Команда разработчиков Apache HTTP Server выпустила обновление 2.4.67, направленное на устранение критической уязвимости в реализации протокола HTTP/2. Проблеме, получившей идентификатор CVE-2026–23918, присвоен статус «важно» (important), так как она несет угрозу безопасности веб-серверов.
Детали уязвимости и риски
Ошибка классифицируется как double free (двойное освобождение памяти). Она возникает в специфических сценариях при обработке раннего сброса соединения по протоколу HTTP/2. В ряде случаев злоумышленник может эксплуатировать данную уязвимость не только для вызова отказа в обслуживании (аварийного завершения рабочего процесса), но и для удаленного выполнения произвольного кода (RCE) на сервере.
Согласно официальному отчету, уязвимость затрагивает версию 2.4.66. Разработчики настоятельно рекомендуют администраторам выполнить обновление до актуальной версии 2.4.67. Информацию о дыре в безопасности предоставили исследователи Бартломей Дмитрук (Bartlomiej Dmitruk) из striga.ai и Станислав Стшалковски (Stanislaw Strzalkowski) из isec.pl.
Что изменилось в релизе Apache 2.4.67
Помимо устранения CVE-2026–23918, пакет обновлений включает ряд других важных исправлений:
- Обновление mod_http2: Компонент был последовательно обновлен до версий 2.0.37, 2.0.38 и 2.0.39. В них исправлена ошибка повторной очистки потока, которая и приводила к состоянию double free.
- Дополнительные исправления: Устранены уязвимости и баги в модулях mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md и mod_rewrite.
Релиз 2.4.67, выпущенный 4 мая 2026 года, официально признан текущей рекомендованной стабильной версией ветки 2.4.x. Если вы используете Apache с активированной поддержкой HTTP/2, установку патча следует провести в приоритетном порядке.
