ثغرة حرجة في Apache HTTP/2 تسمح بتنفيذ كود عن بُعد دون مصادقة (CVE-2026-119618)

أصدر مشروع Apache HTTP Server الإصدار 2.4.71 لإصلاح ثغرة حرجة برقم CVE-2026-119618 في وحدة HTTP/2 المسماة mod_http2. وتقيّمها Red Hat بدرجة 9.8 من 10، وتقول إن المهاجم القادر على الوصول إلى الخادم لا يحتاج أي مصادقة لاستغلالها، وقد يسيطر بالكامل على عملية الخادم.

من المتأثر؟

• الإصدارات من 2.4.55 حتى 2.4.70، والخوادم التي فعّلت HTTP/2 فقط، عبر الخيار h2 أو h2c في تعليمة Protocols.
• النسخ المستقلة من الوحدة (mod_h2) من 2.0.8 حتى 2.0.42، والمشروع المستقل مؤرشف دون إصلاح حتى الآن.
• لا تتأثر Red Hat Enterprise Linux 8 وما قبلها. وحتى وقت نشر التقرير، كان متتبع Debian يصنّف إصدارات bookworm وtrixie وforky كمتأثرة دون حزمة إصلاح.

قالت Red Hat إن أبحاثاً منشورة أظهرت استغلالاً موثوقاً، بينما ذكرت شركة Wiz أنه لا يوجد استغلال متاح ولا هجمات مرصودة حتى الآن.

ماذا تفعل؟

1. حدّث إلى 2.4.71، أو إلى حزمة الإصلاح الخاصة بتوزيعتك فور صدورها.
2. إن لم تستطع التحديث الآن، احذف h2 وh2c من تعليمة Protocols على مستوى الخادم وكل Virtual Host، واترك Protocols http/1.1، كما تنصح Wiz.
3. افحص كل ملفات الإعداد، فقد يكون HTTP/2 مفعّلاً لموقع واحد فقط.