A Apache Software Foundation lançou uma atualização de segurança para corrigir uma vulnerabilidade crítica no Apache HTTP Server, software amplamente utilizado para hospedar sites e aplicações na internet.
Identificada como CVE-2026-119618, a falha recebeu pontuação 9,8 na escala CVSS, considerada de gravidade crítica.
O problema afeta o módulo mod_http2, responsável pelo processamento de conexões HTTP/2, e pode permitir que invasores executem códigos maliciosos remotamente, sem precisar de senha ou autenticação.
A vulnerabilidade está relacionada a uma falha de sincronização no processamento simultâneo de requisições, que pode provocar corrupção de memória no servidor.
Em caso de exploração bem-sucedida, criminosos poderiam executar comandos, acessar informações confidenciais, modificar arquivos e comprometer serviços hospedados.
As versões 2.4.55 até 2.4.70 do Apache HTTP Server estão entre as afetadas, desde que o recurso HTTP/2 esteja habilitado.
A correção foi disponibilizada na versão 2.4.71, lançada em 11 de novembro.
A vulnerabilidade foi identificada por pesquisadores ligados à Anthropic e ao Google Cloud Vulnerability Research.
Além dessa falha, a atualização corrige outros dois problemas de segurança em componentes do Apache.
Administradores de sistemas devem verificar as versões instaladas e aplicar as atualizações disponíveis. Em ambientes que não possam ser corrigidos imediatamente, a desativação temporária do HTTP/2 pode reduzir a exposição ao problema.
Até o momento, não há confirmação pública de ataques reais explorando essa vulnerabilidade.
