Projekt Apache HTTP Server vydal údržbovú verziu. httpd 2.4.67, v ktorom bola zraniteľnosť odstránená CVE-2026 23918, v implementácii HTTP/2. Problém bol hodnotený ako kritický dôležitý a súvisí s chybou triedy dvojitý voľný pri spracovaní scenára skorého resetovania pripojenia v HTTP/2. Za nepriaznivých podmienok môže chyba viesť nielen k zlyhaniu pracovného postupu, ale aj k možné vzdialené spustenie kódu.
Podľa popisu Apache sa zraniteľnosť týka Apache HTTP Server 2.4.66Používateľom tejto verzie sa odporúča prejsť na 2.4.67, kde bol problém opravený. Ako osoby, ktoré objavili zraniteľnosť, sú uvedení Bartlomiej Dmitruk zo striga.ai a Stanislaw Strzalkowski z isec.pl.
Aktualizácia je uvedená aj v zozname zmien vydania. mod_http2 až po verziu 2.0.37, čo zabránilo opakovanému čisteniu streamu, ktoré viedlo k dvojitému uvoľneniu, a potom k verziám 2.0.38 a 2.0.39. Okrem chyby CVE-2026-23918 táto verzia rieši množstvo ďalších bezpečnostných problémov v komponentoch mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite a ďalších.
Uvoľnite Apache httpd 2.4.67 Táto verzia, publikovaná 4. mája 2026, je aktuálnou odporúčanou verziou stabilnej vetvy 2.4.x. Správcovia používajúci Apache s povoleným HTTP/2 by mali túto aktualizáciu považovať za prioritu, najmä ak sa už používa verzia 2.4.66.
Zdroj: linux.org.ru
