Apache HTTP Server CVE-2026-119618: kritická chyba v HTTP/2 umožňuje vzdálené spuštění kódu

Projekt Apache 11. listopadu 2026 vydal verzi 2.4.71, která opravuje kritickou chybu CVE-2026-119618 v modulu mod_http2. Postižené jsou verze 2.4.55 až 2.4.70 se zapnutým HTTP/2.

Apache HTTP Server je jeden z nejrozšířenějších webových serverů a běží na něm velká část českých webů, e-shopů i firemních aplikací. Podle zpráv serverů The Hacker News a Cybersecurity News vydal projekt Apache 11. listopadu 2026 verzi 2.4.71, která opravuje kritickou chybu CVE-2026-119618 v modulu mod_http2. Jde o souběh vláken (race condition, CWE-362) ve funkci assign_headers(), který může poškodit paměť na haldě. Neověřený útočník z internetu tak může potenciálně převzít kontrolu nad procesem serveru.

Které verze jsou postižené? Podle dostupných zpráv Apache HTTP Server 2.4.55 až 2.4.70 a také samostatné vydání modulu mod_h2 2.0.8 až 2.0.42 z GitHubu. Podle Red Hat se chyba týká jen serverů se zapnutým HTTP/2. Stejné vydání 2.4.71 opravuje také dvě méně závažné chyby, CVE-2026-106023 a CVE-2026-109163.

Je chyba už zneužívána? Podle jednoho ze zdrojů zatím nejsou známé případy zneužití v praxi. Veřejné detaily ale zpravidla rychle vedou k hromadnému skenování internetu, proto s aktualizací neodkládejte. Linuxové distribuce často opravu zabalí do balíčku bez změny čísla verze, takže vedle výstupu příkazu httpd -v ověřte také upozornění vaší distribuce.

Co dělat hned? Aktualizujte na 2.4.71 nebo na balíček od distribuce, který opravu obsahuje, a službu restartujte. Pokud to nejde ihned, jeden zdroj doporučuje jako dočasné opatření vypnout HTTP/2 na veřejně dostupných serverech. Za aktualizací vždy ověřte, že web po restartu běží a že v logách nejsou podezřelé požadavky z doby před opravou.