Apache 2.4.71 סוגרת פרצה קריטית ב-HTTP/2 שמאפשרת להריץ קוד על השרת
Apache תיקנה חולשה בציון 9.8 במודול HTTP/2 של שרת האינטרנט הנפוץ. מי שמפעיל אתר על Apache עם HTTP/2 צריך לעדכן, או לכבות זמנית את HTTP/2 עד שהעדכון יגיע.
TL;DR בקצרה
- CVE-2026-119618 במודול mod_http2 פוגעת בגרסאות 2.4.55 עד 2.4.70
- רק שרתים שבהם HTTP/2 פעיל חשופים, ולא נדרשת הזדהות כדי לנצל את הפרצה
- הגרסה המתוקנת היא 2.4.71. Red Hat כבר הפיצה תיקון, Debian היציבה עדיין לא
- לפי Wiz אין עדיין ניצול ידוע בשטח, ואפשר לכבות HTTP/2 זמנית כפתרון ביניים
Apache שחררה ב-11 בנובמבר את Apache 2.4.71. העדכון סוגר חולשה קריטית במודול HTTP/2 של שרת האינטרנט. החולשה, CVE-2026-119618, מאפשרת לתוקף להריץ קוד על השרת מכל מקום ברשת. הוא לא צריך שם משתמש או סיסמה. הפרצה פוגעת בגרסאות 2.4.55 עד 2.4.70, ורק בשרתים שבהם HTTP/2 פעיל.
מה סוגר העדכון Apache 2.4.71
לפי הודעת האבטחה של פרויקט Apache HTTP Server, הבעיה יושבת בפונקציה שמטפלת בכותרות של בקשות HTTP/2. כמה תהליכים ניגשים בה לאותו משאב בלי תיאום נכון. התוצאה היא שיבוש של הזיכרון, ומשם הדרך להרצת קוד קצרה. Apache מדרגת את החולשה כקריטית.
Red Hat נותנת לה ציון 9.8 מתוך 10. לדבריה, תוקף שמגיע לשרת יכול להשתלט על התהליך שלו. מי שגילה את הפרצה? שני גורמים, בנפרד. סורק הקוד הפתוח של Anthropic דיווח עליה ב-26 באוקטובר. חוקרי Google Cloud דיווחו עליה ב-3 בנובמבר.
העדכון סוגר עוד שתי חולשות. אחת במודול mod_md גורמת לקריסת תהליכים, ו-Apache מדרגת אותה כחשובה. השנייה, בדרגה נמוכה, פוגעת במודול mod_vhost_alias.
למה HTTP/2 הוא הנקודה החשובה
HTTP/2 הוא גרסה מהירה של הפרוטוקול שבו הדפדפן מדבר עם האתר. ב-Apache הוא לא פועל אוטומטית. מנהל השרת מדליק אותו בהגדרה בשם Protocols, עם הערך h2 או h2c. ההגדרה יכולה לשבת ברמת השרת כולו או רק באתר אחד. לכן צריך לבדוק את שתיהן.
בפועל, הרבה שרתים מודרניים מפעילים HTTP/2 כדי שהאתר ייטען מהר. זה נכון במיוחד בחבילות אחסון ובשרתים עם לוח בקרה. אם האתר שלכם רץ על Apache, הסיכוי שהמודול פעיל אצלכם גבוה.
יש כאן גם הקשר חשוב. במאי Apache סגרה חולשה אחרת ב-HTTP/2. מי שעדכן אז לגרסה 2.4.67, או לכל גרסה עד 2.4.70, עדיין חשוף לפרצה החדשה. כלומר, העדכון מהאביב לא מגן עליכם הפעם.
האם כבר מנצלים את הפרצה שסוגרת Apache 2.4.71
כאן התמונה לא אחידה. Red Hat כתבה שמחקר פומבי הדגים ניצול אמין נגד שרת בהגדרות ברירת מחדל. היא לא קישרה למחקר הזה. לעומת זאת, חברת האבטחה Wiz כתבה באותו יום שאין עדיין קוד ניצול זמין. לדבריה, גם אין דיווחים על ניצול בשטח.
גם מצב התיקונים משתנה מהפצה להפצה. Red Hat כבר הפיצה תיקון ל-RHEL 9 ו-RHEL 10. שם היא מדרגת את החולשה כחשובה בלבד, בזכות הגנה נוספת בחבילה שלה. RHEL 8 וגרסאות ישנות לא מכילות את הקוד הפגיע. ב-Debian היציבה עדיין אין תיקון, וב-Amazon Linux התיקון בדרך, לפי ה-trackers של ההפצות.
מה זה אומר עבורכם
- בדקו את גרסת Apache בשרת עם הפקודה
httpd -vאוapache2 -v. כל גרסה בין 2.4.55 ל-2.4.70 פגיעה. - חפשו את ההגדרה Protocols בקובצי ההגדרות. אם מופיעים בה h2 או h2c, השרת חשוף.
- עדכנו ל-2.4.71, או לחבילה המתוקנת של ההפצה שלכם, ואתחלו את השירות.
- אין עדיין עדכון? Wiz ממליצה להשאיר זמנית רק
Protocols http/1.1. האתר יאבד מעט מהירות, אבל הפתח לתוקפים ייסגר בינתיים. - באחסון משותף או באחסון בניהול החברה, פנו לחברת האחסון ושאלו מתי השרת שלכם יקבל את התיקון.
מה הלאה
כדאי לעקוב אחרי עדכוני Debian, Ubuntu ו-Amazon Linux בימים הקרובים. לגרסה העצמאית של המודול, mod_h2 מ-GitHub, אין עדיין גרסה מתוקנת. המפתחים העבירו את הפרויקט לארכיון ביוני. מי שמשתמש בה צריך לכבות HTTP/2 עד שיהיה פתרון.
מקורות והרחבה
- Apache HTTP Server 2.4 vulnerabilities: Fixed in 2.4.71Apache Software Foundation
- CVE-2026-119618Red Hat
- Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code RemotelyThe Hacker News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
