompilujete sami.
Zkontrolujte konfiguraci příkazem apachectl configtest a Apache restartujte, aby se načetl nový modul.
Znovu ověřte verzi podle předchozí sekce.

Pokud aktualizace pro váš systém ještě není (například Debian bookworm, trixie a forky, Amazon Linux nebo JBoss Core Services), Apache dočasné řešení neuvádí. Firma Wiz doporučuje HTTP/2 vypnout: z direktivy Protocols odstraňte h2 a h2c, aby zůstalo jen toto:

Protocols http/1.1

Změnu proveďte v hlavní konfiguraci i ve všech virtuálních hostech a Apache restartujte. Weby poběží dál přes HTTP/1.1. Samostatný mod_h2 z GitHubu opravenou verzi nemá a projekt je od 9. června archivovaný. Podle The Hacker News se stejná změna direktivy Protocols týká i serverů s tímto modulem. Dlouhodobě zvažte přechod na mod_http2 dodávaný přímo s Apache 2.4.71.

Co když už jste mohli být napadeni

Apache ani další zdroje zatím nezveřejnily konkrétní indikátory napadení a útoky v praxi nikdo nepotvrdil. Pokud ale server se zranitelnou verzí a zapnutým HTTP/2 běžel na internetu, zkontrolujte:

chybový log Apache (/var/log/httpd/error_log nebo /var/log/apache2/error.log), kde opakované pády podprocesů, například hlášení „Segmentation fault“, mohou naznačovat pokusy o poškození paměti
procesy běžící pod uživatelem Apache (apache nebo www-data), které tam nepatří, například shell nebo neznámé programy
nové či změněné soubory ve webových adresářích a v /tmp, hlavně skripty, které jste nenahráli
neznámé uživatelské účty, SSH klíče a plánované úlohy (cron)
neobvyklá odchozí spojení ze serveru

Pokud najdete něco podezřelého, samotná aktualizace nestačí. Server izolujte od sítě, zachovejte logy a přizvěte odborníka na řešení incidentů. Změňte také hesla a klíče, které byly na serveru uložené, například přístupy k databázím.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Kritická chyba v modulu HTTP/2 webového serveru Apache může umožnit spuštění kódu bez přihlášení