Apache xuất hiện lỗ hổng nghiêm trọng, dịch vụ HTTP/2 có thể bị thực thi mã từ xa

Phần mềm máy chủ mã nguồn mở Apache HTTP Server đã xuất hiện lỗ hổng bảo mật nghiêm trọng. Kẻ tấn công có thể phá hủy bộ nhớ máy chủ bằng cách xây dựng yêu cầu khi có thể truy cập dịch vụ bị ảnh hưởng, từ đó thực thi mã với quyền của tiến trình dịch vụ Web. Lỗ hổng này nằm trong mô-đun HTTP/2, kẻ tấn công không cần xác thực để kích hoạt và gây ra lỗi đồng bộ, dẫn đến hỏng bộ nhớ heap; nếu khai thác thành công, có thể thực thi mã với quyền của tiến trình Apache và truy cập dữ liệu mà tiến trình đó có thể đọc.

Phạm vi bị ảnh hưởng bao gồm Apache HTTP Server từ 2.4.55 đến 2.4.70, cũng như mod_h2 từ 2.0.8 đến 2.0.42 được sử dụng riêng từ GitHub. Công ty Red Hat cho biết, rủi ro liên quan đến các máy chủ đã kích hoạt HTTP/2 thông qua chỉ thị Protocols, bao gồm H2 cho kết nối mã hóa và H2C cho kết nối không mã hóa. Quản trị viên cần kiểm tra cả cấu hình toàn cục và cấu hình của từng máy chủ ảo; nếu frontend của trang web triển khai CDN hoặc proxy ngược, cũng cần kiểm tra xem máy chủ nguồn Apache có thể truy cập trực tiếp qua HTTP/2 hay không.

Apache đã phát hành HTTP Server 2.4.71 vào ngày 11 tháng 11 năm 2026, khuyến nghị các trang web sử dụng Apache ngay lập tức nâng cấp; nếu không thể nâng cấp tạm thời, có thể tắt HTTP/2. Vấn đề nằm trong hàm assignheaders() của modhttp2. HTTP/2 cho phép xử lý đồng thời nhiều yêu cầu trong cùng một kết nối, mã bị ảnh hưởng có lỗi đồng bộ khi xử lý tài nguyên chia sẻ, có thể dẫn đến hỏng bộ nhớ heap. Lỗ hổng này được phát hiện bởi dự án quét mã nguồn mở Anthropic OSS Scanner và nhóm nghiên cứu lỗ hổng của Google Cloud, Anthropic đã báo cáo cho Quỹ Apache vào ngày 26 tháng 10, nhóm Google Cloud đã báo cáo lỗ hổng tương tự vào ngày 3 tháng 11.