🔴
طبق گزارش منتشرشده، نقص CVE-2026-119618 در mod_http2 نسخه‌های 2.4.55 تا 2.4.70 سرور Apache و mod_h2 مستقل نسخه‌های 2.0.8 تا 2.0.42 را در صورت فعال‌بودن HTTP/2 درگیر می‌کند. مهاجم بدون احراز هویت می‌تواند کد دلخواه را اجرا کرده و کنترل کامل بر روی فرآیند سرور را به دست آورد.
⚠️ کمپانی redhat از پژوهشی عمومی با اکسپلویت قابل‌اتکا خبر داده، اما Wiz می‌گوید اکسپلویتی در دسترس نیست. برای mod_h2 مستقل هنوز نسخه اصلاح‌شده‌ای منتشر نشده است.
✳️ بسته Apache را به 2.4.71، بسته‌های RHEL 9 و 10 را به‌ترتیب به mod_http2-2.0.26-7.el9_9.1 و mod_http2-2.0.29-5.el10_3.1 و Debian sid را به apache2 2.4.71-1 ارتقا دهید.
اگر به‌روزرسانی ممکن نیست، در تنظیمات سراسری و همه میزبان‌های مجازی h2 و h2c را از Protocols حذف و http/1.1 را حفظ کنید.
شبکه اجتماعی آزمایشگاه امنیت وایت لب
