Разработчики проекта Apache HTTP Server представили обновление 2.4.67, в котором устранена критическая уязвимость CVE-2026–23918, обнаруженная в модуле реализации протокола HTTP/2. Уязвимости присвоен уровень важности «важно» (important), а сама ошибка связана с некорректной работой с памятью — так называемым double free (двойное освобождение). Проблема проявляется в сценариях раннего сброса соединения.
Детали уязвимости и потенциальные риски
Согласно техническому описанию, уязвимость позволяет злоумышленнику при определенных условиях вызвать не только принудительное аварийное завершение рабочего процесса веб-сервера, но и добиться удалённого выполнения кода (RCE). В зоне риска находятся администраторы, использующие версию Apache HTTP Server 2.4.66.
Исследователи Бартломей Дмитрук (Bartlomiej Dmitruk) из striga.ai и Станислав Стшалковски (Stanislaw Strzalkowski) из isec.pl, обнаружившие данную брешь, настоятельно рекомендуют оперативно установить обновление до актуальной версии 2.4.67.
Что изменилось в версии 2.4.67
Ключевым компонентом релиза стало обновление модуля mod_http2 до версии 2.0.37, а впоследствии — до 2.0.39. В этих патчах был предотвращён повторный принудительный purge (очистка) потока, который и приводил к возникновению ошибки double free.
Помимо устранения CVE-2026–23918, свежий выпуск содержит исправления для ряда других потенциальных уязвимостей, затрагивающих важные компоненты сервера, включая:
mod_proxy_ajp;mod_auth_digestиmod_authn_socache;mod_md;mod_rewrite.
Релиз Apache httpd 2.4.67 был выпущен 4 мая 2026 года и на текущий момент является рекомендуемым для использования в стабильной ветке 2.4.x. Всем системным администраторам, у которых в конфигурации серверов активирован протокол HTTP/2, рекомендуется выполнить обновление в приоритетном порядке.
