Falha crítica no mod_http2 do Apache permite execução remota de código sem autenticação

A CVE-2026-119618 (CVSS 9.8) é uma falha de memória no mod_http2 do Apache HTTP Server. Atinge as versões 2.4.55 a 2.4.70 e só afeta servidores com HTTP/2 ativo. Um atacante remoto, sem autenticação, que consiga alcançar o servidor pode assumir o controle do processo, segundo a Red Hat. A correção está na versão 2.4.71, que também resolve uma queda no mod_md (severidade importante) e uma sobrescrita de um byte na pilha no mod_vhost_alias (severidade baixa).

Há divergência sobre o estágio da ameaça. A Red Hat diz que pesquisas públicas demonstraram um exploit confiável contra a configuração padrão, mas não nomeia nem indica essa pesquisa. A Wiz afirma que não há exploit disponível e que nenhuma exploração foi relatada. Na prática, trate como não confirmado e corrija mesmo assim. Na RHEL 9 e 10, a Red Hat classifica como Importante, não Crítica, porque cada stream HTTP/2 usa seu próprio alocador de memória, o que dificulta o ataque. A RHEL 8 e anteriores não têm o código vulnerável. A correção na RHEL 9 vem no pacote mod_http2-2.0.26-7.el9_9.1.

O HTTP/2 só roda onde a diretiva Protocols habilita h2 (sobre TLS) ou h2c (sobre TCP puro). Ela pode ser definida no servidor inteiro ou por virtual host, então vale revisar todos. Sem atualizar, a Wiz recomenda remover h2 e h2c e deixar apenas http/1.1. As builds standalone mod_h2 (2.0.8 a 2.0.42) também são afetadas, e o projeto, arquivado em 9 de junho, não tem versão corrigida. Para elas, a mudança na Protocols é a única saída.

Não é a primeira falha de HTTP/2 no Apache este ano. Em 7 de maio de 2026, o CEVIU noticiou "Falha Crítica no Apache HTTP/2 (CVE-2026-23918) Permite DoS e Potencial RCE", um double-free no mod_http2 corrigido na 2.4.67. Quem atualizou para essa versão ou qualquer uma até a 2.4.70 continua vulnerável à falha nova. Em 13 de novembro de 2026, o CEVIU também publicou "Falha crítica de RCE no módulo HTTP/2 do Apache HTTP Server afeta 64% dos ambientes em nuvem, aponta Wiz", que cita uma race condition em assign_headers() e o dado da Wiz sobre ambientes em nuvem.

Para quem opera Apache com HTTP/2, o ponto é inventariar. Um patch de maio não protege contra esta falha, então confira a versão real e todas as diretivas Protocols, inclusive nos virtual hosts. Quem depende do mod_h2 standalone não tem patch à vista e deve desligar h2 e h2c. A divergência sobre o exploit é motivo para checar logs, não para adiar a atualização.