CVE-2026-119618: race condition in Apache mod_http2 può portare a RCE

Il 11 novembre 2026 il progetto Apache ha rilasciato la versione 2.4.71 del suo HTTP Server, un aggiornamento che corregge la CVE-2026-119618: una race condition nel modulo mod_http2 con impatto critico. La falla può consentire esecuzione di codice remota non autenticata sui server che hanno abilitato il protocollo HTTP/2, una configurazione che non riguarda tutte le installazioni ma che Wiz Research stima presente nel 64% degli ambienti cloud, con il 51% di queste istanze pubblicamente esposte.

Il meccanismo: una race condition nel cuore del multiplexing

La CVE-2026-119618 è classificata come CWE-362, race condition. Il difetto si manifesta nella funzione assign_headers() di mod_http2, il modulo che gestisce il protocollo HTTP/2 nel server Apache. Quando un worker thread processa una richiesta e un connection thread gestisce il flusso multiplexato, entrambi accedono a una struttura dati condivisa attraverso un allocatore lock-free. La sincronizzazione mancante permette a un thread di scrivere in memoria allocata per un altro, con conseguente heap corruption.

La natura del bug è legata all'architettura di HTTP/2. Il protocollo, con il suo multiplexing di stream sulla stessa connessione TCP, introduce complessità nella gestione concorrente delle risorse che HTTP/1.1 non possiede. Le fonti disponibili non specificano l'anno di introduzione di mod_http2 nel progetto Apache.

La scoperta: due team indipendenti, una convergenza

La vulnerabilità è stata identificata indipendentemente da due gruppi di ricerca. Anthropic ha segnalato il bug il 26 ottobre 2026 attraverso il proprio strumento OSS Scanner; Google Cloud Vulnerability Research ha confermato la scoperta il 3 novembre. Secondo SecurityWeek, che cita l'advisory Red Hat, entrambi i report hanno contribuito alla definizione della falla. Il rilascio coordinato della patch è avvenuto l'11 novembre, con il commit pubblicato nella repository ufficiale Apache.

Un PoC pubblicato il 12 novembre riproduce l'heap corruption ma, secondo le fonti disponibili, non dimostra l'esecuzione remota completa. Security Boulevard ha indicato che la propria ricerca è focalizzata sul determinare quali configurazioni siano exploitabili.

L'ampiezza del bersaglio: cloud e configurazione come variabili

Wiz Research ha pubblicato dati proprietari che illuminano la superficie di attacco potenziale: il 64% degli ambienti cloud monitorati contiene risorse con versioni vulnerabili di Apache, e il 51% di questi ambienti presenta istanze pubblicamente esposte. La fonte specifica esplicitamente che questi dati "non considerano la configurazione" — ovvero non distinguono se HTTP/2 sia effettivamente attivo.

Questa qualificazione è centrale. La vulnerabilità non colpisce "tutti i server Apache" ma solo quelli con la direttiva Protocols che include h2 o h2c. Disabilitare HTTP/2 — rimuovendo quelle direttive — è documentato come mitigazione temporanea efficace. Red Hat ha inoltre precisato che RHEL 8 e versioni precedenti non contengono il codice vulnerabile, mentre RHEL 9 e 10, pur essendo tecnicamente affette, utilizzano un allocatore separato per stream che altera le condizioni di exploitabilità.

"public research has demonstrated a reliable exploit against a default-configured server with mod_http2 enabled" — Red Hat advisory, citato da SecurityWeek

Questa affermazione di Red Hat è in tensione con altre fonti. Wiz Research ha dichiarato che "no exploit is available and there are no reports of exploitation in the wild". Al momento della pubblicazione, nessuna fonte ha identificato la ricerca pubblica citata da Red Hat.

Cosa fare adesso

Per gli amministratori di sistema con Apache HTTP Server in produzione, le azioni prioritarie derivano direttamente dalle fonti disponibili:

• Verificare la configurazione HTTP/2: controllare se la direttiva Protocols includa h2 o h2c; se sì, il server è potenzialmente vulnerabile.
• Aggiornare a 2.4.71: la patch ufficiale rilasciata il 11 novembre 2026 corregge la race condition in assign_headers().
• Disabilitare HTTP/2 come mitigazione temporanea: rimuovere h2/h2c dalla direttiva Protocols blocca il vettore di attacco fino all'applicazione della patch.
• Monitorare la versione mod_h2 standalone: per installazioni che utilizzano mod_h2 separatamente dal server core, le versioni 2.0.8-2.0.42 sono vulnerabili e richiedono aggiornamento.

Limiti delle fonti e tensioni nei report

I dettagli tecnici di questo articolo dipendono da citazioni di terzi (Red Hat, Apache advisory) non accessibili direttamente nei nostri estratti. I dati Wiz sono proprietari e non verificabili esternamente. La citazione Red Hat su "reliable exploit" non è verificata indipendentemente ed è in tensione con la negazione di Wiz e Horizon3 sull'esistenza di exploit disponibili.

Il 2026 ha registrato cinque vulnerabilità nel modulo mod_http2, secondo i dati aggregati da SOCRadar. Questa frequenza è documentata nelle fonti disponibili; ogni interpretazione sulle cause strutturali rimane analisi del settore non verificata.

Chiusura

La CVE-2026-119618 rappresenta una criticità concentrata: alta gravità potenziale, superficie di attacco circoscritta a configurazioni HTTP/2 attive, e assenza di exploit confermati al momento della pubblicazione. La patch 2.4.71 è disponibile e la mitigazione temporanea è documentata. Per gli amministratori, la priorità è verificare la configurazione Protocols e pianificare l'aggiornamento.

Fonti

• horizon3.ai
• socprime.com
• socradar.io
• securityboulevard.com
• secnews.gr
• wiz.io
• securityweek.com