קרן Apache תיקנה חולשה קריטית ב-Apache HTTP Server, אחד משרתי האינטרנט הנפוצים בעולם. החולשה, CVE-2026-119618, נמצאת במודול mod_http2 שמטפל בתעבורת HTTP/2, ומשפיעה על הגרסאות 2.4.55 עד 2.4.70. לפי Red Hat, תוקף שמגיע לשרת יכול לנצל אותה בלי הזדהות ולהשתלט על תהליך השרת. Red Hat דירגה אותה 9.8 מתוך 10. רק שרתים שבהם HTTP/2 מופעל מושפעים; שרתים שמגישים HTTP/1.1 בלבד אינם פגיעים.
את החולשה דיווח ב-26 באוקטובר OSS Scanner, שירות סריקה חינמי של אנתרופיק לפרויקטי קוד פתוח שמבוסס על מודלי ה-AI של החברה. חוקרים מצוות מחקר החולשות של Google Cloud דיווחו עליה באופן עצמאי ב-3 בנובמבר. חברת Wiz מצאה גרסאות פגיעות ב-64% מסביבות הענן שבנתוניה, וב-51% מהן חשופות לרשת, אבל לא בדקה אם HTTP/2 מופעל בהן.
לפי Wiz, נכון ל-11 בנובמבר לא היה ניצול זמין ולא דווח על תקיפות. Red Hat ציינה שמחקר פומבי הדגים ניצול אמין, בלי לפרט איזה. מה לעשות: לעדכן לגרסה 2.4.71 או לחבילות המעודכנות של ההפצה. מי שלא יכול לעדכן מיד יכול לכבות זמנית את HTTP/2 בהגדרות השרת. עדכוני אבטחה של WordPress לא פותרים את הבעיה, כי היא בשרת עצמו.
