Slovenščina
Magyar
English
Deutsch
Razvijalci strežnika Apache HTTP Server so 11. novembra izdali različico 2.4.71, ki odpravlja kritično varnostno napako v modulu HTTP/2 spletnega strežnika (mod_http2). Prek napake z oznako CVE-2026-119618 lahko napadalec brez prijave, s posebej pripravljenim prometom HTTP/2, izvede kodo na strežniku.
Naši strežniki so že zaščiteni: popravljeni paket Apache (2.4.71-1~urgent) je bil danes v zgodnjih jutranjih urah nameščen na vse naše strežnike in na vse strežnike strank, ki jih upravljamo mi. Če gostuješ pri nas ali če tvoj strežnik upravljamo mi, ti ni treba storiti ničesar.
Kaj je napaka?
HTTP/2 je novejša različica protokola HTTP, ki prek ene same povezave vzporedno obdela več zahtev, zato se strani nalagajo hitreje. Razliko med HTTP/1.1, HTTP/2 in HTTP/3 pojasnjujemo v našem članku o HTTP.
Modul HTTP/2 strežnika Apache sestavi glave vsake dohodne zahteve (funkcija assign_headers()). V različicah od 2.4.55 do 2.4.70 ta korak ni pravilno sinhroniziran: modul lahko spremeni glave zahteve, medtem ko jih uporablja druga nit (tekmovalno stanje, race condition). Po opisu Red Hata delovna nit prek skupnega dodeljevalnika pomnilnika brez zaklepanja piše v pomnilnik, ki pripada niti povezave. Posledica je poškodba pomnilnika na kopici, ki lahko vodi do oddaljenega izvajanja kode.
Najpomembnejše:
- Prijava ni potrebna, prav tako ne sodelovanje uporabnika: dovolj je, da napadalec doseže spletni strežnik.
- Prizadeti so samo strežniki z vklopljenim HTTP/2. Apache, ki streže samo HTTP/1.1, ni ranljiv.
- Koda se izvaja s pravicami procesa spletnega strežnika.
- Po navedbah Red Hata je javna raziskava že pokazala zanesljivo delujoč napad na strežnik s privzetimi nastavitvami, ki uporablja HTTP/2. O dejanskih napadih v praksi viri doslej niso poročali.
Kako resna je napaka?
Apache jo sam ocenjuje kot kritično. Ocena CVSS 3.1, ki jo objavlja Tenable, je 9,8 (kritično), vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Red Hat daje enako osnovno oceno, svoje izdelke pa ocenjuje le kot pomembno (Important): paket mod_http2 v RHEL 9 in 10 vsak tok HTTP/2 streže iz ločenega dodeljevalnika pomnilnika, kar po navedbah Red Hata izkoriščanje bistveno oteži. Težje, a ne nemogoče, zato je treba posodobiti tudi te sisteme.
Napako sta varnostni ekipi Apache prijavila dva vira: 26. oktobra skener podjetja Anthropic, ki preverja odprtokodno programsko opremo (OSS Scanner), 3. novembra pa dva raziskovalca skupine Google Cloud Vulnerability Research, Anthony Weems in Simon Scannell.
Prizadete različice in popravki
| Programska oprema / sistem | Prizadet? | Popravek |
|---|---|---|
| Apache HTTP Server 2.4.55–2.4.70 | da | 2.4.71 (11. november 2026) |
Samostojni modul mod_h2 2.0.8–2.0.42 |
da | popravek v Apache 2.4.71 |
| RHEL 8 in starejši, sistemski Apache v CloudLinux 7 in 8 | ne | – |
| RHEL 9 in 10 ter na njih zgrajeni AlmaLinux, Rocky Linux in CloudLinux 9 in 10 | da | popravljeni paket mod_http2 distribucije (AlmaLinux: 11. november) |
| cPanel EasyApache 4 (na vseh različicah CloudLinux) | da | ea-apache24 2.4.71 (v stabilnem kanalu od 11. novembra) |
| Apache v Ubuntu 22.04 | da, če je HTTP/2 vklopljen (privzeto je izklopljen) | po podatkih CloudLinuxa z 12. novembra še ni na voljo |
Na starejših sistemih (RHEL 8, CloudLinux 7 in 8) sistemski Apache ni prizadet, ker bodisi nima modula HTTP/2 bodisi je njegov modul starejši od napačne kode. Na strežnikih cPanel pa ne teče sistemski Apache, temveč Apache iz EasyApache 4, ta pa je bil prizadet ne glede na različico operacijskega sistema.
Kaj smo naredili mi?
Popravljeni paket Apache (2.4.71-1~urgent) je bil 12. novembra 2026 v zgodnjih jutranjih urah nameščen:
- na vse naše strežnike, torej na strežnike za cPanel gostovanje, WordPress gostovanje in spletno gostovanje ter na strežnike naših drugih storitev,
- na vse strežnike strank, ki jih upravljamo mi, na primer na upravljane VPS-je.
