CVE-2026-119618: kritikus Apache HTTP/2 sérülékenység

Az Apache HTTP Server fejlesztői november 11-én kiadták a 2.4.71-es verziót, amely egy kritikus biztonsági hibát javít a webszerver HTTP/2-moduljában (mod_http2). A CVE-2026-119618 jelű hibán keresztül egy támadó bejelentkezés nélkül, egy speciálisan összeállított HTTP/2-forgalommal kódot futtathat a szerveren.

A mi szervereink már védettek: a javított Apache-csomag (2.4.71-1~urgent) ma hajnalban felkerült minden saját szerverünkre és minden általunk kezelt ügyfélszerverre. Ha nálunk van a tárhelyed, vagy a szerveredet mi üzemeltetjük, nincs teendőd.

Mi a hiba?

A HTTP/2 a HTTP protokoll újabb változata, amely egyetlen kapcsolaton belül több kérést is párhuzamosan kezel, így gyorsabban töltődnek be az oldalak. Mi a különbség a HTTP/1.1, a HTTP/2 és a HTTP/3 között, azt a HTTP-ről szóló cikkünkben mutatjuk be.

Az Apache HTTP/2-modulja minden beérkező kérés fejléceit összeállítja (assign_headers() függvény). A 2.4.55–2.4.70 verziókban ez a lépés nem megfelelően szinkronizált: a modul módosíthatja egy kérés fejléceit, miközben egy másik szál éppen használja őket (versenyhelyzet, race condition). A Red Hat leírása szerint egy munkaszál a kapcsolatot kezelő szálhoz tartozó memóriába ír, egy közös, zárolás nélküli memóriafoglalón keresztül. Az eredmény memóriasérülés a heapen, amelyből távoli kódfuttatás lehet.

A legfontosabb tudnivalók:

Nem kell hozzá bejelentkezés vagy felhasználói közreműködés: elég, ha a támadó eléri a webszervert.
Csak a bekapcsolt HTTP/2-vel futó szerverek érintettek. A csak HTTP/1.1-et kiszolgáló Apache nem sérülékeny.
A kód a webszerver folyamatának jogosultságaival fut.
A Red Hat szerint nyilvános kutatás már bemutatott egy megbízhatóan működő támadást egy alapbeállítású, HTTP/2-t használó szerver ellen. A források eddig nem számoltak be tényleges, éles támadásokról.

Mennyire súlyos?

Az Apache saját besorolása szerint kritikus. A Tenable által közölt CVSS 3.1 pontszám 9,8 (kritikus), vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. A Red Hat ugyanezt az alappontszámot adja, a saját termékeire viszont csak fontos (Important) besorolást: a RHEL 9 és 10 mod_http2 csomagja minden HTTP/2-folyamot külön memóriafoglalóból szolgál ki, ami a Red Hat szerint jelentősen megnehezíti a kihasználást. Nehezebb, de nem lehetetlen, ezért ezeken a rendszereken is frissíteni kell.

A hibát két forrásból jelentették az Apache biztonsági csapatának: október 26-án az Anthropic nyílt forráskódú szoftvereket vizsgáló szkennere (OSS Scanner), november 3-án pedig a Google Cloud Vulnerability Research két kutatója, Anthony Weems és Simon Scannell.

Érintett verziók és javítások

Szoftver / rendszer	Érintett?	Javítás
Apache HTTP Server 2.4.55–2.4.70	igen	2.4.71 (2026. november 11.)
Önálló `mod_h2` modul 2.0.8–2.0.42	igen	az Apache 2.4.71-ben lévő javítás
RHEL 8 és régebbi, CloudLinux 7 és 8 rendszer-Apache	nem	–
RHEL 9 és 10, valamint az ezekre épülő AlmaLinux, Rocky Linux és CloudLinux 9, 10	igen	a disztribúció javított `mod_http2` csomagja (AlmaLinux: november 11.)
cPanel EasyApache 4 (minden CloudLinux-verzión)	igen	`ea-apache24` 2.4.71 (november 11-től a stabil csatornán)
Ubuntu 22.04 Apache	igen, ha a HTTP/2 be van kapcsolva (alapból ki van)	a CloudLinux november 12-i tájékoztatása szerint még nincs

A régebbi rendszereken (RHEL 8, CloudLinux 7 és 8) a rendszer saját Apache-a azért nem érintett, mert vagy nincs benne HTTP/2-modul, vagy a modul régebbi a hibás kódnál. A cPanel szervereken viszont nem a rendszer, hanem az EasyApache 4 Apache-a fut, és az az operációs rendszer verziójától függetlenül érintett volt.

Mit tettünk mi?

A javított Apache-csomag (2.4.71-1~urgent) 2026. november 12-én hajnalban felkerült:

minden saját szerverünkre, vagyis a cPanel tárhely, a WordPress tárhely és a webtárhely szerverekre és a többi saját szolgáltatásunk szervereire,
minden olyan ügyfélszerverre, amelyet mi kezelünk, például a menedzselt VPS-ekre.

Mit tehetsz?

