Уязвимость Apache HTTP/2 CVE-2026-119618: что делать?

01Что произошло?

Apache — это программное обеспечение веб-сервера. В [уведомлении Apache о безопасности от 11.11.2026](https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-119618) CVE-2026-119618 описана как критическая уязвимость; версия 2.4.71 устраняет её. При параллельных запросах модуль `mod_http2` может повреждать оперативную память. Это потенциально позволяет удалённое выполнение кода, сокращённо RCE.

[Red Hat присваивает 11.11.2026](https://access.redhat.com/security/cve/cve-2026-119618) оценку 9,8 балла по CVSS v3.1. В рамках исследования эта числовая оценка подтверждена исключительно для Red Hat. Наличие отдельной числовой оценки Apache или NVD этим не подтверждается.

Более ранняя CVE-2026-93546 касается WebDAV в модуле `mod_dav_fs` и опубликована 01.10.2026. Операции записи после аутентификации могут приводить к аварийному завершению процессов и повреждению базы данных свойств WebDAV. Эта отдельная уязвимость описана в [записи CVE Apache о WebDAV](https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/93xxx/CVE-2026-93546.json).

02Насколько это опасно на самом деле?

По данным Red Hat, сетевая атака возможна без входа в систему и взаимодействия с пользователем. Для неё необходимы доступный уязвимый код модуля и включённый `h2` или `h2c`: HTTP/2 с шифрованием транспорта или без него соответственно. Успех выполнения кода зависит также от управления памятью. На конкретной установке RCE не гарантировано.

По состоянию на 12.11.2026 в изученных источниках нет надёжного подтверждения из первоисточников, что уязвимость используется в реальных атаках. Это не доказывает отсутствия атак. Достоверных числовых данных о попытках атак в исследовании также нет.

В вопросе публичного эксплойта сохраняется противоречие: [Red Hat](https://access.redhat.com/security/cve/cve-2026-119618) сообщает об опубликованном исследовании с надёжно работающим эксплойтом в стандартной конфигурации с включённым модулем, но не даёт ссылки на конкретное подтверждение. [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability) пишет 11.11.2026, что на момент публикации эксплойт был недоступен. В ходе исследования работоспособность публичного доказательства концепции, сокращённо PoC, не была подтверждена. Исследовательская демонстрация ещё не доказывает взлом сайта.

03Какие версии устраняют уязвимость?

Следующие сведения об исправлениях относятся исключительно к этой CVE. Поставщики могут переносить исправления в более старые версии пакетов; это называется бэкпортом. Определяющее значение имеют полный идентификатор пакета/сборки и соответствующее уведомление о безопасности. Отдельно установленный модуль HTTP/2 также необходимо включить в проверку.

• Apache upstream: затронуты неизменённые оригинальные версии с 2.4.55 по 2.4.70 включительно; 2.4.71 содержит исправление. Также затронут отдельный `mod_h2` 2.0.8–2.0.42. Источник: [примечания к выпуску от 11.11.2026](https://downloads.apache.org/httpd/CHANGES_2.4.71). На дату исследования исправленная отдельная версия модуля не была подтверждена среди [выпусков модуля](https://api.github.com/repos/icing/mod_h2/releases?per_page=3).
• RHEL 9: исправление в `mod_http2-2.0.26-7.el9_9.1` подтверждено уведомлением [RHSA-2026:98981 от 11.11.2026](https://access.redhat.com/errata/RHSA-2026:98981). Это соответствие относится к указанному продукту; без отдельного подтверждения его нельзя распространять на AlmaLinux или Rocky Linux.
• Debian: в [Security Tracker](https://security-tracker.debian.org/tracker/CVE-2026-119618), проверенном 12.11.2026, sid с `apache2 2.4.71-1` указан как исправленный. bookworm, trixie и forky были помечены там как уязвимые. Этот срез данных не заменяет актуального подтверждения для используемого пакета.
• Plesk/cPanel и Shared Hosting: универсальная безопасная версия панели не установлена. В [журнале изменений EasyApache от 11.11.2026](https://docs.cpanel.net/changelogs/easyapache-4-change-log-25/) для 25.95 указан `ea-apache24 2.4.70`; конкретное исправление этой CVE там не было подтверждено. Из этого нельзя делать общий вывод о состоянии исправлений у хостинг-провайдера. Уточните фактически используемые пакеты и возможные бэкпорты.

04Как проверить, затронут ли Ваш сайт?

Доступные для просмотра сведения дают подсказки. Чтобы определить, затронут ли сайт, оператору нужен доступ к пакетам и конфигурации.

