Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Un aggiornamento critico di Apache HTTP Server ha risolto 5 vulnerabilità, tra cui una falla di grave entità che può portare all’esecuzione di codice remoto. Il problema colpisce la versione 2.4.66 e sfrutta HTTP/2. Gli amministratori di sistema devono agire subito con le attività di patching, aggiornando alla 2.4.67 o applicando delle specifiche mitigazioni temporanee per ridurre l’esposizione al rischio.
Apache HTTP Server ha rilasciato la nuova versione 2.4.67 il 4 maggio 2026, correggendo cinque vulnerabilità delle quali una di carattere critico.
Si tratta del bug di sicurezza monitorato con il codice CVE-2026-23918, di grave entità (CVSS 8.8). Il problema nasce da una doppia “deallocazione di memoria” all’interno dell’implementazione di HTTP/2. Questa tipologia di errore permette ad un attaccante di manipolare la memoria heap e deviare l’esecuzione del codice.
In sintesi c’è la possibilità concreta di esecuzione di codice remoto. La vulnerabilità è stata segnalata il 10 dicembre 2025 da Bartlomiej Dmitruk e Stanislaw Strzalkowski mentre la patch di sicurezza è arrivata subito dopo, ma solo ora è distribuita pubblicamente.
Accanto al bug principale, ci sono altri 4 cve emesse, La prima, il CVE-2026-24072 riguarda mod_rewrite e l’uso delle espressioni ap_expr. Qui il rischio è un’escalation dei privilegi. Gli utenti locali possono leggere file arbitrari con i permessi del server. Di seguito tutte le CVE emesse nel bollettino di sicurezza.
| Codice CVE | Severity | Sintesi |
|---|---|---|
| CVE-2026-23918 | Alta | Double free con rischio RCE |
| CVE-2026-24072 | Media | Lettura file arbitrari via mod_rewrite |
| CVE-2026-28780 | Bassa | Heap overflow in mod_proxy_ajp |
| CVE-2026-29168 | Bassa | Esaurimento risorse in mod_md |
| CVE-2026-29169 | Bassa | Crash server via puntatore NULL |
Tra queste, CVE-2026-28780 introduce un buffer overflow il quale risulta sfruttabile tramite un server AJP malevolo. Si aggiunge il CVE-2026-29168 che consente attacchi di tipo resource exhaustion, e il CVE-2026-29169, il quale può portare a denial of service.
La soluzione migliore risulta essere sempre la stessa: aggiornare alla versione 2.4.67. Se l’aggiornamento non è immediatamente possibile:
Gli amministratori possono controllare la versione con il comando:
httpd -v
Se il risultato mostra 2.4.66 o inferiore, il sistema è potenzialmente vulnerabile. Attenzione particolare va posta ai moduli attivi. Non basta sapere la versione: serve capire cosa è esposto.
