Објављен је Apache HTTP Server 2.4.67, који исправља 11 рањивости и уводи неколико исправки. Најозбиљнија рањивост (CVE-2026-23918) је узрокована клаузулом double-free у модулу mod_http2 и потенцијално може довести до удаљеног извршавања кода на серверу манипулацијом HTTP/2 протокола. Ова рањивост је присутна само у издању 2.4.66. Проблем има оцену озбиљности 8.8 од 10.
Још једна рањивост (CVE-2026-24072) са нивоом озбиљности 8.8 присутна је у модулу mod_rewrite и омогућава локалним корисницима хостинга са правом креирања „.htaccess“ датотека да читају садржај било којих датотека на систему са привилегијама корисника под којим се покреће httpd процес.
Мање опасне рањивости:
- CVE-2026-28780 — прекорачење бафера у mod_proxy_ajp које се може искористити приликом повезивања проксија са злонамерним AJP сервером. Слањем специјално креираних AJP (Apache JServ Protocol) порука, могуће је записати 4 бајта изван краја додељеног бафера.
- CVE-2026-33523 - Напад дељењем HTTP одговора је могућ на фронтенд-бекенд системима, што омогућава уметање додатних заглавља одговора или дељење одговора како би се убризгао садржај у одговоре других корисника обрађених у истој нити између фронтенда и бекенда.
- CVE-2026-33006 – Напад преко споредног канала (анализа латенције) на mod_auth_digest омогућава заобилажење Digest аутентификације.
- CVE-2026-29168 - Недостатак правилног ограничења расподеле ресурса приликом обраде посебно креираног OCSP одговора у mod_md.
- CVE-2026-29169 - Дереференцирање NULL показивача у модулу mod_dav_lock може се искористити за изазивање пада процеса сервера.
- CVE-2026-33007 - Дереференцирање NULL показивача у модулу mod_authn_socache може се користити за изазивање пада подређеног процеса у конфигурацијама проксија за кеширање.
- CVE-2026-33857 - Читање једног бајта ван граница у mod_proxy_ajp.
- CVE-2026-34032 - Читање ван граница због недостајуће провере завршног карактера NULL у mod_proxy_ajp.
- CVE-2026-34059 - Цурење меморије у mod_proxy_ajp.
Поред тога, ново издање исправља грешке које нису везане за безбедност у mod_http2 и mod_md, и додаје нове MIME типове у датотеку conf/mime.types: vnd.sqlite3, HEIC, HEIF.
Извор: опеннет.ру