Ha nálunk van a tárhelyed, vagy mi kezeljük a szerveredet

Nincs teendőd. A hiba a webszerverben volt, nem a weboldaladban, így a javítást a szerver üzemeltetőjének kell telepítenie, és ezt mi már elvégeztük. A WordPress vagy más CMS frissítése ezt a hibát nem érinti, de a naprakész CMS és bővítmények ettől függetlenül fontosak.

Ha mégis gyanús jelet látsz az oldaladon (ismeretlen .php fájlok, ismeretlen adminisztrátorok, váratlan átirányítások vagy idegen tartalom), írj nekünk, és ne törölj semmit, mielőtt egyeztetünk.

Ha saját VPS-t vagy szervert üzemeltetsz

Ha a KVM VPS-eden vagy a dedikált szervereden te kezeled az Apache-ot (akár nálunk, akár máshol), a frissítés a te feladatod.

1. Nézd meg, be van-e töltve a HTTP/2-modul:

# AlmaLinux, Rocky Linux, CloudLinux, RHEL
httpd -M 2>/dev/null | grep -w http2_module

# Debian, Ubuntu
apache2ctl -M 2>/dev/null | grep -w http2_module

Ha nincs kimenet, a modul nincs betöltve, és a szerver ebből a szempontból nem sérülékeny. Ha van, frissíts.

2. Frissíts és indítsd újra az Apache-ot:

# AlmaLinux, Rocky Linux, CloudLinux 9 és 10 (rendszer-Apache)
dnf upgrade --refresh httpd mod_http2
systemctl restart httpd
rpm -q mod_http2

# cPanel / EasyApache 4
dnf upgrade --refresh 'ea-apache24*'
/scripts/restartsrv_httpd
rpm -q ea-apache24 ea-apache24-mod_http2

cPanel szerveren az ea-apache24-mod_http2 csomagnak 2.4.71-es vagy újabb verziót kell mutatnia. A rendszerfrissítés általános lépéseit a dnf és apt frissítésről szóló cikkünkben írtuk le, az automatikus biztonsági frissítések beállításával együtt.

3. Ha még nincs javított csomag, kapcsold ki ideiglenesen a HTTP/2-t. Az oldal ilyenkor HTTP/1.1-en működik tovább, legfeljebb kicsit lassabban.

# AlmaLinux, Rocky Linux, CloudLinux 9 és 10:
# tedd megjegyzésbe a "LoadModule http2_module" sort ebben a fájlban:
# /etc/httpd/conf.modules.d/10-h2.conf
apachectl configtest && systemctl restart httpd

# Debian, Ubuntu
a2dismod http2
systemctl restart apache2

cPanel szerveren a CloudLinux az ea-apache24-mod_http2 csomag eltávolítását javasolja (Ubuntun apt-get purge-dzsel, mert a sima remove után ottmaradó beállítás miatt az Apache nem indul el), de mivel a javított 2.4.71 már elérhető, ott egyszerűbb frissíteni. Ha a javított csomag megjelent, a HTTP/2 visszakapcsolható.

Óvatosan a „sürgős frissítés” levelekkel

Egy ilyen hír után megszaporodhatnak a biztonsági frissítésre hivatkozó adathalász levelek. Mi sosem kérjük el a jelszavadat e-mailben, és a szervereink frissítéséhez nincs szükségünk a közreműködésedre.

Idővonal

Időpont	Esemény
2026-10-26	Az Anthropic OSS Scanner jelenti a hibát az Apache biztonsági csapatának.
2026-11-03	Anthony Weems és Simon Scannell (Google Cloud Vulnerability Research) is jelenti a hibát.
2026-11-11	Az Apache kiadja a javított 2.4.71-es verziót, és közzéteszi a CVE-2026-119618 leírását.
2026-11-11	Az AlmaLinux kiadja a javított `mod_http2` csomagokat; a CloudLinux EasyApache 4 javított Apache-a (2.4.71) a stabil csatornára kerül.
2026-11-12 hajnal	A javított Apache-csomag (2.4.71-1~urgent) felkerül a saját és az általunk kezelt szerverekre.

Gyakori kérdések

Érinti a weboldalamat? A hiba a webszerverben volt, nem a weboldalakban, így bármilyen oldalt érinthetett, amelyet HTTP/2-vel futó, sérülékeny Apache szolgált ki. A szervereinken a javítás már fent van.

Kell frissítenem a WordPresst vagy a bővítményeket? Ehhez a hibához nem. A javítás az Apache-ban történt, a CMS frissítése ezt nem pótolja, de nem is szükséges hozzá.

Kiesett az oldalam a frissítés alatt? Nem. A javítás után újra kellett indítani az Apache-ot, de ez nem okozott észlelhető kiesést.

Ki kell cserélnem a jelszavaimat? Gyanús jel nélkül nem szükséges. Ha mégis biztosra mennél, a cPanel-jelszó cseréjét külön cikkben mutatjuk be.

Források

kiberbiztonság
cloudlinux
cpanel
szerver üzemeltetés
hírek