Projekt Apache HTTP Server je izdal popravek httpd 2.4.67, ki odpravlja ranljivost CVE-2026-23918 v implementaciji HTTP/2. Problem je prejel raven pomembnosti important in je povezan z napako razreda double free pri obdelavi scenarija zgodnjega ponovnega odprtja povezave v HTTP/2. V neugodnih pogojih lahko napaka povzroči ne le trenutni zlom delovnega procesa, temveč tudi potencialno oddaljeno izvajanje kode.
Po opisu Apache ranljivost vpliva na Apache HTTP Server 2.4.66. Uporabnikom te različice se priporoča nadgradnja na 2.4.67, kjer je problem odpravljen. Odkritelja ranljivosti sta Bartlomiej Dmitruk iz striga.ai in Stanislaw Strzalkowski iz isec.pl.
V changelog-u izdaje je prav tako navedeno posodobitev mod_http2 do verzije 2.0.37, kjer je bil preprečen ponovni purge toka, kar je vodilo do double free, nato pa do 2.0.38 in 2.0.39. Poleg CVE-2026-23918, izdaja zapira vrsto drugih težav z varnostjo v mod_proxy_ajp, mod_auth_digest, mod_authn_socache, mod_md, mod_rewrite in drugih komponentah.
Izdaja Apache httpd 2.4.67 je bila objavljena 4. maja 2026 in razglašena za trenutno priporočeno različico stabilne veje 2.4.x. Za skrbnike, ki uporabljajo Apache s omogočenim HTTP/2, je nadgradnja treba obravnavati kot prednostno nalogo, še posebej, če že uporabljajo 2.4.66.
Izvor: linux.org.ru
