O projeto Apache HTTP Server lançou uma atualização corretiva httpd 2.4.67, que resolve uma vulnerabilidade CVE-2026-23918 na implementação do HTTP/2. O problema foi classificado como importante e está relacionado a um erro da classe double free durante o processamento de um script de early connection reset no HTTP/2. Em condições adversas, o erro pode levar não apenas ao encerramento inesperado do processo, mas também a possível execução remota de código.
De acordo com a descrição do Apache, a vulnerabilidade afeta Apache HTTP Server 2.4.66. Os usuários dessa versão são aconselhados a atualizar para 2.4.67, onde o problema foi corrigido. Os descobridores da vulnerabilidade foram Bartlomiej Dmitruk da striga.ai e Stanislaw Strzalkowski da isec.pl.
No changelog da versão também foi observada a atualização do mod_http2 até a versão 2.0.37, que evita a purgação repetida do fluxo, levando ao double free, e depois para 2.0.38 e 2.0.39. Além da CVE-2026-23918, o lançamento resolve várias outras questões de segurança no mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite e outros componentes.
Lançamento Apache httpd 2.4.67 foi publicado em 4 de maio de 2026 e declarado como a versão recomendada atual da ramificação estável 2.4.x. Para administradores que utilizam o Apache com HTTP/2 habilitado, a atualização deve ser considerada uma prioridade, especialmente se a 2.4.66 já estiver em uso.
Fonte: linux.org.ru
