Projekt Apache HTTP Server vydal opravný release httpd 2.4.67, v ktorom bola odstránená zraniteľnosť CVE-2026-23918 v implementácii HTTP/2. Problém získal úroveň dôležitosti dôležitá a súvisí s chybou typu double free pri spracovaní skriptu na predčasné ukončenie spojenia v HTTP/2. V nepriaznivých podmienkach môže chyba viesť nielen k havárii pracovného procesu, ale aj k potenciálnemu vzdialenému vykonaniu kódu.
Podľa popisu Apache, zraniteľnosť sa týka Apache HTTP Server 2.4.66. Používateľom tejto verzie sa odporúča aktualizovať na 2.4.67, kde bola chyba opravená. Ako objaviteľov zraniteľnosti uvádzajú Bartlomiej Dmitruk zo striga.ai a Stanislaw Strzalkowski z isec.pl.
V changelogu release je tiež uvedené aktualizácia mod_http2 na verziu 2.0.37, kde bol zabránený opakovaný purge streamu, ktorý viedol k double free, a následne na 2.0.38 a 2.0.39. Okrem CVE-2026-23918, release uzatvára množstvo ďalších bezpečnostných problémov v mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite a ďalších komponentoch.
Release Apache httpd 2.4.67 bol publikovaný 4. mája 2026 a vyhlásený za aktuálne odporúčanú verziu stabilnej vetvy 2.4.x. Pre administrátorov, ktorí používajú Apache s povoleným HTTP/2, sa aktualizácia považuje za prioritu, najmä ak je už v prevádzke 2.4.66.
Zdroj: linux.org.ru
