Apache HTTP Server: falla critica in HTTP/2, aggiorna

Cosa è successo

L'11 novembre 2026 la Apache Software Foundation ha pubblicato la 2.4.71 e l'avviso su una falla critica nel modulo mod_http2 di Apache HTTP Server, identificata come CVE-2026-119618. Un attaccante da remoto, senza bisogno di credenziali, potrebbe eseguire codice sul server. Secondo l'avviso Apache si tratta di una esecuzione concorrente su una risorsa condivisa senza sincronizzazione corretta, nella funzione assign_headers() di mod_http2 (corruzione della memoria).

BleepingComputer precisa che l'HTTP/2 non è attivo di default in Apache: il rischio riguarda solo chi l'ha abilitato. Wiz stima che il 64% degli ambienti cloud abbia risorse vulnerabili e circa metà di queste sia esposta a internet (dato non tiene conto della configurazione).

Red Hat (distributore di Linux), citata dall'articolo, la valuta 9,8 su 10 e dice che l'attaccante potrebbe ottenere il controllo completo del processo del server. Sulle sue RHEL 9 e 10 la considera invece «Important», perché i suoi pacchetti assegnano a ogni flusso HTTP/2 un proprio allocatore di memoria (il meccanismo che gestisce la memoria), cosa che rende l'attacco molto più difficile.

Chi è colpito

Sono colpiti solo i server con HTTP/2 abilitato. Le versioni di Apache interessate vanno dalla 2.4.55 alla 2.4.70; la 2.4.71 la corregge.

Attenzione: la 2.4.67 correggeva la falla di maggio (CVE-2026-23918), ma chi è fermo a una qualsiasi versione fra la 2.4.67 e la 2.4.70 è ancora vulnerabile a questa.

Il modulo mod_h2 distribuito a parte su GitHub (versioni da 2.0.8 a 2.0.42) è colpito (lo dicono Apache e BleepingComputer); secondo The Hacker News non ha una versione corretta: il repository è archiviato dal 9 giugno.

Sulle distribuzioni, secondo l'articolo: Red Hat ha pubblicato pacchetti corretti per RHEL 9 e 10, RHEL 6, 7 e 8 non sono colpite, mentre JBoss Core Services e Hardened Images sono colpiti e senza correzione indicata. Debian ha la correzione solo in sid; per bookworm, trixie e forky non ne risulta una. Amazon Linux è in attesa e per Ubuntu non c'era ancora una pagina nel tracker.

È già sfruttata?

Al 13 novembre le fonti non concordano. Red Hat dice che una ricerca pubblica ha mostrato un exploit affidabile contro le configurazioni predefinite con mod_http2 attivo, senza indicare quale. Wiz, più tardi lo stesso giorno, ha detto che non c'era alcun exploit disponibile né sfruttamento in corso segnalato, e BleepingComputer riporta la stessa posizione di Wiz.

Nessuna fonte letta scioglie il contrasto: per prudenza conviene trattarla come urgente.

Cosa fare

Sintesi di avviso Apache, BleepingComputer e The Hacker News.

1. Controlla la versione di Apache installata sul tuo server.
2. Se è tra la 2.4.55 e la 2.4.70, aggiorna alla 2.4.71 o installa il pacchetto corretto della tua distribuzione, se già disponibile.
3. Se non puoi aggiornare subito, Wiz (e watchTowr, secondo BleepingComputer: «drop h2 until you can») suggerisce di togliere h2 e h2c dalla direttiva Protocols lasciando Protocols http/1.1.
4. Controlla sia l'impostazione globale sia ogni virtual host (le singole configurazioni dei siti): secondo l'articolo la direttiva può essere impostata in entrambi i punti.
5. Se usi un hosting condiviso, chiedi al fornitore se ha aggiornato.

Cosa non si sa ancora

Fonti. Versioni, correzione, data e credito sono confermati dall'avviso ufficiale Apache; i pacchetti delle distribuzioni, il punteggio 9,8 e le posizioni di Red Hat e Wiz li riportiamo come li descrivono The Hacker News e BleepingComputer: non abbiamo aperto direttamente gli avvisi di Red Hat e Wiz.

Scoperta. Secondo l'avviso Apache, la falla è stata segnalata il 26 ottobre all'OSS Scanner di Anthropic (servizio di scansione di progetti open source che usa modelli di IA) e il 3 novembre ad Anthony Weems e Simon Scannell di Google Cloud Vulnerability Research.

Mancano: la causa tecnica, i dettagli dell'attacco, la ricerca citata da Red Hat, lo stato di Ubuntu e i tempi di Debian e Amazon Linux.