Falha crítica de RCE no módulo HTTP/2 do Apache HTTP Server afeta 64% dos ambientes em nuvem, aponta Wiz

A CVE-2026-119618 é uma falha de sincronização no mod_http2 do Apache HTTP Server. A causa é uma race condition na função assign_headers(): threads concorrentes compartilham recursos sem sincronização adequada, o que permite corromper a heap. Um atacante remoto e sem autenticação pode converter essa corrupção em execução arbitrária de comandos, com os privilégios do processo do servidor web. A falha foi descoberta de forma independente pela Anthropic e pelo time de pesquisa de vulnerabilidades do Google Cloud.

Segundo a Wiz, 64% dos ambientes em nuvem têm recursos vulneráveis e 51% têm instâncias expostas publicamente. A própria Wiz avisa que o número não considera configuração, ou seja, é um teto de exposição e não de risco efetivo. Até a publicação do post, não havia exploit disponível nem relatos de exploração ativa. Em nuvem, uma instância Apache comprometida em workload containerizado ou virtualizado pode servir de ponto de entrada para movimentação lateral, atingindo microsserviços vizinhos ou endpoints de metadados. A correção é atualizar para a versão 2.4.71 ou posterior. Quem usa builds standalone do mod_h2 vindos do GitHub deve passar para uma versão acima da 2.0.42. Se não der para aplicar o patch, a mitigação é desativar o HTTP/2, removendo as referências a h2 e h2c do httpd.conf e deixando só HTTP/1.1.

Não é a primeira falha de mod_http2 que o CEVIU cobre este ano, mas é outra vulnerabilidade. Em 7 de maio de 2026, o CEVIU noticiou "Falha Crítica no Apache HTTP/2 (CVE-2026-23918) Permite DoS e Potencial RCE", um double-free no caminho de limpeza de stream do mod_http2 do httpd 2.4.66. Agora o problema é uma race condition em assign_headers(), com RCE como impacto central. O módulo aparece pela segunda vez como superfície de ataque crítica no mesmo ano.

Para quem opera Apache em produção, a leitura é que o HTTP/2 do httpd virou uma superfície que pede atenção recorrente, não pontual. Vale checar se os módulos h2 e h2c estão mesmo em uso, porque desligá-los é a mitigação imediata e custa pouco quando o tráfego aceita HTTP/1.1. Em ambientes com imagens de container antigas, o inventário de versões pesa mais que o patch em si: o número de 64% da Wiz sugere que muita gente nem sabe onde o Apache está rodando.