Apache corrige vulnerabilidade crítica que permite execução remota de código em servidores HTTP/2

A Apache Software Foundation disponibilizou uma atualização de segurança para corrigir uma vulnerabilidade crítica no Apache HTTP Server, que pode permitir a atacantes executar código remotamente em servidores com o protocolo HTTP/2 ativado. A falha, identificada como CVE-2026-119618, afeta as versões 2.4.55 a 2.4.70 do software e foi corrigida a 11 de novembro, com o lançamento da versão 2.4.71.

A vulnerabilidade encontra-se no módulo mod_http2, responsável pelo processamento das ligações HTTP/2, e resulta de uma condição de corrida (race condition) no acesso a recursos partilhados por diferentes threads. Em determinadas circunstâncias, este comportamento pode provocar corrupção de memória e permitir que um atacante remoto, sem necessidade de autenticação, execute comandos arbitrários no contexto do processo do servidor.

A Red Hat atribuiu à vulnerabilidade uma classificação CVSS de 9,8, correspondente a gravidade crítica, e alerta para a possibilidade de um atacante assumir o controlo do processo afetado. No entanto, a exposição depende da configuração do servidor: apenas as instalações com HTTP/2 ativado são vulneráveis, enquanto os servidores configurados exclusivamente para HTTP/1.1 não são afetados.

A descoberta da falha envolveu duas investigações independentes. Segundo o aviso de segurança da Apache, o OSS Scanner da Anthropic comunicou a vulnerabilidade a 26 de outubro, enquanto Anthony Weems e Simon Scannell, da equipa Google Cloud Vulnerability Research, reportaram o mesmo problema a 3 de novembro.

Mais de metade dos ambientes cloud analisados tinham instâncias expostas

A dimensão potencial da superfície de ataque foi analisada pela empresa de segurança cloud Wiz, que identificou versões afetadas do Apache HTTP Server em 64% dos ambientes cloud presentes nos seus dados. A análise revelou ainda que 51% desses ambientes tinham instâncias acessíveis publicamente.

A Wiz sublinha, contudo, que estes valores não representam necessariamente sistemas vulneráveis à exploração da CVE-2026-119618. Os resultados têm em conta a presença de versões afetadas do Apache, mas não verificam se o módulo mod_http2 está ativo ou se os servidores utilizam efetivamente HTTP/2.

Esta distinção é importante para avaliar o risco real. Uma instalação que execute uma versão afetada, mas esteja configurada exclusivamente para HTTP/1.1, não apresenta a condição necessária à exploração da vulnerabilidade. Por outro lado, servidores com HTTP/2 ativado e acessíveis a partir da Internet podem constituir alvos de maior interesse para atacantes.

A natureza da falha também dificulta a avaliação da sua exploração. As condições de corrida dependem da interação entre diferentes operações executadas em simultâneo, podendo produzir comportamentos variáveis, desde falhas no processo do servidor até situações de corrupção de memória potencialmente exploráveis.

Provas de conceito demonstram corrupção de memória

A informação disponível sobre a exploração da CVE-2026-119618 apresenta diferentes níveis de confirmação. A Red Hat refere que foi demonstrado publicamente um exploit fiável contra um servidor com mod_http2 ativado, embora o respetivo aviso não identifique a investigação em causa.

Por sua vez, a Wiz indicou que, à data da publicação da sua análise, a 11 de novembro, não existiam exploits disponíveis nem relatos de exploração ativa da vulnerabilidade em ataques reais.

Entretanto, foi disponibilizada no GitHub uma prova de conceito (PoC) que documenta a reprodução de corrupção de memória e falhas nos processos do Apache HTTP Server. No entanto, essa demonstração não comprova a execução remota de código, pelo que os resultados apresentados não devem ser confundidos com a exploração completa da vulnerabilidade.

Com base na informação divulgada, não existe confirmação de que a CVE-2026-119618 esteja a ser explorada em ataques reais. Ainda assim, a gravidade atribuída à falha e a ampla utilização do Apache HTTP Server justificam a prioridade da sua correção, especialmente em servidores expostos à Internet.

Atualização para a versão 2.4.71 é recomendada

A principal medida de mitigação consiste na atualização do Apache HTTP Server para a versão 2.4.71, ou na instalação dos pacotes de segurança disponibilizados pelos fornecedores das distribuições utilizadas.

Para organizações que não possam aplicar imediatamente a atualização, a desativação temporária do HTTP/2 pode impedir a exploração da vulnerabilidade, uma vez que elimina a condição necessária ao funcionamento do módulo afetado. Esta medida deve ser avaliada tendo em conta os requisitos de conectividade e desempenho das aplicações alojadas.

A empresa de segurança Defiant, responsável pelo Wordfence, alerta ainda que as atualizações de segurança do WordPress não corrigem este problema. A vulnerabilidade encontra-se no servidor web subjacente e não no sistema de gestão de conteúdos, pelo que a sua resolução exige uma intervenção ao nível do Apache HTTP Server.

Além da CVE-2026-119618, a versão 2.4.71 corrige outras duas vulnerabilidades. A primeira, identificada como CVE-2026-106023, apresenta gravidade importante e pode provocar falhas nos processos do servidor. A segunda, CVE-2026-109163, corresponde a um stack buffer overflow classificado como de baixa gravidade.

As organizações devem identificar as instalações do Apache HTTP Server que utilizam versões afetadas, confirmar se o HTTP/2 está ativado e aplicar as correções disponíveis. Nos ambientes em que a atualização não possa ser realizada de imediato, a desativação do protocolo constitui uma medida temporária para reduzir a exposição à vulnerabilidade crítica.