Ir para conteúdo

Alerta de Vulnerabilidade - Apache HTTP Server

12 Nov 2026

Alerta de Vulnerabilidade - Apache HTTP Server

TIPO
Vulnerabilidade
SISTEMAS AFETADOS
Apache HTTP Server
ECOSSISTEMA
Apache
CVSS v3.1 - Resumo Técnico CVSS: 9.8 / 10 - Crítico
CVE CVE-2026-119618
Vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Vetor de Ataque Rede Explorável remotamente através da rede
Complexidade Baixa Baixa complexidade de exploração
Privilégios Nenhum Sem autenticação
Interação Nenhuma Não requer intervenção do utilizador
Âmbito Inalterado O impacto permanece no âmbito de segurança do componente vulnerável
Impacto na Confidencialidade Alto Impacto elevado na confidencialidade
Impacto na Integridade Alto Impacto elevado na integridade
Impacto na Disponibilidade Alto Impacto elevado na disponibilidade
Resumo Vulnerabilidade de severidade crítica (CVSS 9.8), identificada como CVE-2026-119618, de execução concorrente com recurso partilhado sem sincronização adequada (race condition, CWE-362) na função assign_headers() do módulo mod_http2 do Apache HTTP Server. Um atacante remoto não autenticado pode, em servidores com HTTP/2 ativado (h2 ou h2c através da diretiva Protocols), desencadear corrupção de memória em heap e executar código arbitrário; os servidores que apenas servem HTTP/1.1 não são afetados. Afeta o Apache HTTP Server 2.4.55 a 2.4.70 e o módulo autónomo mod_h2 (GitHub) 2.0.8 a 2.0.42; corrigido no Apache HTTP Server 2.4.71. Foi demonstrada publicamente a exploração fiável contra uma configuração predefinida. Sem workaround disponível.

Descrição
Vulnerabilidade crítica de sincronização inadequada no acesso concorrente a recursos partilhados (CWE-362) no módulo mod_http2 do Apache HTTP Server, com o identificador CVE-2026-119618/EUVD-2026-123532, divulgada a 11 de novembro de 2026 e classificada com uma pontuação CVSS v3.1 de 9,8 pela Red Hat [1][2][3].

A vulnerabilidade reside na função assign_headers(), onde uma falha de sincronização entre processos de execução concorrentes pode provocar corrupção de memória e permitir a execução remota de código, sem necessidade de autenticação ou interação do utilizador [1][2].

São afetadas as seguintes versões [1][3]:
  • Apache HTTP Server: versões 2.4.55 a 2.4.70;
  • Módulo mod_h2 disponibilizado através do GitHub: versões 2.0.8 a 2.0.42.
A vulnerabilidade afeta apenas servidores com HTTP/2 ativado (h2 ou h2c). A Red Hat confirma que as versões Red Hat Enterprise Linux 8 e anteriores não são afetadas. Nas versões 9 e 10, a exploração é mais complexa devido à utilização de mecanismos separados de alocação de memória, sendo a vulnerabilidade classificada como importante nestes sistemas [2].

Impacto
A exploração bem-sucedida pode permitir a execução remota de código com os privilégios do processo do servidor Web, possibilitando o acesso ou a alteração de informação sensível e a interrupção dos serviços disponibilizados [2].

Resolução
Recomenda-se a atualização do Apache HTTP Server para a versão 2.4.71 ou posterior, que corrige a vulnerabilidade. Nas instalações fornecidas por distribuições Linux, devem ser aplicadas as atualizações de segurança dos respetivos fornecedores [1][2].

Enquanto não for possível aplicar a correção, recomenda-se a desativação do protocolo HTTP/2 (h2 e h2c), mantendo exclusivamente HTTP/1.1 [2].

Medidas adicionais recomendadas:
  • Identificar os servidores afetados e verificar as versões instaladas e a utilização do protocolo HTTP/2;
  • Dar prioridade à atualização dos servidores acessíveis através da Internet;
  • Monitorizar os registos dos servidores para identificar comportamentos anómalos e falhas inesperadas dos processos.
Referências
[1] - https://httpd.apache.org/security/vulnerabilities_24.html
[2] - https://access.redhat.com/security/cve/cve-2026-119618
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-119618
Última atualização em 07-09-2022