Apache HTTP Server 2.4.71 fecha falha crítica no HTTP/2

Uma falha crítica foi descoberta no módulo HTTP/2 do Apache HTTP Server (versões 2.4.55 a 2.4.70) que permitiria a atacantes não autenticados executar código remotamente e potencialmente controlar o processo do servidor. Rastreada como CVE-2026-119618, a vulnerabilidade foi corrigida na versão 2.4.71. A Apache informou que pesquisas públicas demonstraram exploração confiável em servidores com configuração padrão e o módulo mod_http2 ativado, embora a empresa de segurança Wiz tenha relatado que nenhum exploit estava disponível publicamente e nenhuma exploração em ambiente real havia sido reportada até o momento.

O HTTP/2 só funciona quando a diretiva "Protocols" está habilitada — admins devem verificar tanto a configuração no escopo do servidor quanto em cada virtual host individual. Versões do módulo independente mod_h2 (2.0.8 a 2.0.42) também estão afetadas. Quem usa as versões oficiais do Apache HTTP Server deve atualizar para 2.4.71, que também corrige um travamento no módulo mod_md e uma sobrescrita de um byte na memória do mod_vhost_alias.