• WordPress: в разделе Инструменты → Здоровье сайта → Информация → Сервер приводятся сведения о сервере, если они доступны. [Поле веб-сервера](https://developer.wordpress.org/reference/classes/wp_debug_data/get_wp_server/) не проверяет бэкпорты, версии модулей и все промежуточные серверы. Зелёный статус здоровья сайта не подтверждает защиту от этой CVE.
• Браузер: откройте инструменты разработчика, перейдите в раздел [Network/Сеть](https://developer.chrome.com/docs/devtools/network/reference/) и включите столбец Protocol/Протокол. `h2` у запроса документа указывает на HTTP/2 в этом соединении. При наличии промежуточного сервиса (CDN) Вы сначала видите соединение с ним. Этот столбец не показывает версию Apache; другое значение протокола также не исключает HTTP/2 за промежуточным сервисом.
• Plesk/cPanel: в [Plesk](https://docs.plesk.com/en-US/obsidian/administrator-guide/web-servers/apache-and-nginx-web-servers-linux/plesk-for-linux-http2-support-in-plesk.76461/) видимое HTTP/2-соединение может относиться к nginx. В [cPanel](https://docs.cpanel.net/ea4/apache/apache-modules/apache-module-http2/) администратор управляет модулем через WHM → Software → EasyApache. Название панели и TLS-сертификат не подтверждают состояние исправлений. Если у Вас нет прав управления, проверку проводит хостинг-провайдер.
• SSH: специалисты технического сопровождения могут проверить версию командой `apachectl -v`, а модули — командой `apachectl -M`; в зависимости от установки программа может называться иначе. Вывод команд не доказывает ни наличия бэкпортов, ни обновления работающих процессов. Дополнительно нужны полные идентификаторы пакетов и активная конфигурация протоколов.

05Что написать хостинг-провайдеру?

Скопируйте этот текст и укажите Ваш домен:

«Здравствуйте! Пожалуйста, проверьте мой домен [DOMAIN] на CVE-2026-119618. Какие веб-серверы и промежуточные сервисы обрабатывают запросы? Укажите, пожалуйста, выпуск операционной системы и источник пакетов, а также полные идентификаторы пакетов/сборок Apache и его модуля HTTP/2. Устранена ли уязвимость? Пришлите, пожалуйста, соответствующее уведомление поставщика о безопасности. Загружен ли `mod_http2` и где активны `h2` или `h2c`, в том числе за промежуточными сервисами или при прямом доступе? После обновления подтвердите, пожалуйста, полный перезапуск всех экземпляров Apache без оставшихся работающих старых процессов. Если исправление ещё не установлено: какая проверенная временная мера действует и когда будет выполнено обновление? Спасибо».

Мы рекомендуем полный перезапуск по эксплуатационным соображениям на основании [документации Apache](https://httpd.apache.org/docs/2.4/stopping.html). При перезапуске «graceful» текущие запросы сначала продолжают обрабатываться. Эта просьба не является специальным требованием, процитированным из уведомления о CVE. В ответе вроде «всё актуально» не хватает конкретных подтверждений.

06Что делать, если обновление нельзя установить сразу?

Предпочтительное решение — установка исправления. В качестве временной технической меры [Wiz](https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability) рекомендует отключить `h2` и `h2c`. Оператор должен проверить конфигурацию и подтвердить отключение для всех затронутых сайтов и способов прямого доступа к серверу. Apache не указывает собственного обходного решения в изученном уведомлении.

Это изменение вносится в конфигурацию сервера. Конфигурации отдельных сайтов могут переопределять глобальные настройки протоколов; `.htaccess` для этого не предназначен. HTTPS должен оставаться включённым: незашифрованный HTTP/2 тоже существует, поэтому отключение шифрования транспорта не устраняет причину.

Межсетевой экран веб-приложений (Web Application Firewall, WAF) или Cloudflare не дают универсальной гарантии защиты. [Cloudflare поддерживает HTTP/2 и при соединении с исходным сервером](https://developers.cloudflare.com/speed/optimization/protocol/http2-to-origin/). Специальная защита WAF от этой CVE не была подтверждена. Поручите проверить фактический путь соединения и способы прямого доступа к серверу.

Если ни установка исправления, ни проверенное отключение протоколов невозможны, в качестве крайней эксплуатационной меры мы рекомендуем ограничить сетевой доступ к уязвимому сервису или временно вывести его из эксплуатации. Страница технического обслуживания WordPress не прекращает обработку HTTP-запросов сервером.

07Частые вопросы об уязвимости Apache HTTP/2