Apache Software Foundation merilis Apache HTTP Server 2.4.71 untuk memperbaiki celah kritis Apache HTTP/2 yang dapat memungkinkan eksekusi kode dari jarak jauh. Kerentanan berkode CVE-2026-119618 ini berkaitan dengan modul mod_http2 dan dapat dieksploitasi tanpa autentikasi apabila persyaratan konfigurasinya terpenuhi.
Versi perbaikan dirilis pada 11 November 2026. Administrator yang menjalankan HTTP/2 pada versi terdampak perlu memprioritaskan pembaruan, terutama ketika layanan dapat diakses langsung dari internet.
Race condition pada modul HTTP/2
Masalah berada pada fungsi assign_headers() dan melibatkan akses bersamaan ke sumber daya bersama dengan sinkronisasi yang tidak memadai. Kondisi tersebut dapat merusak memori heap dan membuka kemungkinan remote code execution atau RCE.
Jika eksploitasi berhasil, kode berjalan dengan hak proses web server. Artinya, dampak mengikuti izin yang dimiliki proses tersebut; istilah RCE dalam laporan ini tidak otomatis berarti penyerang langsung memperoleh hak root pada seluruh sistem.
Apache mencantumkan Anthropic OSS Scanner serta Anthony Weems dan Simon Scannell dari Google Cloud Vulnerability Research sebagai penemu. Laporan Anthropic diterima pada 26 Oktober, sedangkan laporan Google diterima pada 3 November 2026.
Versi dan konfigurasi menentukan paparan
Rentang Apache HTTP Server yang terdampak adalah 2.4.55 hingga 2.4.70. Untuk modul mod_h2 yang dikelola secara terpisah melalui GitHub, versi 2.0.8 sampai 2.0.42 juga tercantum sebagai terdampak.
Keberadaan versi tersebut saja belum cukup untuk menyimpulkan sebuah layanan dapat dieksploitasi. Dukungan HTTP/2 harus aktif. Dokumentasi Apache menunjukkan pengaturan protokol bawaan hanya mengizinkan HTTP/1.1, sehingga konfigurasi aktual tetap perlu diperiksa.
Pengaturan protokol juga dapat ditentukan pada tingkat server maupun virtual host. Konfigurasi virtual host dapat menggantikan daftar protokol pada server dasar, sehingga pemeriksaan satu berkas konfigurasi belum tentu menggambarkan seluruh situs yang dilayani.
Statistik cloud perlu dibaca dengan konteks
Wiz melaporkan bahwa 64 persen lingkungan cloud dalam datanya memiliki sumber daya dengan versi rentan, sementara 51 persen memiliki instans yang terekspos publik. Perusahaan menegaskan bahwa angka tersebut belum memperhitungkan konfigurasi.
Karena itu, data tersebut tidak berarti 64 persen seluruh server cloud pasti dapat diserang melalui celah ini. Penilaian perlu menggabungkan versi perangkat lunak, status HTTP/2, dan jalur akses jaringan ke layanan.
Wiz juga menyoroti kemungkinan server Apache yang terkompromi menjadi pintu masuk untuk pergerakan lanjutan di lingkungan virtualisasi atau kontainer. Risiko akhirnya bergantung pada akses proses dan hubungan layanan tersebut dengan komponen lain.
Perbarui Apache atau batasi HTTP/2 sementara
Wiz menyarankan peningkatan ke Apache HTTP Server 2.4.71 atau versi lebih baru. Untuk build mod_h2 mandiri, panduan remediasinya meminta versi yang lebih baru dari 2.0.42, sesuai batas rentang terdampak dalam advisori Apache.
Jika pembaruan belum dapat dilakukan, penonaktifan sementara HTTP/2 dapat menghilangkan jalur serangan terkait. Pendekatan tersebut membatasi layanan ke HTTP/1.1 dan perlu diterapkan pada konfigurasi yang benar-benar digunakan oleh server serta virtual host.
Rilis 2.4.71 turut menutup dua celah lain. CVE-2026-106023 pada mod_md dapat memicu crash proses anak melalui null pointer dereference, sedangkan CVE-2026-109163 merupakan penimpaan satu byte pada buffer stack mod_vhost_alias dengan tingkat dampak rendah.
Saat analisis Wiz diterbitkan pada 11 November, perusahaan belum mengetahui adanya eksploit publik atau laporan eksploitasi di lapangan. Status tersebut merupakan kondisi pada waktu publikasi, sehingga tidak mengurangi kebutuhan memperbaiki layanan yang memenuhi syarat kerentanan.
Sumber: Apache Software Foundation – Apache HTTP Server 2.4 vulnerabilities
