Apache HTTP Server, falla critica HTTP/2 permette l’esecuzione remota di codice

🛡️ Executive Summary

• CVE-2026-119618 consente potenzialmente l’esecuzione remota di codice. La vulnerabilità interessa mod_http2 e non richiede autenticazione.
• Apache 2.4.71 corregge la falla. Sono coinvolte le versioni dalla 2.4.55 alla 2.4.70 con HTTP/2 abilitato.
• Red Hat ha distribuito patch per RHEL 9 e 10. L’impatto varia in base ai pacchetti utilizzati; disabilitare HTTP/2 è una mitigazione temporanea.

Una vulnerabilità critica nel server web Apache può consentire a un attaccante remoto di eseguire codice senza autenticazione, sfruttando un errore nella gestione delle richieste HTTP/2. Il problema, identificato come CVE-2026-119618 e valutato CVSS 9.8 da Red Hat, interessa il modulo mod_http2 nelle versioni di Apache HTTP Server comprese tra 2.4.55 e 2.4.70. La correzione è stata pubblicata l’11 novembre 2026 con Apache 2.4.71, mentre Red Hat ha distribuito aggiornamenti specifici per RHEL 9 e 10. Il rischio riguarda esclusivamente i sistemi che utilizzano HTTP/2, ma comprende server pubblicamente raggiungibili attraverso Internet e infrastrutture aziendali che ospitano applicazioni e servizi critici.

CVE-2026-119618 sfrutta un errore nella gestione della memoria HTTP/2

La vulnerabilità deriva da una race condition nella funzione assign_headers() del modulo mod_http2. Quando il server elabora più richieste HTTP/2 contemporaneamente, alcuni thread possono accedere a risorse condivise senza un’adeguata sincronizzazione, provocando una corruzione della memoria heap. Un attaccante capace di raggiungere il server potrebbe manipolare questa condizione fino a ottenere remote code execution con i privilegi del processo Apache, senza possedere credenziali valide. Il problema viene descritto nell’avviso ufficiale di sicurezza del progetto Apache, che identifica anche le versioni autonome di mod_h2 dalla 2.0.8 alla 2.0.42 come vulnerabili. La scoperta è attribuita ad Anthropic OSS Scanner e ai ricercatori Anthony Weems e Simon Scannell di Google Cloud Vulnerability Research, che hanno segnalato separatamente il problema tra ottobre e novembre 2026.

La falla riguarda soltanto i server con HTTP/2 attivo

Non tutte le installazioni Apache sono automaticamente vulnerabili. Il modulo interessato deve essere utilizzato per gestire connessioni HTTP/2, abilitate attraverso la direttiva Protocols con i valori h2 per le connessioni TLS oppure h2c per quelle non cifrate. Gli amministratori devono quindi controllare sia la configurazione generale sia i singoli virtual host, perché HTTP/2 potrebbe essere attivo soltanto su determinati siti. Le installazioni che utilizzano esclusivamente HTTP/1.1 non sono esposte a questa specifica falla. Il problema è diverso dalle precedenti vulnerabilità HTTP/2 orientate soprattutto al denial of service, come la HTTP/2 bomb che sfruttava la gestione delle risorse del server. In questo caso, la criticità principale è la possibilità di trasformare una condizione di concorrenza in esecuzione di codice.

Leggi anche: Nuova vulnerabilità HTTP/2 espone i server web ad attacchi DoS

Red Hat corregge RHEL 9 e 10, ma distingue la gravità dell’attacco

L’analisi ufficiale di Red Hat conferma la possibilità di esecuzione remota di codice e segnala che ricerche pubbliche hanno dimostrato un exploit affidabile contro una configurazione predefinita con mod_http2 abilitato. La società precisa tuttavia che i pacchetti distribuiti in RHEL 9 e RHEL 10 utilizzano allocatori di memoria separati per ogni stream HTTP/2, rendendo lo sfruttamento sensibilmente più difficile. Per queste distribuzioni, la gravità operativa viene quindi classificata Important, non Critical, nonostante il punteggio CVSS generale di 9.8. Gli aggiornamenti sono disponibili attraverso gli advisory RHSA-2026:98981 per RHEL 9 e RHSA-2026:98978 per RHEL 10. Le versioni RHEL 8 e precedenti non contengono il codice vulnerabile. Al momento delle verifiche pubblicate, non risultavano confermati attacchi in the wild; rimane inoltre da distinguere l’esistenza di una dimostrazione tecnica dalla disponibilità pubblica di un exploit utilizzabile.

Apache 2.4.71 è la correzione ufficiale, HTTP/1.1 resta l’alternativa temporanea

La misura principale consiste nell’aggiornare Apache HTTP Server alla versione 2.4.71, oppure nell’installare i pacchetti corretti messi a disposizione dalla propria distribuzione Linux. Non è necessario che la versione riportata dal gestore dei pacchetti coincida con quella pubblicata dal progetto Apache: distribuzioni come Red Hat applicano spesso le correzioni attraverso backport di sicurezza. Quando l’aggiornamento non è immediatamente possibile, gli amministratori possono valutare la disabilitazione temporanea di HTTP/2, rimuovendo h2 e h2c dalla direttiva Protocols e mantenendo soltanto http/1.1. La modifica richiede la verifica della configurazione e può incidere sulle prestazioni o sulle funzionalità dei servizi che dipendono dal protocollo. Apache 2.4.71 corregge inoltre CVE-2026-106023 nel modulo mod_md e CVE-2026-109163 in mod_vhost_alias, rispettivamente associate a crash dei processi e sovrascrittura della memoria.

Continua con: curl 8.23 corregge una falla HTTP/2 che può diventare RCE sul client

I server Apache esposti richiedono una verifica immediata

La gravità di CVE-2026-119618 dipende dalla configurazione effettiva del server, ma la possibilità di ottenere esecuzione remota senza autenticazione giustifica una verifica prioritaria degli ambienti esposti. Occorre identificare le installazioni Apache vulnerabili, controllare l’attivazione di HTTP/2 e applicare la correzione disponibile per il proprio sistema operativo. I server che eseguono soltanto HTTP/1.1 non sono interessati, mentre quelli che utilizzano mod_http2 devono essere aggiornati o temporaneamente riconfigurati. La nuova falla conferma che anche i componenti consolidati dell’infrastruttura web possono introdurre rischi critici quando la gestione concorrente della memoria non garantisce un isolamento corretto.