Byla představena verze HTTP serveru Apache 2.4.67, která opravila 11 zranitelností a obsahuje několik dalších oprav. Nejvážnější zranitelností (CVE-2026-23918) je dvojité uvolnění paměti v modulu mod_http2, které může potenciálně vést k dálkovému provedení kódu na serveru prostřednictvím manipulace s protokolem HTTP/2. Tato zranitelnost se projevuje pouze ve verzi 2.4.66. Problém byl ohodnocen úrovní nebezpečnosti 8.8 z 10.
Další zranitelnost (CVE-2026-24072) s úrovní nebezpečnosti 8.8 se nachází v modulu mod_rewrite a umožňuje místním uživatelům hostingu, kteří mají právo vytvářet soubory „.htaccess“, číst obsah jakýchkoli souborů v systému s privilegii uživatele, pod kterým běží proces httpd.
Méně nebezpečné zranitelnosti:
- CVE-2026-28780 — přetečení zásobníku v mod_proxy_ajp, které lze zneužít při připojení proxy k škodlivému AJP serveru. Přenosem speciálně upravených AJP zpráv (Apache JServ Protocol) lze dosáhnout zápisu 4 bajtů mimo vyhrazený zásobník.
- CVE-2026-33523 — možnost provedení útoku na rozdělení HTTP odpovědí na systémech frontend-backend (HTTP response splitting), což umožňuje vkládání dodatečných hlaviček odpovědi nebo rozdělení odpovědí, aby se vetřely do obsahu odpovědí ostatních uživatelů, zpracovávaných ve stejném toku mezi frontendem a backendem.
- CVE-2026-33006 — útok prostřednictvím bočních kanálů (analýza zpoždění) na mod_auth_digest, což umožňuje obcházení Digest autentizace.
- CVE-2026-29168 — nedostatečné omezení vyhrazených zdrojů při zpracování speciálně upravené odpovědi OCSP v mod_md.
- CVE-2026-29169 — dereferencování nulového ukazatele v modulu mod_dav_lock, které může být použito k vyvolání havarijního ukončení procesů serveru.
- CVE-2026-33007 — dereferencování nulového ukazatele v modulu mod_authn_socache, které může být použito k vyvolání havarijního ukončení potomkových procesů v konfiguracích s cache proxy.
- CVE-2026-33857 — čtení jednoho bajtu z paměti mimo vyhrazený zásobník v modulu mod_proxy_ajp.
- CVE-2026-34032 — čtení dat z paměti mimo vyhrazený zásobník kvůli absenci kontroly na koncový nulový znak v mod_proxy_ajp.
- CVE-2026-34059 — únik obsahu paměti v mod_proxy_ajp.
Dále byl v nové verzi odstraněn problematický kód související se zabezpečením v mod_http2 a mod_md a byly přidány nové MIME typy do souboru conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Zdroj: opennet.ru