Kaj lahko narediš?
Če gostuješ pri nas ali če tvoj strežnik upravljamo mi
Ničesar ti ni treba storiti. Napaka je bila v spletnem strežniku, ne v tvoji spletni strani, zato mora popravek namestiti upravljavec strežnika, in to smo že naredili. Posodobitev WordPressa ali drugega CMS-ja na to napako ne vpliva, a posodobljen CMS in vtičniki so ne glede na to pomembni.
Če kljub temu opaziš sumljive znake na svoji strani (neznane datoteke .php, neznane skrbnike, nepričakovane preusmeritve ali tujo vsebino), nam piši in ničesar ne briši, preden se uskladimo.
Če upravljaš svoj VPS ali strežnik
Če Apache na svojem KVM VPS-ju ali namenskem strežniku upravljaš sam (pri nas ali drugje), je posodobitev tvoja naloga.
1. Preveri, ali je modul HTTP/2 naložen:
# AlmaLinux, Rocky Linux, CloudLinux, RHEL
httpd -M 2>/dev/null | grep -w http2_module
# Debian, Ubuntu
apache2ctl -M 2>/dev/null | grep -w http2_module
Če ni izpisa, modul ni naložen in strežnik za to napako ni ranljiv. Če je, posodobi.
2. Posodobi in znova zaženi Apache:
# AlmaLinux, Rocky Linux, CloudLinux 9 in 10 (sistemski Apache)
dnf upgrade --refresh httpd mod_http2
systemctl restart httpd
rpm -q mod_http2
# cPanel / EasyApache 4
dnf upgrade --refresh 'ea-apache24*'
/scripts/restartsrv_httpd
rpm -q ea-apache24 ea-apache24-mod_http2
Na strežniku cPanel mora paket ea-apache24-mod_http2 kazati različico 2.4.71 ali novejšo. Splošne korake posodobitve sistema, skupaj z nastavitvijo samodejnih varnostnih posodobitev, smo opisali v članku o posodabljanju z dnf in apt.
3. Če popravljenega paketa še ni, začasno izklopi HTTP/2. Stran takrat deluje naprej prek HTTP/1.1, največ malo počasneje.
# AlmaLinux, Rocky Linux, CloudLinux 9 in 10:
# v tej datoteki zakomentiraj vrstico "LoadModule http2_module":
# /etc/httpd/conf.modules.d/10-h2.conf
apachectl configtest && systemctl restart httpd
# Debian, Ubuntu
a2dismod http2
systemctl restart apache2
Na strežniku cPanel CloudLinux priporoča odstranitev paketa ea-apache24-mod_http2 (v Ubuntuju z apt-get purge, ker nastavitve, ki ostanejo po navadnem remove, preprečijo zagon Apacheja), a ker je popravljena različica 2.4.71 že na voljo, je tam preprosteje posodobiti. Ko popravljeni paket izide, lahko HTTP/2 znova vklopiš.
Previdno z e-poštnimi sporočili o »nujni posodobitvi«
Po takšni novici se lahko namnožijo lažna sporočila, ki se sklicujejo na varnostno posodobitev. Nikoli ne zahtevamo tvojega gesla po e-pošti, za posodobitev naših strežnikov pa tvoje pomoči ne potrebujemo.
Časovnica
| Datum | Dogodek |
|---|---|
| 2026-10-26 | Anthropic OSS Scanner prijavi napako varnostni ekipi Apache. |
| 2026-11-03 | Napako prijavita tudi Anthony Weems in Simon Scannell (Google Cloud Vulnerability Research). |
| 2026-11-11 | Apache izda popravljeno različico 2.4.71 in objavi opis CVE-2026-119618. |
| 2026-11-11 | AlmaLinux izda popravljene pakete mod_http2; popravljeni Apache (2.4.71) CloudLinux EasyApache 4 pride v stabilni kanal. |
| 2026-11-12, zgodaj zjutraj | Popravljeni paket Apache (2.4.71-1~urgent) je nameščen na naše strežnike in na strežnike, ki jih upravljamo. |
Pogosta vprašanja
Ali to vpliva na mojo spletno stran? Napaka je bila v spletnem strežniku, ne v spletnih straneh, zato je lahko prizadela vsako stran, ki jo je stregel ranljiv Apache s HTTP/2. Na naših strežnikih je popravek že nameščen.
Ali moram posodobiti WordPress ali vtičnike? Zaradi te napake ne. Popravek je bil narejen v Apacheju; posodobitev CMS-ja ga ne nadomesti, a zanj tudi ni potrebna.
Je bila moja stran med posodobitvijo nedosegljiva? Ne. Po popravku je bilo treba Apache znova zagnati, vendar to ni povzročilo opaznega izpada.
Ali moram zamenjati gesla? Brez sumljivih znakov to ni potrebno. Če bi bil vseeno rad povsem prepričan, v ločenem članku prikazujemo, kako zamenjaš geslo za cPanel.