Lỗ hổng nghiêm trọng trong Apache HTTP/2 có thể cho phép tấn công từ xa
"A critical remote code execution (RCE) vulnerability, CVE-2026-119618, exists in Apache HTTP Server versions 2.4.55 through 2.4.70 when the HTTP/2 module (mod_http2) is enabled. An unauthenticated attacker can exploit this flaw to gain control of the server process. The vulnerability is addressed in version 2.4.71."
Lỗ hổng thực thi mã từ xa (RCE) cho phép kẻ tấn công chiếm quyền điều khiển máy chủ mà không cần xác thực. Mức độ nghiêm trọng cao, đánh giá 9.8/10 CVSS.
Các doanh nghiệp sử dụng Apache HTTP Server có thể gặp gián đoạn dịch vụ và mất dữ liệu nếu bị tấn công. Việc nâng cấp là cần thiết để bảo vệ hệ thống web.
Apache vừa phát hiện lỗ hổng thực thi mã từ xa (RCE) trong module HTTP/2 (mod_http2) của phiên bản 2.4.55 đến 2.4.70. Lỗ hổng này, theo dõi dưới mã CVE-2026-119618, đã được khắc phục trong phiên bản 2.4.71 ra mắt ngày hôm qua.
Chỉ các máy chủ bật HTTP/2 mới bị ảnh hưởng. Red Hat cho biết, kẻ tấn công không cần xác thực vẫn có thể chiếm quyền điều khiển quy trình máy chủ. Mức độ nghiêm trọng của lỗ hổng được đánh giá 9.8/10 trên thang điểm CVSS.
Wiz, một công ty bảo mật, sau đó cho biết chưa có khai thác nào được công bố và chưa ghi nhận trường hợp tấn công nào trong thực tế. HTTP/2 hoạt động khi chỉ thị Protocols được kích hoạt, sử dụng h2 cho HTTP/2 qua TLS và h2c cho HTTP/2 qua TCP. Quản trị viên nên kiểm tra cấu hình toàn máy chủ và từng virtual host.
Các bản dựng độc lập của module, phát hành trên GitHub dưới dạng mod_h2, bị ảnh hưởng từ phiên bản 2.0.8 đến 2.0.42. Để khắc phục, quản trị viên nên nâng cấp lên phiên bản 2.4.71. Bản phát hành này cũng sửa lỗi crash trong mod_md và lỗi ghi đè bộ nhớ stack trong mod_vhost_alias.
Red Hat đã phát hành bản sửa lỗi cho Red Hat Enterprise Linux 9 và 10, đánh giá mức độ nghiêm trọng là Important thay vì Critical. Các gói mod_http2 của Red Hat phân bổ bộ nhớ riêng cho mỗi stream HTTP/2, làm giảm khả năng tấn công. Red Hat Enterprise Linux 8 trở xuống không bị ảnh hưởng.
Debian unstable (sid) đã sửa lỗi, trong khi Debian bookworm, trixie và forky vẫn dễ bị tấn công. Amazon Linux 2 (Core), Amazon Linux 2023 và Amazon Linux 2027 Preview vẫn đang chờ bản sửa lỗi. Ubuntu chưa có thông tin về tình trạng này.
Wiz khuyên quản trị viên chưa thể cập nhật nên loại bỏ h2 và h2c khỏi chỉ thị Protocols, chỉ giữ lại http/1.1.
Câu hỏi thường gặp
CVE-2026-119618 là gì?
CVE-2026-119618 là mã định danh cho một lỗ hổng thực thi mã từ xa trong Apache HTTP Server, cho phép kẻ tấn công chiếm quyền điều khiển máy chủ.
Phiên bản Apache nào bị ảnh hưởng?
Các phiên bản từ 2.4.55 đến 2.4.70 bị ảnh hưởng. Bản vá được cung cấp trong phiên bản 2.4.71.
Làm thế nào để khắc phục lỗ hổng này?
Nâng cấp lên phiên bản Apache 2.4.71 hoặc loại bỏ h2 và h2c khỏi chỉ thị Protocols nếu không thể cập nhật ngay lập tức.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Apache HTTP Server và đã bật module HTTP/2. Việc nâng cấp lên phiên bản 2.4.71 là cần thiết để giảm thiểu rủi ro. Các doanh nghiệp nên kiểm tra cấu hình máy chủ để xác định xem HTTP/2 có được kích hoạt hay không. Điều đáng chú ý là Red Hat Enterprise Linux đã có bản vá, nhưng các bản phân phối khác có thể chưa.