Projekt Apache HTTP Server izdao je ispravak httpd 2.4.67, u kojem je otklonjena ranjivost CVE-2026-23918 u implementaciji HTTP/2. Problem ima značajnu važnost important i povezan je s greškom klase double free prilikom obrade skripte ranog gašenja konekcije u HTTP/2. U nepovoljnim uvjetima, greška može dovesti ne samo do iznenadnog prekida rada procesa, već i do potencijalnog daljinskog izvršavanja koda.
Prema opisu Apachea, ranjivost utječe na Apache HTTP Server 2.4.66. Korisnicima ove verzije preporučuje se nadogradnja na 2.4.67, gdje je problem ispravljen. Kao otkrivači ranjivosti navedeni su Bartlomiej Dmitruk iz striga.ai i Stanislaw Strzalkowski iz isec.pl.
U changelog-u izdanja također je istaknuto ažuriranje mod_http2 do verzije 2.0.37, gdje je spriječen ponovni purge toka, što je dovelo do double free, a zatim do 2.0.38 i 2.0.39. Osim CVE-2026-23918, izdanje zatvara niz drugih problema s sigurnošću u mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite i drugim komponentama.
Izdanje Apache httpd 2.4.67 objavljen je 4. svibnja 2026. godine i proglašen trenutnom preporučenom verzijom stabilne grane 2.4.x. Za administratore koji koriste Apache s uključenim HTTP/2, nadogradnja bi se trebala smatrati prioritetom, posebno ako se već koristi 2.4.66.
Izvor: linux.org.ru
