Written by Apache HTTP Server 2.4.71 rättar en kritisk sårbarhet i HTTP/2-modulen. För den som driver webbservrar är både version och konfiguration avgörande: Irlands cybersäkerhetsmyndighet NCSC uppger att servrar med enbart HTTP/1.1 inte berörs.
Fel i hanteringen av samtidiga anrop
CVE-2026-119618 gäller bristande synkronisering av en delad resurs i funktionen assign_headers() i mod_http2. Enligt Apacheprojektets säkerhetsinformation kan felet leda till fjärrkörning av kod. Apache klassar bristen som kritisk och anger HTTP Server 2.4.55 till och med 2.4.70 som berörda. Rättningen finns i 2.4.71, som släpptes den 11 november 2026.
För den separat distribuerade mod_h2-modulen på GitHub anger Apache versionerna 2.0.8–2.0.42 som berörda. Det är en egen versionsserie och ska inte blandas ihop med webbserverns versionsnummer.
HTTP/2 måste vara aktiverat
NCSC:s varning från den 12 november bekräftar versionsintervallen och anger att bara servrar med HTTP/2 aktiverat är sårbara. Myndigheten beskriver möjligheten att köra kommandon utan autentisering och anger CVSS-värdet 9,8.
NCSC rekommenderar att berörda system uppdateras med högsta prioritet efter noggrann testning. I varningen anges att bristen då inte fanns i CISA:s KEV-katalog. Det beskedet gäller dokumentets datum och är inget bevis för att angrepp saknas.
Vad betyder det för dig?
Driver du en Apache-server är nästa steg att kontrollera både den installerade versionen och om HTTP/2 används. För berörda installationer är 2.4.71 den rättade Apacheversionen. Använder du webbhotell, be leverantören bekräfta uppdateringsläget.
Vår redaktionella bedömning är att kombinationen av möjlig kodkörning och en tillgänglig rättning gör detta till en prioriterad driftfråga. Nyheten innebär däremot inte att alla Apache-servrar är sårbara eller redan angripna.