Apache закрыл дыру для запуска кода без пароля в версии 2.4.71

Если Apache обслуживает ваш сайт или API по HTTP/2, у инфраструктурной команды появилась срочная задача: проверить версию и установить исправление. В модуле обработки этого протокола нашли ошибку, которая позволяет атакующему без авторизации добиться выполнения кода. Например, под угрозой может оказаться сервер перед вашим приложением: пароль от админки для такой атаки не нужен.

Apache выпустил исправление 11 ноября в версии 2.4.71. Уязвимость получила номер CVE-2026-119618 и критическую оценку. По официальному уведомлению Apache, затронуты версии 2.4.55–2.4.70. Это достаточно конкретный повод открыть инвентаризацию серверов, выяснить, где используется HTTP/2, и назначить ответственного за обновление.

Что сломалось внутри сервера

Ошибка находится в mod_http2, в функции assign_headers(). Несколько потоков обращаются к общим ресурсам без правильного согласования действий. В результате сервер может повредить собственную память, а атакующий — использовать это повреждение для выполнения кода.

Представьте двух сотрудников, которые одновременно редактируют одну строку заказа. Один меняет её содержимое, пока второй продолжает работать со старым состоянием. Для веб-сервера подобная несогласованность опасна: речь идёт о памяти работающего процесса. Это упрощённая аналогия причины ошибки, а не описание готового способа взлома.

Практический пример — Apache перед сервисом подписки. Даже если вход в личный кабинет защищён многофакторной аутентификацией, обработка сетевого протокола происходит раньше проверки пользователя приложением. Поэтому усиление паролей не закрывает эту конкретную проблему. Команде нужно исправить компонент, который принимает запросы.

Что здесь сделали Anthropic и Google

Apache указал среди обнаруживших уязвимость Anthropic OSS Scanner, а также Энтони Уимса и Саймона Сканнелла из Google Cloud Vulnerability Research. Сообщение Anthropic поступило 26 октября, Google — 3 ноября. Эти сведения подтверждают участие сканера Anthropic в обнаружении серьёзной ошибки в широко используемом серверном ПО.

Но формулировка «ИИ нашли дыру» прячет существенную деталь: официальная запись называет конкретный сканер и конкретных исследователей. Из неё нельзя заключить, что обе находки полностью автономны или что люди больше не нужны для проверки результатов. Для разработчиков инструментов безопасности здесь интересен сам результат: автоматизированный поиск добрался до ошибки взаимодействия потоков, способной привести к выполнению кода.

Масштаб требует аккуратного прочтения. По данным Wiz, в 64% наблюдаемых облачных окружений есть ресурсы с уязвимыми версиями, а в 51% — публично доступные экземпляры. Компания отдельно оговаривает, что эти оценки не учитывают конфигурацию. Следовательно, число установок ещё не показывает число серверов, которые действительно можно атаковать через HTTP/2.

На момент публикации Wiz 11 ноября публичного эксплойта и сообщений об эксплуатации не было. Это снимок на определённую дату: он не гарантирует отсутствия атак и не описывает ситуацию спустя неделю.

Что проверить своей команде

Начните с серверов, доступных из интернета: определите версию Apache, наличие mod_http2 и фактическое использование HTTP/2. Если перед приложением стоит другой прокси, выясните, какой протокол доходит до Apache. Само присутствие промежуточного сервиса ещё не отвечает на этот вопрос.

Дальше установите исправление Apache 2.4.71 или подходящее обновление пакета от поставщика вашей системы. Для пакетов с перенесёнными исправлениями ориентируйтесь на уведомление поставщика: номер базовой версии сам по себе может не показывать наличие патча. После обновления проверьте запуск сервера, конфигурацию и основные пользовательские сценарии.

Если обновление приходится отложить, Wiz предлагает временно отключить HTTP/2. После изменения убедитесь, что сервис доступен клиентам и проблемный протокол действительно выключен. Это временная мера до установки исправления.

Для продакта и основателя задача вполне прикладная: дать команде время на обновление и получить подтверждение, какие серверы проверены. Именно такой результат полезнее общего сообщения «безопасность под контролем».