Ing. Calogero Bono
È stata corretta una vulnerabilità critica nel modulo HTTP/2 di Apache HTTP Server, mod_http2. Si chiama CVE-2026-119618 e permette a un attaccante remoto, senza credenziali, di eseguire codice sul server. Colpisce le versioni dalla 2.4.55 alla 2.4.70 ed è risolta nella 2.4.71, uscita ieri. Conta perché Apache è ovunque e basta avere HTTP/2 attivo per essere esposti.
Qualche termine, prima di entrare nei fatti. mod_http2 è il modulo di Apache che gestisce il protocollo HTTP/2. RCE sta per esecuzione di codice remota, cioè far girare comandi sul server da lontano. CVSS è la scala di gravità da 0 a 10. Race condition è un errore che nasce quando più thread usano la stessa risorsa senza sincronizzarsi bene. h2 e h2c indicano HTTP/2 su TLS e HTTP/2 su TCP in chiaro.
Che cosa è successo ad Apache?
Secondo The Hacker News, il difetto permette di far girare codice sul server. Red Hat, che distribuisce Apache in Red Hat Enterprise Linux, dice che chi lo sfrutta potrebbe prendere il controllo completo del processo del server e valuta la falla 9,8 su 10 nella scala CVSS.
Wiz spiega che il problema è una race condition nella funzione assign_headers(). Una gestione non corretta dei thread che condividono risorse porta a corrompere la memoria heap, e da lì a eseguire codice con i privilegi del processo web. La falla è stata scoperta in modo indipendente da Anthropic e dal team di ricerca sulle vulnerabilità di Google Cloud.
Chi è esposto e come verificarlo?
Sono colpiti solo i server con HTTP/2 attivo. La documentazione ufficiale di mod_http2 spiega che HTTP/2 si abilita con la direttiva Protocols, usando h2 per TLS e h2c per TCP in chiaro.
La direttiva può stare nella configurazione generale o in un singolo virtual host. Per questo va controllata ovunque, non solo nel file principale. Anche le build separate del modulo, pubblicate su GitHub come mod_h2, sono colpite, dalla 2.0.8 alla 2.0.42.
Wiz dichiara che il 64% degli ambienti cloud ha risorse vulnerabili e il 51% ha istanze esposte pubblicamente, senza considerare la configurazione.
Come si corregge, e cosa fare se non puoi aggiornare?
Chi usa le versioni del progetto Apache deve passare alla 2.4.71. Quella release corregge anche un crash in mod_md, giudicato importante, e una sovrascrittura di un byte nello stack in mod_vhost_alias, giudicata bassa.
L'avviso di Apache non indica soluzioni alternative. Wiz, nella sua analisi, consiglia a chi non può aggiornare di togliere h2 e h2c dalla direttiva Protocols, lasciando solo http/1.1. Vale anche per chi usa mod_h2, il cui progetto non ha ancora pubblicato una versione corretta ed è archiviato in sola lettura dal 9 giugno.
Cosa dicono le distribuzioni Linux?
Ogni distribuzione ha pacchetti e numeri di versione propri. Red Hat ha rilasciato correzioni per Red Hat Enterprise Linux 9 e 10, per esempio mod_http2-2.0.26-7.el9_9.1 sulla 9, e valuta la falla Important invece di Critical. Il motivo, dice, è che i suoi pacchetti danno a ogni stream HTTP/2 un allocatore di memoria dedicato, e questo rende l'attacco molto più difficile. Le versioni 8 e precedenti non contengono il codice vulnerabile.
Su Debian risulta corretta solo unstable, con apache2 2.4.71-1, mentre bookworm, trixie e forky sono ancora vulnerabili. Amazon Linux è in attesa di correzione e per Ubuntu il tracker non aveva ancora una pagina.
Per approfondire, Git 2.56.1 corregge sei vulnerabilità, una porta a eseguire codice e Apache OFBiz, l'ACN segnala 28 vulnerabilità gravi e chiede di aggiornare.
Limiti da conoscere
Red Hat afferma che una ricerca pubblica ha dimostrato un exploit affidabile contro la configurazione predefinita, ma non la nomina né la collega. Wiz sostiene invece che non esistono exploit disponibili né sfruttamenti in corso. Le due versioni non sono conciliabili, per ora. Mancano le correzioni di mod_h2 e di diverse distribuzioni, e lo stato di Ubuntu non è noto.
Cosa cambia per chi lavora con il digitale
Per chi gestisce server, la prima cosa è sapere se HTTP/2 è attivo e su quale versione. Se il server è tra quelle colpite, il rischio è l'esecuzione di codice da remoto, quindi la priorità è alta anche se oggi non risultano attacchi. Chi ha un sito su un server gestito da altri deve chiedere se la correzione è già stata applicata. Non basta essere aggiornati a una release precedente. Anche chi ha installato la 2.4.67, uscita il 4 maggio per un'altra falla HTTP/2, o una successiva fino alla 2.4.70, è ancora esposto. Su Debian conviene valutare subito la disattivazione di HTTP/2, perché la correzione non c'è.
Il nostro parere
La storia mostra un nodo ormai frequente. Un modulo comodo e attivo quasi ovunque porta con sé una complessità che si paga in sicurezza. Il fatto che la correzione arrivi prima nel progetto che nelle distribuzioni, e che mod_h2 resti scoperto perché archiviato, è un problema pratico serio. Tornare a HTTP/1.1 costa qualche prestazione ma è una scelta lecita per qualche giorno. Il dissenso tra Red Hat e Wiz sull'exploit è la parte da seguire con più attenzione, e nel dubbio conviene trattare la falla come sfruttabile.
Domande frequenti
La falla colpisce tutti i server Apache?
No. Colpisce solo Apache HTTP Server dalla 2.4.55 alla 2.4.70 con HTTP/2 attivo. Se Protocols non abilita h2 o h2c, il modulo non serve richieste HTTP/2.
Qual è la versione corretta?
La 2.4.71 del progetto Apache. Le distribuzioni hanno pacchetti propri, per esempio mod_http2-2.0.26-7.el9_9.1 su Red Hat Enterprise Linux 9, quindi controlla il numero indicato dal tuo fornitore.
Posso mitigare senza aggiornare?
Sì. Wiz consiglia di rimuovere h2 e h2c dalla direttiva Protocols, lasciando solo http/1.1. L'avviso di Apache invece non prevede soluzioni alternative.
Esiste già un exploit?
Dipende dalla fonte. Red Hat parla di una ricerca pubblica con un exploit affidabile, senza citarla. Wiz dice che non risulta alcun exploit né sfruttamento in corso.
Red Hat Enterprise Linux 8 è colpito?
No. Le versioni 6, 7 e 8 non contengono il codice vulnerabile. Sono invece corrette la 9 e la 10, dove Red Hat classifica la falla come Important.
Cosa guardare nei prossimi giorni su Apache e HTTP/2
Restano aperti diversi fronti, dalle distribuzioni senza patch al modulo mod_h2 fermo. Conviene seguirli finché non si chiudono.
- Controlla se Debian, Amazon Linux e Ubuntu pubblicano i pacchetti corretti e quando.
- Verifica se compare davvero un exploit pubblico, e confronta le notizie con le versioni di Red Hat e Wiz.
- Se usi mod_h2 da GitHub, pianifica il passaggio al modulo incluso in Apache o a una versione corretta.
