Foi lançado o Apache HTTP Server 2.4.67, que corrige 11 vulnerabilidades e inclui várias correções. A vulnerabilidade mais crítica (CVE-2026-23918) é causada por uma liberação dupla de memória no módulo mod_http2 e pode potencialmente levar à execução remota de código no servidor através de manipulações com o protocolo HTTP/2. A falha ocorre apenas na versão 2.4.66. A gravidade do problema é avaliada em 8,8 de 10.
Outra vulnerabilidade (CVE-2026-24072) com nível de gravidade 8,8 existe no módulo mod_rewrite e permite que usuários locais hospedagem, que têm permissão para criar arquivos «.htaccess», leiam o conteúdo de quaisquer arquivos no sistema com as permissões do usuário sob o qual o processo httpd está em execução.
Vulnerabilidades menos perigosas:
- CVE-2026-28780 — um estouro de buffer no mod_proxy_ajp, que pode ser explorado ao conectar um proxy a um servidor AJP malicioso. Através da transmissão de mensagens AJP especialmente formatadas (Apache JServ Protocol), é possível escrever 4 bytes além dos limites do buffer alocado.
- CVE-2026-33523 — a possibilidade de realizar um ataque de divisão de respostas HTTP em sistemas front-end/back-end (HTTP response splitting), que permite a inserção de cabeçalhos adicionais na resposta ou a divisão das respostas a fim de intercalar conteúdos das respostas para outros usuários processadas na mesma thread entre o front-end e o back-end.
- CVE-2026-33006 — ataque por canais laterais (análise de latência) no mod_auth_digest, que permite contornar a autenticação Digest.
- CVE-2026-29168 — falta de limitação adequada nos recursos alocados ao processar uma resposta OCSP formatada de maneira especial no mod_md.
- CVE-2026-29169 — desreferenciamento de ponteiro nulo no módulo mod_dav_lock, que pode ser usado para provocar a interrupção do processo do servidor.
- CVE-2026-33007 — desreferenciamento de ponteiro nulo no módulo mod_authn_socache, que pode ser usado para causar a interrupção de um processo filho em configurações com proxy em cache.
- CVE-2026-33857 — leitura de um byte da memória fora do buffer alocado no módulo mod_proxy_ajp.
- CVE-2026-34032 — leitura de dados da memória fora do buffer alocado devido à falta de verificação do caractere nulo terminador na mod_proxy_ajp.
- CVE-2026-34059 — vazamento de conteúdo de memória no mod_proxy_ajp.
Além disso, a nova versão corrige erros não relacionados à segurança em mod_http2 e mod_md, e novos tipos MIME foram adicionados ao arquivo conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Fonte: opennet.ru
