- Cosa può fare
- Un attaccante che riesce a raggiungere il server web può inviare richieste HTTP/2 costruite ad arte e, senza alcuna password, prendere il controllo del processo del server. Oltre all'esecuzione di codice, le falle corrette possono causare l'interruzione del servizio.
- Cosa mette in pericolo
- Siti web, portali e applicazioni ospitati su server Apache (molto diffuso su hosting, server Linux e alcuni appliance): rischio di compromissione del server, accesso ai dati del sito e blocco dell'attività online.
- Chi è colpito
- Apache HTTP Server dalla 2.4.55 alla 2.4.70 con HTTP/2 attivo (direttiva Protocols con h2 o h2c); modulo autonomo mod_h2 dalla 2.0.8 alla 2.0.42 (progetto archiviato, senza versione corretta). Su alcune distribuzioni Linux (ad esempio Debian stabile) la correzione risultava non ancora disponibile al momento delle fonti.
Cosa fare
- Verificare se i server web usano Apache HTTP Server e in quale versione (comando httpd -v oppure apache2 -v).
- Aggiornare ad Apache HTTP Server 2.4.71 o ai pacchetti corretti del proprio sistema operativo (per Red Hat Enterprise Linux 9 e 10 sono indicati pacchetti mod_http2 aggiornati).
- Se l'aggiornamento non è subito possibile, disattivare HTTP/2 togliendo h2 e h2c dalla direttiva Protocols e lasciando solo http/1.1 (mitigazione indicata da Wiz, riportata da The Hacker News).
- Controllare con il fornitore di hosting o con il referente IT che i server esposti su Internet siano aggiornati.
- Per le distribuzioni senza correzione disponibile (ad esempio Debian stabile), seguire gli avvisi della distribuzione e applicare la mitigazione fino al rilascio dei pacchetti.
- Controllare i log del server web alla ricerca di richieste anomale e riavvii inattesi del servizio.
Le fonti sono discordanti sull'exploit: Red Hat parla di ricerca pubblica che ha dimostrato un exploit affidabile, Wiz riferisce che non risultava alcun exploit disponibile né sfruttamento in rete. Prudenzialmente si consiglia di aggiornare subito. La falla è diversa da CVE-2026-23918, già corretta nella 2.4.67: i server 2.4.67–2.4.70 restano vulnerabili a questa.