Projekt Apache HTTP Server vydal opravnou verzi httpd 2.4.67, ve které byla zranitelnost odstraněna CVE-2026-23918 ve implementaci HTTP/2. Problém měl úroveň závažnosti důležité a byl spojen s chybou třídy double free při zpracování scénáře předčasného obnovení spojení v HTTP/2. Za nepříznivých podmínek může tato chyba vést nejen k pádům pracovního procesu, ale také k potenciálnímu vzdálenému spuštění kódu.
Podle popisu Apache se zranitelnost týká Apache HTTP Server 2.4.66. Uživatelům této verze se doporučuje aktualizovat na 2.4.67, kde byla problém vyřešena. Mezi objeviteli zranitelnosti jsou Bartlomiej Dmitruk ze striga.ai a Stanislaw Strzalkowski z isec.pl.
V changelogu verze je také zmíněna aktualizace mod_http2 na verzi 2.0.37, kde byl zabráněn opakovaný purge streamu, který vedl k double free, a poté na 2.0.38 a 2.0.39. Kromě CVE-2026-23918 vydání řeší řadu dalších bezpečnostních problémů v mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite a dalších komponentách.
Uvolnění Apache httpd 2.4.67 byl zveřejněn 4. května 2026 a je označen jako aktuálně doporučovaná verze stabilní větve 2.4.x. Pro administrátory používající Apache s povoleným HTTP/2 by byla aktualizace považována za prioritu, zejména pokud je již v provozu verze 2.4.66.
Zdroj: linux.org.ru
