Apache HTTP Server, una falla in HTTP/2 minaccia la sicurezza dei server

Una vulnerabilità critica in Apache HTTP Server può consentire l’esecuzione di codice da remoto attraverso il modulo che gestisce le connessioni HTTP/2. La falla, identificata come CVE-2026-119618, interessa le versioni dalla 2.4.55 alla 2.4.70. Apache Software Foundation ha pubblicato oggi, 11 novembre 2026, la versione 2.4.71, che corregge il problema insieme ad altre due vulnerabilità.

Apache httpd, progetto nato nel 1995, rimane uno dei server Web più utilizzati per ospitare siti Internet, applicazioni e servizi aziendali. Il supporto HTTP/2, introdotto nella serie 2.4 con la versione 2.4.17, ha migliorato l’efficienza delle comunicazioni grazie alla possibilità di gestire più richieste contemporaneamente sulla stessa connessione. Tale caratteristica richiede però un’attenta sincronizzazione delle operazioni eseguite in parallelo.

Secondo il bollettino ufficiale Apache, proprio un errore nella gestione delle risorse condivise può provocare la corruzione della memoria heap, con conseguenze potenzialmente molto più gravi del semplice arresto del servizio.

Come funziona la vulnerabilità critica CVE-2026-119618

Il difetto riguarda la funzione assign_headers() del modulo mod_http2, utilizzato per elaborare le comunicazioni HTTP/2. Apache classifica il problema come CWE-362, una categoria che comprende l’accesso concorrente a risorse condivise senza adeguati meccanismi di sincronizzazione.

Parlando di HTTP/2, una singola connessione TCP può trasportare più stream indipendenti, ciascuno associato a una richiesta o risposta. Il server elabora le informazioni mantenendo strutture dati che rappresentano lo stato delle comunicazioni e gli header HTTP.

La documentazione tecnica di Apache spiega che mod_http2 utilizza thread dedicati, chiamati H2Workers: tale organizzazione migliora la concorrenza, ma impone particolare attenzione quando più operazioni interagiscono con gli stessi dati.

Una race condition si verifica quando il comportamento del programma dipende dall’ordine temporale con cui i thread accedono alla memoria. Se una struttura cambia mentre un’altra operazione la utilizza, il programma può ritrovarsi a leggere o modificare informazioni non più valide.

Nel caso della CVE-2026-119618, Apache conferma che l’errore può arrivare fino a una condizione di esecuzione remota di codice arbitrario (RCE, Remote Code Execution).

Quali versioni sono vulnerabili e chi rischia maggiormente

Il rischio riguarda soprattutto i server che usano una delle versioni di Apache vulnerabili, che hanno HTTP/2 abilitato e accettano connessioni da client non attendibili.

Si tratta di una configurazione estremamente comune per i server Web pubblicamente accessibili: HTTP/2 è ormai ampiamente adottato e chiunque può generalmente stabilire una connessione con un sito Internet. Di conseguenza, la vulnerabilità va attenzionata prima possibile perché può interessare installazioni Apache esposte direttamente al traffico Web, senza richiedere scenari di utilizzo particolarmente insoliti.

Gli amministratori sono comunque chiamati a verificare sia la release installata sia la configurazione attiva, tenendo presente che un reverse proxy potrebbe terminare le connessioni HTTP/2 prima che raggiungano Apache.

Un episodio precedente, la vulnerabilità HTTP/2 Bomb, aveva già mostrato come alcune caratteristiche del protocollo possano diventare problematiche quando il server gestisce richieste ostili. In quel caso il problema riguardava principalmente il consumo eccessivo di risorse; la nuova falla introduce invece il rischio di compromettere l’esecuzione del processo Apache.

Apache 2.4.71 corregge anche altre due vulnerabilità

L’aggiornamento interviene anche sulla CVE-2026-106023, classificata come importante. Riguarda mod_md, il modulo utilizzato per la gestione automatizzata dei certificati TLS tramite ACME. Un accesso a un puntatore nullo durante l’elaborazione delle richieste HTTP può causare il crash di un processo figlio. Sono interessate le versioni dalla 2.4.30 alla 2.4.70.

La terza vulnerabilità, CVE-2026-109163, interessa mod_vhost_alias e consiste nella sovrascrittura di un byte oltre i limiti di un buffer nello stack. Apache assegna al problema una gravità bassa; le versioni coinvolte sono la 2.4.69 e la 2.4.70.

Come proteggere Apache HTTP Server

La soluzione raccomandata è aggiornare Apache alla versione 2.4.71, disponibile attraverso la pagina ufficiale del progetto.

Chi utilizza pacchetti distribuiti da Debian, Ubuntu, Red Hat o altri fornitori deve invece controllare gli aggiornamenti di sicurezza del proprio sistema: una correzione può arrivare tramite backport senza modificare il numero della versione principale.

Per una verifica iniziale sono utili i comandi httpd -v oppure apache2 -v, secondo la distribuzione, e apachectl -M per controllare i moduli caricati. La presenza di http2_module richiede un ulteriore controllo delle direttive Protocols nei virtual host.

Qualora non fosse possibile aggiornare immediatamente, la disabilitazione temporanea di HTTP/2 può ridurre l’esposizione alla falla specifica, purché nessun altro percorso continui a utilizzare il modulo vulnerabile. Non rappresenta comunque una soluzione definitiva e non corregge gli altri problemi risolti dalla release.

Dopo l’installazione delle patch occorre infine verificare il riavvio effettivo dei processi Apache: come abbiamo già spiegato affrontando il problema dei server che continuano a utilizzare codice vulnerabile dopo un aggiornamento, sostituire i file sul disco non garantisce che i processi già attivi abbiano caricato le nuove librerie e i nuovi moduli.