Apache conserta falha avaliação que pode possibilitar invasão remota de servidores sem senha

Uma vulnerabilidade avaliação no módulo HTTP/2 do Apache HTTP Server pode possibilitar que invasores executem codigos remotamente em servidores vulneráveis, sem necessidade de autenticação. Identificada como CVE-2026-119618, a falha impacta as edições 2.4.55 ate 2.4.70 e foi consertada na edição 2.4.71, liberada em 11 de novembro de 2026.O problema está localizado no módulo mod_http2 e impacta unicamente servidores com o protocolo HTTP/2 ativado. De acordo com a Red Hat, um invasor com acesso à rede do ser Uma vulnerabilidade avaliação no módulo HTTP/2 do Apache HTTP Server pode possibilitar que invasores executem codigos remotamente em servidores vulneráveis, sem necessidade de autenticação.

Identificada como CVE-2026-119618, a falha impacta as edições 2.4.55 ate 2.4.70 e foi consertada na edição 2.4.71, liberada em 11 de novembro de 2026. O problema está localizado no módulo mod_http2 e impacta unicamente servidores com o protocolo HTTP/2 ativado. De acordo com a Red Hat, um invasor com acesso à rede do servidor pode explorar a vulnerabilidade pra executar codigo e potencialmente confessar o Gamepad completo do processo do Apache.

A falha recebeu nota CVSS 9.8 de 10, classificacao que aponta gravidade avaliação por causa da possibilidade de exploracao remota, sem autenticação ou privilégios prévios. Em sua avaliacao de segurança, publicada em 11 de novembro, a Red Hat declarou que pesquisas públicas evidenciaram a existência de um exploit confiável de encontro a servidores com configuracoes padrão e o módulo mod_http2 ativado. Contudo, a companhia nao identificou nem disponibilizou referências pra essas pesquisas.

No msm dia, a companhia de segurança Wiz mostrou uma avaliacao diferente, comunicando que nao havia exploits disponiveis publicamente nem registros de exploracao habilita da vulnerabilidade. Até agora, por isso, as informacoes divulgadas nao garantem ataques reais utilizando a CVE-2026-119618, ainda que a possibilidade de execução remota de codigo represente um risco significativo pra cenarios vulneráveis. A vulnerabilidade depende da ativação do HTTP/2 através da diretiva Protocols, utilizada na configuracao do Apache.

Como essa configuracao pode ser aplicada globalmente ou individualmente a hosts virtuais, os administradores necessitam verificar tanto as configuracoes gerais quanto as de cada virtual host. Edições indies do módulo, distribuídas pelo projeto mod_h2, igualmente estao vulneráveis, precisamente da 2.0.8 ate a 2.0.42. O projeto Apache disponibilizo