CSIRT Centrum e-Zdrowia opublikował komunikat o krytycznej podatności CVE-2026-119618 w Apache HTTP Server. Luka dotyczy obsługi HTTP/2 i może prowadzić do uszkodzenia pamięci procesu httpd, a w konsekwencji do zdalnego wykonania kodu bez logowania. Ocena CVSS 3.1 to 9.8.

Źródło: CSIRT Centrum e-Zdrowia. Ten wpis jest checklistą dla administratora: sprawdzenie wersji, zakres ekspozycji HTTP/2, aktualizacja i tymczasowe ograniczenie ryzyka.

Kogo to dotyczy

Podatne mogą być instalacje:

  • Apache HTTP Server 2.4.55 do 2.4.70
  • mod_h2 2.0.8 do 2.0.42

Ryzyko jest największe tam, gdzie Apache obsługuje publiczny ruch HTTPS z włączonym HTTP/2. Dotyczy to serwerów wystawionych bezpośrednio do internetu oraz hostów stojących za reverse proxy, jeśli HTTP/2 kończy się na podatnym httpd.

Jeżeli przed aplikacją stoi CDN albo load balancer, nadal sprawdź origin. Część środowisk ma HTTP/2 włączone także na połączeniu do backendu albo na osobnym hostname administracyjnym.

Co wiadomo o podatności

Według komunikatu CSIRT CEZ błąd w implementacji HTTP/2 pozwala wysłać specjalnie przygotowane pakiety sieciowe. Atak nie wymaga konta, interakcji użytkownika ani wcześniejszego dostępu do systemu. Wektor jest sieciowy, z niską złożonością.

Potencjalny skutek obejmuje przejęcie procesu serwera WWW, dostęp do danych przetwarzanych przez aplikację, modyfikację tych danych oraz niedostępność usługi. Pełny wektor CVSS z komunikatu to CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Co sprawdzić teraz

Na każdym hoście z Apache:

apachectl -v 2>/dev/null || httpd -v
apachectl -M 2>/dev/null | grep -Ei 'http2|h2' || httpd -M 2>/dev/null | grep -Ei 'http2|h2'
rpm -q httpd mod_http2 2>/dev/null || true
dpkg -l 'apache2*' 'libapache2-mod-*' 2>/dev/null | grep -Ei 'apache2|http2|h2' || true

Spisz wynik razem z nazwą aplikacji, hostname, informacją czy usługa jest publiczna oraz gdzie kończy się TLS i HTTP/2. Priorytet mają serwery, które przyjmują ruch z internetu bezpośrednio albo przez load balancer.

Prosty skrypt audytujący

Przygotowaliśmy prosty skrypt bash do lokalnego sprawdzenia hosta. Skrypt nie wykorzystuje podatności i nie wysyła danych poza serwer. Sprawdza wersję Apache, obecność modułu HTTP/2, dyrektywę Protocols w typowych ścieżkach konfiguracji oraz widoczne pakiety httpd i mod_http2.

curl -fsSL https://opselis.pl/scripts/apache-http2-cve-2026-119618-check.sh -o apache-http2-cve-2026-119618-check.sh
chmod +x apache-http2-cve-2026-119618-check.sh
sudo ./apache-http2-cve-2026-119618-check.sh
./apache-http2-cve-2026-119618-check.sh --json

Kod wyjścia 1 oznacza wynik wymagający pilnej aktualizacji albo ręcznej weryfikacji backportu dystrybucji. Jeśli pakiet ma wersję z podatnego zakresu, ale dystrybucja backportowała poprawkę, zachowaj link do advisory albo changeloga pakietu jako dowód.

Możemy wykonać taki audyt za Was: sprawdzić hosty Apache, HTTP/2, wersje pakietów, ekspozycję z internetu i przygotować listę zmian. Kontakt: opselis.pl/kontakt.

Aktualizacja i obejście

Docelowe działanie to aktualizacja do Apache HTTP Server 2.4.71 albo nowszej wersji. W dystrybucjach Linux numer pakietu może nie odpowiadać numerowi upstream, jeśli dostawca backportował poprawkę. Dlatego sprawdź advisory dystrybucji i changelog pakietu, nie tylko wynik httpd -v.

Jeżeli aktualizacja nie może wejść od razu, rozważ czasowe wyłączenie HTTP/2 na podatnym serwerze i zostawienie HTTP/1.1 do czasu wdrożenia poprawki. Przykład dla konfiguracji Apache:

Protocols http/1.1

Po zmianie wykonaj test konfiguracji i restart albo reload w oknie serwisowym:

apachectl configtest
systemctl reload apache2 || systemctl reload httpd

To jest obejście operacyjne, nie poprawka. Może zmienić zachowanie klientów i połączeń przez reverse proxy, więc wymaga testu aplikacji.

Monitoring po zmianie

Po aktualizacji albo wyłączeniu HTTP/2 sprawdź logi błędów Apache, restarty procesu i nietypowe zakończenia workerów. W monitoringu warto dodać alert na wzrost błędów 5xx, restartów httpd oraz komunikatów o naruszeniu pamięci procesu.

Skan podatności powinien potwierdzić brak podatnej wersji, ale w dniu publikacji komunikatu nie zastępuje ręcznej weryfikacji pakietów. WAF i CDN mogą ograniczać część ruchu, ale nie zastępują aktualizacji podatnego Apache na originie.

Warstwa utrzymania i reakcji: security. Aktualizacje serwerów i okna zmian: administracja IT.

W skrócie: CVE-2026-119618 to krytyczna podatność HTTP/2 w Apache HTTP Server, CVSS 9.8. Sprawdź, gdzie masz httpd z HTTP/2, aktualizuj do 2.4.71 albo pakietu dystrybucji z poprawką, a jeśli musisz czekać na okno, rozważ czasowe wyłączenie HTTP/2.