Apache lança 2.4.71 contra execução remota de código sem autenticação

A atualização mais recente é operacional: o Apache HTTP Server 2.4.71 é apontado como a correção para a CVE-2026-119618, mas a disponibilidade de pacotes ainda varia entre plataformas. A falha crítica afetaria as versões 2.4.55 a 2.4.70 quando o HTTP/2 está habilitado, permitindo execução remota de código sem autenticação.[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A reportagem descreve uma vulnerabilidade no mod_http2, módulo que oferece suporte a HTTP/2 no Apache. Ela atribui à falha o identificador CVE-2026-119618, delimita o intervalo afetado entre 2.4.55 e 2.4.70 e informa que a versão 2.4.71 contém a correção.[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[3]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O risco é alto porque um servidor HTTP/2 vulnerável e acessível pela rede poderia ser atacado sem credenciais. Se a execução de código descrita funcionar, o invasor poderá assumir o controle do processo do servidor, o que torna instalações expostas à internet a prioridade para correção.[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[5]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A orientação publicada é atualizar para o Apache 2.4.71 ou instalar o backport fornecido pela distribuição. Quando isso ainda não for possível, a mitigação indicada é desabilitar os protocolos h2 e h2c e operar temporariamente apenas com HTTP/1.1.[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes[5]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

O lote delimita o componente, as versões afetadas e a dependência de HTTP/2, mas não traz a causa técnica detalhada nem dados sobre quantos servidores estão vulneráveis. Também registra apenas que não havia exploração em ambiente real relatada, o que não demonstra que nenhuma exploração tenha ocorrido.[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

Segundo uma publicação que atribui a informação à Red Hat, um exploit confiável foi demonstrado contra uma configuração padrão do Apache com HTTP/2 habilitado. A mesma publicação alega que o ataque não exige autenticação e pode entregar controle sobre o processo do servidor.[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

A sequência relatada começa com a chegada do Apache 2.4.71 e a identificação pública da CVE-2026-119618. Em seguida, o foco passou para a distribuição efetiva da correção: uma atualização posterior afirmou que RHEL 9 e 10 já tinham pacotes, enquanto Debian, Amazon Linux e o mod_h2 independente ainda apresentavam correções ausentes ou pendentes.[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

3 grupos independentes, 4 atualizações e 8 interações.

Os detalhes técnicos disponíveis limitam-se ao mod_http2, à possibilidade de execução remota de código e à necessidade de o HTTP/2 estar ativo. O lote não explica qual erro de memória ou de processamento possibilita o ataque, nem fornece instruções ou código de exploração.[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[4]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes

O lote inclui a página oficial de vulnerabilidades do Apache como fonte primária, mas sem conteúdo textual capturado. Os detalhes sobre impacto, versões e correção vêm principalmente de uma reportagem e de publicações sociais que reproduzem ou atribuem informações à Red Hat, por isso as alegações sobre exploit e disponibilidade por plataforma devem ser confirmadas nos avisos dos respectivos fornecedores.[6]httpd.apache.orghttpd.apache.org · rssAbrir fonte originalVer na lista de fontes[1]Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotelythehackernews.com · rssAbrir fonte originalVer na lista de fontes[2]TheHackersNewsx.com · TheHackersNews · xAbrir fonte originalVer na lista de fontes