شرکت Apache با انتشار پچ‌های امنیتی جدید، آسیب‌پذیری بحرانی در وب‌سرور HTTP خود را که امکان اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت را فراهم می‌کرد، برطرف کرد. این آسیب‌پذیری که توسط محققان Anthropic و Google کشف شده است، تحت شناسه CVE-2026-119618 شناخته می‌شود.
این نقص امنیتی نسخه‌های 2.4.55 تا 2.4.70 وب‌سرور Apache را تحت تأثیر قرار می‌دهد و در ماژول mod_http2 (مسئول مدیریت ترافیک HTTP/2) قرار دارد. تحلیل‌های فنی نشان می‌دهد که این مشکل ناشی از یک Race Condition در دسترسی رشته‌ها (Threads) به منابع مشترک است که می‌تواند منجر به فساد حافظه (Memory Corruption) در سرور شود.
طبق گزارش Red Hat، با امتیاز CVSS 9.8، یک مهاجم می‌تواند با سوءاستفاده از این نقص، دستورات دلخواه را از راه دور اجرا کرده و کنترل فرآیند سرور را به دست بگیرد. لازم به ذکر است که این آسیب‌پذیری تنها سرورهایی را تهدید می‌کند که پروتکل HTTP/2 در آن‌ها فعال باشد؛ سرورهایی که تنها از HTTP/1.1 استفاده می‌کنند، در برابر این حمله ایمن هستند.
بررسی‌های شرکت امنیتی Wiz نشان می‌دهد که حدود 64% از محیط‌های ابری حاوی منابعی با نسخه‌های آسیب‌پذیر Apache هستند و 51% از این موارد به صورت عمومی در دسترس (Publicly Exposed) قرار دارند. اگرچه در حال حاضر گزارش‌های گسترده‌ای از سوءاستفاده فعال در حوزه‌ی عملیاتی (In the wild) منتشر نشده، اما یک Proof of Concept (PoC) در GitHub برای بازتولید فساد حافظه در دسترس است.
اقدامات پیشنهادی:
- ارتقای فوری وب‌سرور Apache به نسخه 2.4.71 یا استفاده از بسته‌های اصلاح‌شده توسط توزیع‌کنندگان سیستم‌عامل.
- در صورت عدم امکان آپدیت فوری، غیرفعال کردن پروتکل HTTP/2 می‌تواند به عنوان یک راهکار موقت برای جلوگیری از اکسپلویت استفاده شود.
نکته مهم: به‌روزرسانی‌های امنیتی WordPress این مشکل را برطرف نمی‌کنند، زیرا آسیب‌پذیری در سطح وب‌سرور زیرساختی است، نه در لایه اپلیکیشن.
علاوه بر این، نسخه 2.4.71 شامل اصلاح دو آسیب‌پذیری دیگر نیز هست: CVE-2026-106023 (که می‌تواند منجر به از کار افتادن سرور شود) و CVE-2026-109163 (یک بافر اورفلو با شدت پایین).
