Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Un aggiornamento critico di Apache HTTP Server ha risolto 5 vulnerabilità, tra cui una falla di grave entità che può portare all’esecuzione di codice remoto. Il problema colpisce la versione 2.4.66 e sfrutta HTTP/2. Gli amministratori di sistema devono agire subito con le attività di patching, aggiornando alla 2.4.67 o applicando delle specifiche mitigazioni temporanee per ridurre l’esposizione al rischio.
Apache HTTP Server ha rilasciato la nuova versione 2.4.67 il 4 maggio 2026, correggendo cinque vulnerabilità delle quali una di carattere critico.
Si tratta del bug di sicurezza monitorato con il codice CVE-2026-23918, di grave entità (CVSS 8.8). Il problema nasce da una doppia “deallocazione di memoria” all’interno dell’implementazione di HTTP/2. Questa tipologia di errore permette ad un attaccante di manipolare la memoria heap e deviare l’esecuzione del codice.
In sintesi c’è la possibilità concreta di esecuzione di codice remoto. La vulnerabilità è stata segnalata il 10 dicembre 2025 da Bartlomiej Dmitruk e Stanislaw Strzalkowski mentre la patch di sicurezza è arrivata subito dopo, ma solo ora è distribuita pubblicamente.
Accanto al bug principale, ci sono altri 4 cve emesse, La prima, il CVE-2026-24072 riguarda mod_rewrite e l’uso delle espressioni ap_expr. Qui il rischio è un’escalation dei privilegi. Gli utenti locali possono leggere file arbitrari con i permessi del server. Di seguito tutte le CVE emesse nel bollettino di sicurezza.
| Codice CVE | Severity | Sintesi |
|---|---|---|
| CVE-2026-23918 | Alta | Double free con rischio RCE |
| CVE-2026-24072 | Media | Lettura file arbitrari via mod_rewrite |
| CVE-2026-28780 | Bassa | Heap overflow in mod_proxy_ajp |
| CVE-2026-29168 | Bassa | Esaurimento risorse in mod_md |
| CVE-2026-29169 | Bassa | Crash server via puntatore NULL |
Tra queste, CVE-2026-28780 introduce un buffer overflow il quale risulta sfruttabile tramite un server AJP malevolo. Si aggiunge il CVE-2026-29168 che consente attacchi di tipo resource exhaustion, e il CVE-2026-29169, il quale può portare a denial of service.
La soluzione migliore risulta essere sempre la stessa: aggiornare alla versione 2.4.67. Se l’aggiornamento non è immediatamente possibile:
Gli amministratori possono controllare la versione con il comando:
httpd -v
Se il risultato mostra 2.4.66 o inferiore, il sistema è potenzialmente vulnerabile. Attenzione particolare va posta ai moduli attivi. Non basta sapere la versione: serve capire cosa è esposto.
Sono aperte le iscrizioni al corso in Live Class “AGENTIC AI CYBER OPERATIONS (AACO)”. La cybersecurity sta entrando nell'era degli AI Agent: sistemi capaci di ragionare, utilizzare strumenti, orchestrare attività e portare avanti operazioni complesse. Ma come funzionano davvero dal punto di vista tecnico? Con AACO, Red Hot Cyber porta i professionisti della cybersecurity a toccare con mano gli strumenti agentici, attraverso una Live Class in italiano con 15 ore di formazione, laboratori pratici e scenari reali. Agentic AI, Tool Calling, MCP, orchestrazione di agenti, OSINT, Threat Intelligence, vulnerability assessment e automazione delle operazioni di cybersecurity. Non un corso per imparare a usare un chatbot, ma un percorso per capire, costruire e governare sistemi agentici applicati alla sicurezza informatica.
Partenza: Sabato 7 novembre
Programma completo e iscrizioni: https://www.redhotcyber.com/linksSk2L/academy-agentic-ai
Per info: 379 163 8765 [email protected]