Apache HTTP Server-projektet har udgivet en opdatering httpd 2.4.67, hvor sårbarheden er blevet løst CVE-2026-23918 i implementeringen af HTTP/2. Problemet har fået alvorlighedsgraden important og er relateret til en fejl af typen double free ved behandling af en tidlig forbindelse reset-situation i HTTP/2. Under uheldige omstændigheder kan fejlen føre til ikke kun en crash af arbejdsprocessen, men også til potentiel fjernudførelse af kode.
Ifølge beskrivelsen fra Apache påvirker sårbarheden Apache HTTP Server 2.4.66. Brugere af denne version anbefales at opgradere til 2.4.67, hvor problemet er blevet løst. Bartlomiej Dmitruk fra striga.ai og Stanislaw Strzalkowski fra isec.pl er angivet som opdagere af sårbarheden.
I changelog for udgivelsen er opdateringen også nævnt mod_http2 til version 2.0.37, hvor en gentagen purge af strømmen, der førte til double free, blev forhindret, og derefter til 2.0.38 og 2.0.39. Foruden CVE-2026-23918 adresserer udgivelsen en række andre sikkerhedsproblemer i mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite og andre komponenter.
Udgivelsen Apache httpd 2.4.67 blev offentliggjort den 4. maj 2026 og er erklæret som den nuværende anbefalede version af den stabile 2.4.x-gren. For administratorer, der bruger Apache med aktiveret HTTP/2, bør opdateringen betragtes som en prioritet, især hvis 2.4.66 allerede er i drift.
Kilde: linux.org.ru
